PingRAT secretly passes C2 traffic through firewalls using ICMP payloads
📍Использование ICMP для управления и контроля
📍Не обнаруживается большинством AV/EDR решений
📍Написано на Go

https://github.com/umutcamliyurt/PingRAT

#статьи_ссылки_scripts

CVE-2024-43425: Moodle Remote Code Execution Vulnerability

In this post, we will show you how we bypassed the sanitization attempts of the popular learning platform Moodle to achieve remote code execution.

Search Query:

HUNTER:/product.name="Moodle"
SHODAN:http.component:"Moodle"
FOFA:app="Moodle"

CVE-2024-43044 Arbitrary file read vulnerability through agent connections can lead to RCE

The exploit will use the vulnerability to read files to forge a remember-me cookie for an admin account and gain access to Jenkins scripting engine.

Blog: https://blog.convisoappsec.com/en/analysis-of-cve-2024-43044/

Search Query:

HUNTER:/product.name="Jenkins"
SHODAN: product:"Jenkins"
FOFA: app="Jenkins"
ZoomEye: app:"Jenkins"

Всем привет! Давным-давно появился инструмент msi_search, который создали mandiant для анализа установленных MSI-файлов на системе. Впоследствии эти файлы можно было выкачать и проанализировать на предмет уязвимостей. Подобный вектор привеска достаточно не самый примитивный и обычный, однако, я не раз встречал интересные инсталляторы, которые нужно было как-то сломать :)

Сам формат MSI предательски похож на формат SQL, что упрощало написание автоматизированного чекера на уязвимости. Так родился инструмент MyMSIAnalyzer , я научил его:
- Обнаруживать оставленные учетные данные внутри MSI-файла
- Анализировать CustomActions на предмет наличия действий, исполняемых от лица системы
- Проверять возможность перезаписи CustomActions, что может использоваться как для повышения привилегий, так и закрепления
- Проверка сигнатур (нужно в контексте MST Backdoor), а также отдельная программа для обнаружения GUI внутри MSI, ведь в таком случае возможно осуществить побег в cmd.exe через запуск explorer.exe

Полный разбор MSI-файлов как вектора повышения привилегий я выложил на medium. Приятного чтения :))

https://nekoweb.org

Funky website hosting.
Similar to Neocities.

#web #explore #fun #hosting

Исследователи Proofpoint сообщают, что злоумышленники все чаще используют сервис Cloudflare Tunnel в вредоносных кампаниях, которые обычно доставляют трояны удаленного доступа (RAT).

Подобная активность с задействованием TryCloudflare была впервые обнаружена в феврале, когда общедоступный сервис использовался для распространения нескольких RAT, включая AsyncRAT, GuLoader, VenomRAT, Remcos RAT и Xworm.

Cloudflare Tunnel позволяет проксировать трафик через зашифрованный туннель для доступа к локальным службам и серверам через Интернет без раскрытия IP-адресов и необходимости иметь учетную запись Cloudflare.

Это обеспечивает дополнительную безопасность и удобство, поскольку нет необходимости открывать какие-либо публичные входящие порты или настраивать VPN-подключения.

Каждый туннель генерирует временный случайный поддомен в домене trycloudflare.com, который используется для маршрутизации трафика через сеть Cloudflare на локальный сервер.

В прошлом злоумышленники уже использовали эту функцию для получения удаленного доступа к взломанным системам, избегая при этом обнаружения.

В отчете Proofpoint была обнаружена вредоносная активность, нацеленная на юридические, финансовые, производственные и технологические организации с использованием вредоносных файлов .LNK, размещенных на легитимном домене TryCloudflare.

Злоумышленники заманивают цели электронными письмами на налоговую тематику с URL-адресами или вложениями, ведущими к полезной нагрузке LNK.

При запуске полезная нагрузка запускает скрипты BAT или CMD, которые развертывают PowerShell.

На заключительном этапе атаки загружаются установщики Python для финальной полезной нагрузки.

Proofpoint сообщает, что волна рассылки началась 11 июля и позволила распространить более 1500 вредоносных сообщений, тогда как предыдущая волна от 28 мая содержала лишь менее 50.

Размещение LNK-файлов на Cloudflare имеет ряд преимуществ, в том числе делает трафик похожим на легитимный благодаря репутации сервиса.

Более того, функция TryCloudflare Tunnel обеспечивает анонимность, а поддомены, обслуживающие LNK, являются временными, поэтому их блокировка не слишком поможет защитникам.

В конечном счете, сервис бесплатный и надежный, поэтому киберпреступникам не нужно покрывать расходы на создание собственной инфраструктуры и позволяет при наличии автоматизации обходить блокировки Cloudflare для крупномасштабных операций.

͏Новое дно от микромягких открыли исследователи Certitude, продемонстрировав метод обхода антифишинговой защиты в Microsoft 365 (ранее - Office 365), повышающий риск открытия пользователями вредоносных писем.

В данном случае речь идет про функцию оповещения First Contact Safety Tip, которая призвана предупреждать получателей электронной почты в Outlook о направлении сообщения с незнакомого адреса.

Ключевым аспектом этого механизма является то, что оповещение добавляется к основному тексту HTML-письма, что открывает возможность манипуляций с использованием CSS, встроенного в сообщение электронной почты.

Certitude обнаружила, что такое оповещение о безопасности можно легко скрыть, манипулируя CSS в HTML-коде самого электронного письма.

Для этого достаточно применить следующие правила:

- a { display: none; }: скрывает все теги привязки (<a>), чтобы предотвратить отображение подсказки при включении ссылки.

- td div { color: white; font-size: 0px; }: нацеливается на элементы div в ячейках данных таблицы, изменяя цвет их шрифта на белый, а размер шрифта на 0, тем самым делая текст невидимым.

