- Ребят, это база. Вот они настоящие пендосы!
- Артем! Тихо=)

Лучшие российские хакеры в центре Лас-Вегаса на амерском #defcon (какие-то соревнования хакерские)😁

Teach a Man to Phish: A Decade of Distilled Phishing Wisdom

I decided to give away all of my phishing secrets for free. I realized at some point that I have been giving away phishing secrets for years, but only to select individuals, and only one at a time. That method of knowledge dissemination is terribly inefficient! So here it is, I’ve written it down for you instead.

Cobalt Strike - CDN & Reverse Proxy Setup. Подробно описанный мануал по подготовке C2 инфраструктуры CS на примере Azure.

https://redops.at/en/blog/cobalt-strike-cdn-reverse-proxy-setup

#redteam #infra #bypass

​Компания Unstoppable Domains, известная своим доменом Web3 и услугами цифровой идентификации, официально получила аккредитацию ICANN, что позволило расширить её доменные предложения за пределы доменов, относящихся к Web3, и включить в них более широкий спектр доменов верхнего уровня.

Эта аккредитация позволяет компании предлагать традиционные доменные расширения, такие как общие домены верхнего уровня (gTLD) и домены с кодами стран (ccTLD), одновременно интегрируя в эти домены функциональные возможности блокчейна.

Ожидается, что этот шаг позволит преодолеть разрыв между традиционной инфраструктурой Интернета и децентрализованными инновациями Web3.

“Аккредитация ICANN является важной вехой для нашего сообщества Unstoppable”, - отметил Мэтт Гулд, генеральный директор и основатель Unstoppable Domains (UD), во время объявления. “Мы очень рады продолжить расширение сферы аккредитации и традиционной веб-инфраструктуры, сохраняя при этом наш основной принцип ответственности пользователей”.

В дополнение к расширению своего доменного портфолио, Unstoppable Domains сообщила, что представит новые сервисы, в том числе онлайн-рынок доменов и инструменты для управления токенизированными доменами. Компания сообщила, что она уже оказывает поддержку 19 ведущим компаниям Web3, включая Blockchain.com, в подготовке будущих заявок на gTLD ICANN.

“Конечная цель объединения доменов в цепочку - позволить пользователям, брендам и компаниям взять лучшее из обоих миров и в полной мере использовать возможности Web3 в традиционном интернет-пространстве”, - говорится в заявлении UD.

Ещё один фокус в пользу превращения идеи децентрализованного web3, в регулируемую американским разведсообществом тюрьму DNS-имён ICANN, от которой и хотели изначально избавиться идеологи web3.

Многие страны, включая Россию рассматривают, как серьёзный риск существование якобы независимой, на самом деле созданной и регулируемой американскими спецслужбами конторы, которая может в любой момент положить интернет в любой отдельно взятой стране, выключив переадресацию доменных имён на конкретные IP-адреса.

Для справки: ICANN - «Корпорация по управлению доменными именами и IP-адресами», международная некоммерческая организация, созданная 18 сентября 1998 года при участии правительства США для регулирования вопросов, связанных с доменными именами, IP-адресами и прочими аспектами функционирования Интернета.

Другими словами, когда вы набираете в интернете например www.yandex.ru, то именно ICANN регулирует переадресацию этого доменного имени на IP-адреc его сервера 5.255.255.77, по которому ваш компьютер находит нужный вам сайт.

Но в любой момент, ICANN (читать ЦРУ) может перенаправить вас на страницу гей-парада в Лос-Анджелесе или на офф.сайт церкви Сатаны в Сан-Франциско.

Изначально web3 создавался, как полная альтернатива регулируемой спецслужбами системы управления DNS и IP. И вот в конце концов, всё постепенно превращается в обычную дурнопахнущую американской демократией инстанцию со слежкой и санкциями с печатью ЦРУ и ФБР.

Nuclei templates
*
6000 штук

Рад вам представить Sara. Это автономный анализатор конфигураций RouterOS для поиска проблем безопасности на оборудовании MikroTik.
Ранее я выпускал инструмент Vex, который тоже выполнял эту задачу, но я решил написать новый инструмент с чистого листа, так как меня не устраивал дизайн кода.

Sara написана на Python 3 и использует регулярные выражения для тщательного анализа конфигураций. Она автоматически обнаруживает потенциальные проблемы, такие как небезопасные RMI-службы, активность SMB, Port Forward, проблемы с OSPF, VRRP, DNS и др. В общей сложности, Sara проводит 20 различных проверок безопасности, помогая выявлять проблемы безопасности на оборудовании.

