Forwarded from Offensive Xwitter
😈 [ Praetorian @praetorianlabs ]
🔥 Bypassing fully patched endpoint detection with Goffloader
We’re excited to introduce Goffloader, an open-source Golang COFFLoader. Compatible with Cobalt Strike BOFs 😉
Read more on our blog here:
🔗 https://www.praetorian.com/blog/introducing-goffloader-a-pure-go-implementation-of-an-in-memory-coffloader-and-pe-loader/
🐥 [ tweet ]
🔥 Bypassing fully patched endpoint detection with Goffloader
We’re excited to introduce Goffloader, an open-source Golang COFFLoader. Compatible with Cobalt Strike BOFs 😉
Read more on our blog here:
🔗 https://www.praetorian.com/blog/introducing-goffloader-a-pure-go-implementation-of-an-in-memory-coffloader-and-pe-loader/
🐥 [ tweet ]
Forwarded from Security Wine (бывший - DevSecOps Wine) (Rustam Guseynov)
CI/CD Attack Diagram
В развитии недавнего поста - диаграмма* атак на CI/CD на примере GitHub. Для каждого шага работы CI/CD описываются актуальные "сценарии провала", по некоторым из которых даны линки на статьи с подробными описаниями соответствующих атак и утилитами для их автоматизации.
Автор схемы - John Stawinski IV (именно так он именует себя на личном сайте) - с 2023 года сосредоточен на исследованиях атак на CI/CD в компании Praetorian.
*Фрагмент соответствующей схемы на ваших экранах
#ci #scheme
В развитии недавнего поста - диаграмма* атак на CI/CD на примере GitHub. Для каждого шага работы CI/CD описываются актуальные "сценарии провала", по некоторым из которых даны линки на статьи с подробными описаниями соответствующих атак и утилитами для их автоматизации.
Автор схемы - John Stawinski IV (именно так он именует себя на личном сайте) - с 2023 года сосредоточен на исследованиях атак на CI/CD в компании Praetorian.
*Фрагмент соответствующей схемы на ваших экранах
#ci #scheme
Forwarded from Offensive Xwitter
😈 [ Daniel @0x64616e ]
Do you like ZSH, SOCKS proxies and Impacket? Then you might want to check this out:
🔗 https://github.com/dadevel/impacket-zsh-integration
🐥 [ tweet ]
Интересно посмотреть на подходы других людей к вопросу менеджерства конфигами проксичейнс, я, например, делаю это так:
🔗 https://github.com/snovvcrash/dotfiles-linux/blob/2c4ab52c09749190c63a8e05187c28800e196f0a/system/funcs#L62-L74
Do you like ZSH, SOCKS proxies and Impacket? Then you might want to check this out:
🔗 https://github.com/dadevel/impacket-zsh-integration
🐥 [ tweet ]
Интересно посмотреть на подходы других людей к вопросу менеджерства конфигами проксичейнс, я, например, делаю это так:
🔗 https://github.com/snovvcrash/dotfiles-linux/blob/2c4ab52c09749190c63a8e05187c28800e196f0a/system/funcs#L62-L74
Forwarded from Offensive Xwitter
😈 [ Charlie Bromberg « Shutdown » @_nwodtuhs ]
🎉 After >1y of hard work, @AzeTIIx and I are thrilled to release v2 of The Hacker Recipes!
We moved away from GitBook and now have control over both engine & hosting 🥹
1st addition for contributors: your work is being highlighted across the site! 🫡
🔗 https://thehacker.recipes/
🐥 [ tweet ]
🎉 After >1y of hard work, @AzeTIIx and I are thrilled to release v2 of The Hacker Recipes!
We moved away from GitBook and now have control over both engine & hosting 🥹
1st addition for contributors: your work is being highlighted across the site! 🫡
🔗 https://thehacker.recipes/
🐥 [ tweet ]
Forwarded from Offensive Xwitter
😈 [ Sam ☁️🪵 @Sam0x90 ]
Interesting ZIP trick with __Macosx__ folder and LNK executing ftp script to execute embedded pythonw.exe
zip > docx LNK > ftp.exe > disguised pythonw.exe > CS shellcode
#CTI #DetectionEngineering
🔗 https://www.ctfiot.com/203334.html
🐥 [ tweet ]
Interesting ZIP trick with __Macosx__ folder and LNK executing ftp script to execute embedded pythonw.exe
zip > docx LNK > ftp.exe > disguised pythonw.exe > CS shellcode
#CTI #DetectionEngineering
🔗 https://www.ctfiot.com/203334.html
🐥 [ tweet ]
Forwarded from SecAtor
Лаборатория Касперского продолжает разбор активности проукраинской хактивистской группы Head Mare, которая после появления в 2023 году нацелена исключительно на российские и белорусские компании с использованием ransomware.