- table tbody tr td { background-color: white !important; color: white !important; }: делает любой элемент td внутри tbody таблицы имеющим белый фон и белый текст, эффективно смешивая содержимое с фоном и, таким образом, делая его невидимым.

При использовании этого CSS в фишинговом письме, отправленном новым контактом в адрес получателя, предупреждающее оповещение попросту не отображается.

Причем специалисты Certitude пошли дальше и обнаружили, что можно добавить дополнительный HTML-код, который подделывает значки, добавляемые Microsoft Outlook в зашифрованные/подписанные электронные письма, делая их с виду как бы еще более защищенными.

Безусловно, некоторые ограничения форматирования не позволяют добиться идеального визуального результата, тем не менее трюк все равно создает убедительное ложное представление о безопасности, которое легко выдержит любую, даже самую тщательную проверку.

Исследователи пока не наблюдали случаев активной эксплуатации описанного метода и не нашли способов манипулировать HTML-кодом таким образом, чтобы в письме отображался произвольный текст.

Аналитики Certitude, обнаружившие уязвимость, сообщили о своих выводах вместе с PoC в Microsoft, однако там традиционно решили забить, оставляя проблему нерешенной в силу отсутствия веских причин для беспокойства с мотивировкой: «учитывая, что это применимо в основном к фишинговым атакам».

Раз вам понравились теории заговора вокруг спонсирования FreeBSD, ловите жирнейший подгон, вокруг которого месяц можно биться.
Из фри доложили, что буквально вот пару дней назад им упал подгон в целых €686,400 от Sovereign Tech Fund. Ну хороше же! Куча денег для апдейта инфры, все счастливы и обнимаются. Но это, как обычно, пока не начали задавать вопросы.
https://freebsdfoundation.org/blog/sovereign-tech-fund-to-invest-e686400-in-freebsd-infrastructure-modernization/

Например, а что за фонд вообще такой? Если зайти к ним на сайт, выглядит всё максимально беззубо, мило и с повесточными местоимениями. Прям собрались внезапно солнышки два(!) года назад и давай всем пользу причинять, улыбаясь, раздавая весьма приятные бонусы.
https://www.sovereigntechfund.de/
Если зайти в список поддерживаемых проектов, так можно и вовсе одуреть от увиденного. Список и куда сколько денег закинуто - моё почтение. В один только gnome лям евро занесли.
https://www.sovereigntechfund.de/tech
А потом донизу докручиваешь и оказывается, что фонд образован немецким правительством и содержится на его средства, а не люди со светлыми лицами мучаются от избытка денег. Выводы делаем самостоятельно.

Очень классный набор статей от Бастиона❤️
Заявка на handbook для пентестера
1. https://habr.com/ru/companies/bastion/articles/767704/
2. https://habr.com/ru/companies/bastion/articles/799529/
3. https://habr.com/ru/companies/bastion/articles/809655/

Кто стучится к вам в почту? Социальная инженерия 2024

Отличная статья от крутых исследователей Ярослава Бабина и Константина Полишина из Positive Technologies о различных актуальных вариантах доставки полезной нагрузки, которые используются в качестве векторов получения первоначального доступа на Red Team проектах и в дикой природе.

🔴 HTML Smuggling
Варианты кастомизации старого надежного способа доставки, который с учетом всех возможных комбинаций методов инициирования распаковки и загрузки пейлоадов не теряет актуальности уже более 6 лет.

🔴 SVG Smuggling
Техники анлогичные предыдущей, только с использованием SVG-изображений для внедрения вредоносного кода в HTML-страницу. Ребята подробно рассмотрели SVG Smuggling с CDATA, SVG as CSS, SVG Polyglot.

🔴 PDF Smuggling
JavaScript в PDF-файлах, который отрабатывает при открытии PDF-вложений в Adobe Acrobat, Foxit Reader, PDF Reader и пр PDF ридерах.

🔴 PDF Polyglot (MalDoc in PDF)
Техника заключается в создании документа, который может одновременно быть валидным PDF-файлом и документом другого формата, например DOCX. Идея заключается в том, что такой файл можно открыть как в PDF-ридерах, так и в Microsoft Word, при этом в зависимости от программы содержимое файла будет отличаться.

🔴 PDF/DOCX/PPTX/etc Luring
По сути приманка для того, чтобы стимулировать "непреодолимое желание" пользователя перейти по ссылке из документа.

🔴 VBA Macros (VBA Purging/Stomping)
Любимые всеми макросы, которые Microsoft считает уже "побежденными векторами", по-прежнему актуальны в определенных условиях😎

🔴 VelvetSweatshop
Пасхалка в Excel, которую помнят только олды🙈откопали злодеи и используют в дикой природе.

🔴 QR-коды, DLL Side-Loading и другое
Таким образом, в статье рассмотрены наиболее актуальные в 2024 году техники доставки полезной нагрузки, которые будут интересны атакующим и защитникам👍 Авторам - большой респект!

SUDO_KILLER
*
Скрипт под:
Сбор учетных данных
Неправильные конфигурации
Опасные двоичные файлы (GTFOBINS)
Уязвимые версии sudo — CVE
Уязвимость Sudo и неправильная конфигурация, связанные с 3dParty
Опасные переменные окружающей среды
Доступные для записи каталоги, в которых есть скрипты
Двоичные файлы, которые можно заменить/переместить
*
Download + много демо + докер для тестов

#sudo

HR blackpill

Subscriber's submission

https://arstechnica.com/security/2024/09/sailors-hid-an-unauthorized-starlink-on-the-deck-of-a-us-warship-and-lied-about-it/