    _____                 
   / ____|                
  | (___   __ _ _ __ __ _ 
   \___ \ / _` | '__/ _` |
   ____) | (_| | | | (_| |
  |_____/ \__,_|_|  \__,_|  v1.0

    RouterOS Security Inspector. Designed for Security Professionals

    Author: Magama Bazarov, <caster@exploit.org>

Link: https://github.com/casterbyte/Sara

Замечательная история из Германии. Немецкий суд приговорил программиста к штрафу 3000 евро за "несанкционированный доступ к сторонним компьютерным системам", а на деле - за найденную уязвимость.

Некий фрилансер получил подряд на проверку установленного у клиента ПО компании Modern Solution GmbH & Co. KG, которое, судя по тексту журналистов, генерило ложные сообщения логов. В ходе проверки выяснилось, что оно устанавливает MySQL соединение с головным сервером с использованием пароля, который бы записан в исполняемом файле в виде plaintext. При тестовом подключении оказалось, что кроме данных самого заказчика, доступны также данные еще 700 тысяч клиентов. Программист сообщил об этом в компанию Modern Solutions. Однако последние, вместо того, чтобы отблагодарить за найденную дырку, отрубили сервер, заявили, что у них все норм, а потом подали на исследователя заявление в полицию.

Прокуратура и адвокаты долго спорили о том, получен ли был пароль в ходе декомпиляции исполняемого файла. И, хотя защита была более убедительна, в конечном итоге судье все это было похеру. Он сказал, что уже само использование пароля - это хакерство. На тот факт, что пароль был получен вместе с законно купленным экземпляром ПО, судья так же наклал.

Теперь обе стороны обжалуют приговор в вышестоящем суде. Защита считает, что программист не виноват, прокуратура - что маленький штраф дали, надо больше.

Мудаков в этой истории много. Это и компания Modern Solution GmbH & Co. KG, и полиция, и прокуратура, и, конечно же, король всех мудаков - судья окружного суда Юлиха.

Не в первый раз этот подход уже наблюдаем, весной прошлого года аналогичный случай был на Мальте. То есть подобная правоприменительная практика расширяется.

К чему это приведет - понять не сложно. Нашедшие уязвимости исследователи будут лишний раз помалкивать, а то и сольют данные брокерам 0-day или просто анонимно выкинут в даркнет. И страдать от этого будут все. Не только мудаки.

Полноценное исследование, с примерами кода, про уязвимости в телефоне, которые можно заюзать через симкарту. Оказывается, их не так уж и мало, как кажется на первый взгляд.
Чисто для примера: симка может просить телефон не только пульнуть СМС, но и поднять TCP-соединение или узнать геолокацию, не интересуясь мнением пользователя. И чтобы не просто руками в воздухе махать, ребятушки запилили SIMurai – эмулятор симок с возможностью подключения телефона и ресёча.
Сама дока: https://www.usenix.org/conference/usenixsecurity24/presentation/lisowski
Гитхабчик проекта: https://github.com/tomasz-lisowski/simurai
Как по-быстрому вкатиться: https://github.com/tomasz-lisowski/simurai-usenixsec2024-ae

P.S. Отдельно возникает вопрос: а насколько реальны угрозы, связанные с симками? Фикус в том, что мозги симке можно подправить через оператора (привет фейковым базовкам) или же, что сложнее, но реально, подпихнув в телефон переходничок. Если не видели такие, то гуглить sim card interposer.

#news ИБ-отдел Университета Калифорнии решил провести тренировку студентов и сотрудников по противодействию фишингу. После этого на кампусе начался сущий кошмар: согласно письму, один из коллег вернулся из Южной Африки с эболой. Для получения дополнительных данных предлагалось перейти по ссылке. Классика.

В университете такую оригинальную кампанию по борьбе с фишингом не оценили. Так что ИБ-отделу пришлось извиняться за поднятую панику и подрыв доверия не только к официальным сообщениям, но и к прекрасной далёкой Южной Африке, где случаев заражения эболой не было с 1996-го. При этом безопасники университета просто использовали в качестве шаблона реальное фишинговое письмо, полученное несколькими неделями ранее. Но как водится, что дозволено киберпреступнику, не дозволено безопаснику.

@tomhunter

ShellGen
*
Павашэлл скрипт для генерации ShellCode в различных форматах.
Форматы: Raw, ps1, Hex, C, vba, csharp
Архитектура: x64, x86
*
DownLoad

Немного сиволапого vulnerability management.

Есть у нас условный репорт nmap/nuclei/Defect Dojo с кучей разных CVE. Вроде понятно, что всё надо как-то фиксить. Но возникает вопрос: что нужно фиксить "ещё вчера", а что "не отлично, но и не ужасно" и вообще может подождать? Когда счёт идёт на десятки, ещё пробежаться глазами и определить критичность и приоритет, но когда счёт CVE идёт на сотни, такой процесс может занять очень много времени.
А нам как-то надо отделить уязвимый ssh от бесконечных buffer overflow в vim.

От чего мы можем отталкиваться?
- CVSS с Base Score (Severity). Тут вроде всё просто. Сначала смотрим Critical, потом High и так далее.
- Vector в том же CVSS. Менее понятно, но тоже можно использовать
- Наличие эксплоитов и PoC. Жизнь менее тревожна, когда нет готового эксплоита к сервису, который торчит снаружи.
- Особенности инфраструктуры. Тут уже делает поправки каждый сам.

Что нам может помочь?
- CISA KEV, он же Known Exploited Vulnerabilities Catalog. Звучит здорово и круто, но фактически скорей может использоваться как затычка без иных источников. В списке скорей ради того, чтобы дать знать о такой штуке.
- Defect Dojo. Не решает все задачи, требует напильника, хромает в документации, но жизнь облегчает сильно. Вообще не обязательно он, но из open source других вариантов нет.
- Vulristics. Инструмент позволяющий приоритизировать найденные CVE. Работает с множеством баз уявзимостей, вроде NVD, BDU, vulners. Может генерировать отчёты вроде такого.

Инструменты есть, а что дальше?
Для начала нам нужен список CVE. В случае с условным nuclei мы может погрепать репорт.
Если вы используете Defect Dojo, то можно экспортировать находки в csv и получить список CVE:

csvcut -c vulnerability_ids findings.csv | sort | uniq | sed '/^vulnerability_ids/d' > critical_cve_id.list

Итоговый список уязвимостей мы можем скормить vulristics:

python3 vulristics.py --report-type "cve_list" --cve-project-name "test_project" --cve-list-path "/home/the29a/critical_cve_id.list"

На выходе получим отчёт в html.

Не последнюю очередь будет играть и поиск эксплоитов и PoC для уязвимостей. Их лучше искать самостоятельно, так как CISA KEV, NIST и прочие могут отставать от реальности.
Можно использовать osv-scanner, cve-maker или тот же searchsploit.

Спасает ли это от ручного труда?
Увы, нет. Но это можно и нужно автоматизировать.
Решение не идеальное, но вполне упрощает жизнь.

Управление уязвимостями хоть и не самое весёлое занятие (особенно без автоматизации), но довольно полезное. На уровне аналитики оно может дать представление, какие процессы работают плохо или вовсе отсутствуют. Так же не стоит забывать, что это ещё и инвентаризация, без которой обеспечить безопасность довольно сложно.

Пятница!

Попалась на глаза новость, что Blender вышел новый
https://www.opennet.me/opennews/art.shtml?num=61588

И решил я почитать и поискать, а чего они используют для своей инфраструктуры

У них поднята своя Gitea с проектами, в том числе, с инфрой
https://projects.blender.org/infrastructure

Например, редирект redirect.blender.org свой написан на PHP, который на Apache живёт
https://projects.blender.org/infrastructure/redirect-website

До этого использовали Phabricator, ещё что-то даже в SVN осталось
https://svn.blender.org/

Для сборки используется Buildbot
https://builder.blender.org/admin/
+
https://projects.blender.org/infrastructure/blender-devops/

И отдельный раздел со статой по сборке
https://builder.blender.org/download/daily/

Grafana со статой по разработке
https://metrics.blender.org/
Сырцы проекта, который за сбор отвечает (может даже кому пригодится)
https://projects.blender.org/infrastructure/blender-metrics

А ещё https://zabbix.blender.org/, но он не открывается 🌝

OpenData, что бы посмотреть что за CPU и GPU используются и бенчмарки глянуть
https://opendata.blender.org/

Оказывается они раздают обучающие материалы и через PeerTube (децентрализованный видеохостинг)
https://video.blender.org/videos/overview

Вот доклад с Blender Conference 2023 (в комменты залью)
Blender Online Infrastructure Overview
https://www.youtube.com/watch?v=mSMcceR3xJE

Если есть что добавить интересного по теме, то пишите в комменты

Ставь 👾 если такое интересно и делать подобные посты ещё

PingRAT secretly passes C2 traffic through firewalls using ICMP payloads
📍Использование ICMP для управления и контроля
📍Не обнаруживается большинством AV/EDR решений
📍Написано на Go

https://github.com/umutcamliyurt/PingRAT

#статьи_ссылки_scripts

CVE-2024-43425: Moodle Remote Code Execution Vulnerability

In this post, we will show you how we bypassed the sanitization attempts of the popular learning platform Moodle to achieve remote code execution.

Search Query:

HUNTER:/product.name="Moodle"
SHODAN:http.component:"Moodle"
FOFA:app="Moodle"

CVE-2024-43044 Arbitrary file read vulnerability through agent connections can lead to RCE

The exploit will use the vulnerability to read files to forge a remember-me cookie for an admin account and gain access to Jenkins scripting engine.

Blog: https://blog.convisoappsec.com/en/analysis-of-cve-2024-43044/

Search Query:

HUNTER:/product.name="Jenkins"
SHODAN: product:"Jenkins"
FOFA: app="Jenkins"
ZoomEye: app:"Jenkins"

Всем привет! Давным-давно появился инструмент msi_search, который создали mandiant для анализа установленных MSI-файлов на системе. Впоследствии эти файлы можно было выкачать и проанализировать на предмет уязвимостей. Подобный вектор привеска достаточно не самый примитивный и обычный, однако, я не раз встречал интересные инсталляторы, которые нужно было как-то сломать :)

Сам формат MSI предательски похож на формат SQL, что упрощало написание автоматизированного чекера на уязвимости. Так родился инструмент MyMSIAnalyzer , я научил его:
- Обнаруживать оставленные учетные данные внутри MSI-файла
- Анализировать CustomActions на предмет наличия действий, исполняемых от лица системы
- Проверять возможность перезаписи CustomActions, что может использоваться как для повышения привилегий, так и закрепления
- Проверка сигнатур (нужно в контексте MST Backdoor), а также отдельная программа для обнаружения GUI внутри MSI, ведь в таком случае возможно осуществить побег в cmd.exe через запуск explorer.exe

Полный разбор MSI-файлов как вектора повышения привилегий я выложил на medium. Приятного чтения :))

https://nekoweb.org

Funky website hosting.
Similar to Neocities.

#web #explore #fun #hosting

Исследователи Proofpoint сообщают, что злоумышленники все чаще используют сервис Cloudflare Tunnel в вредоносных кампаниях, которые обычно доставляют трояны удаленного доступа (RAT).

Подобная активность с задействованием TryCloudflare была впервые обнаружена в феврале, когда общедоступный сервис использовался для распространения нескольких RAT, включая AsyncRAT, GuLoader, VenomRAT, Remcos RAT и Xworm.

Cloudflare Tunnel позволяет проксировать трафик через зашифрованный туннель для доступа к локальным службам и серверам через Интернет без раскрытия IP-адресов и необходимости иметь учетную запись Cloudflare.

Это обеспечивает дополнительную безопасность и удобство, поскольку нет необходимости открывать какие-либо публичные входящие порты или настраивать VPN-подключения.

Каждый туннель генерирует временный случайный поддомен в домене trycloudflare.com, который используется для маршрутизации трафика через сеть Cloudflare на локальный сервер.

В прошлом злоумышленники уже использовали эту функцию для получения удаленного доступа к взломанным системам, избегая при этом обнаружения.

В отчете Proofpoint была обнаружена вредоносная активность, нацеленная на юридические, финансовые, производственные и технологические организации с использованием вредоносных файлов .LNK, размещенных на легитимном домене TryCloudflare.

Злоумышленники заманивают цели электронными письмами на налоговую тематику с URL-адресами или вложениями, ведущими к полезной нагрузке LNK.

При запуске полезная нагрузка запускает скрипты BAT или CMD, которые развертывают PowerShell.

На заключительном этапе атаки загружаются установщики Python для финальной полезной нагрузки.

Proofpoint сообщает, что волна рассылки началась 11 июля и позволила распространить более 1500 вредоносных сообщений, тогда как предыдущая волна от 28 мая содержала лишь менее 50.

Размещение LNK-файлов на Cloudflare имеет ряд преимуществ, в том числе делает трафик похожим на легитимный благодаря репутации сервиса.

Более того, функция TryCloudflare Tunnel обеспечивает анонимность, а поддомены, обслуживающие LNK, являются временными, поэтому их блокировка не слишком поможет защитникам.

В конечном счете, сервис бесплатный и надежный, поэтому киберпреступникам не нужно покрывать расходы на создание собственной инфраструктуры и позволяет при наличии автоматизации обходить блокировки Cloudflare для крупномасштабных операций.