С начала СВО появилось множество хактивистских групп, основная цель которых зачастую заключается в нанесении как можно большего ущерба.
Однако, в отличие от некоторых других, Head Mare также требует выкуп за расшифровку данных.
Хактивистские группировки, атакующие российские организации, характеризуются схожими техниками и инструментами и при анализе по методике Unified Kill Chain дают примерно одинаковую картину.
В ходе анализа инцидентов в российских компаниях ресерчерам удалось определить, каким образом Head Mare проводит свои атаки и какие утилиты использует, а также установить связь с вредоносной активностью, известной как PhantomDL.
Как и большинство хактивистских групп, Head Mare поддерживает публичный аккаунт в социальной сети X, где размещает информацию о некоторых из своих жертв.
На момент проведения исследования группировка заявила о 9 жертвах из различных отраслей.
Для получения первоначального доступа группа реализует различные фишинговые кампании, в ходе которых распространяет RAR-архивы, эксплуатирующие относительно свежую CVE-2023-38831 в WinRAR, позволяющую выполнить в системе произвольный код.
В своих атаках Head Mare в основном использует общедоступное ПО.
При этом группа использует для первоначального доступа и эксплуатации фишинговые письма, содержащие архивы с кастомным вредоносным ПО PhantomDL и PhantomCore.
Кроме того, в своих атаках Head Mare задействует: шифровальщики LockBit и Babuk (сгенерированные с помощью общедоступного билдера), Sliver (основной C2-фреймворк для атакующих), ngrok, rsockstun (оба используют для Pivoting), XenAllPasswordPro и Mimikatz.
Злоумышленники создают задачи планировщика и значения реестра с именами MicrosoftUpdateCore и MicrosoftUpdateCoree, чтобы маскировать свою деятельность под задачи, связанные с ПО Microsoft.
В целом, многие инструменты, использованные Head Mare, имели характерные для легитимных программ названия и находились по стандартным или похожим на стандартные путям.
TTPs и инструменты группы Head Mare во многом похожи на активность других групп, относящихся к кластерам, связанным с атаками на организации в России и Беларуси в рамках СВО, однако замечено, что злоумышленники эволюционируют и совершенствуются.
Подробный разбор по каждому из инструментов и IOC - в отчете.
С начала СВО появилось множество хактивистских групп, основная цель которых зачастую заключается в нанесении как можно большего ущерба.
Однако, в отличие от некоторых других, Head Mare также требует выкуп за расшифровку данных.
Хактивистские группировки, атакующие российские организации, характеризуются схожими техниками и инструментами и при анализе по методике Unified Kill Chain дают примерно одинаковую картину.
В ходе анализа инцидентов в российских компаниях ресерчерам удалось определить, каким образом Head Mare проводит свои атаки и какие утилиты использует, а также установить связь с вредоносной активностью, известной как PhantomDL.
Как и большинство хактивистских групп, Head Mare поддерживает публичный аккаунт в социальной сети X, где размещает информацию о некоторых из своих жертв.
На момент проведения исследования группировка заявила о 9 жертвах из различных отраслей.
Для получения первоначального доступа группа реализует различные фишинговые кампании, в ходе которых распространяет RAR-архивы, эксплуатирующие относительно свежую CVE-2023-38831 в WinRAR, позволяющую выполнить в системе произвольный код.
В своих атаках Head Mare в основном использует общедоступное ПО.
При этом группа использует для первоначального доступа и эксплуатации фишинговые письма, содержащие архивы с кастомным вредоносным ПО PhantomDL и PhantomCore.
Кроме того, в своих атаках Head Mare задействует: шифровальщики LockBit и Babuk (сгенерированные с помощью общедоступного билдера), Sliver (основной C2-фреймворк для атакующих), ngrok, rsockstun (оба используют для Pivoting), XenAllPasswordPro и Mimikatz.
Злоумышленники создают задачи планировщика и значения реестра с именами MicrosoftUpdateCore и MicrosoftUpdateCoree, чтобы маскировать свою деятельность под задачи, связанные с ПО Microsoft.
В целом, многие инструменты, использованные Head Mare, имели характерные для легитимных программ названия и находились по стандартным или похожим на стандартные путям.
TTPs и инструменты группы Head Mare во многом похожи на активность других групп, относящихся к кластерам, связанным с атаками на организации в России и Беларуси в рамках СВО, однако замечено, что злоумышленники эволюционируют и совершенствуются.
Подробный разбор по каждому из инструментов и IOC - в отчете.
Forwarded from SecAtor
F.A.C.C.T. сообщают о возвращении банды вымогателей OldGremlin, которая сеяла страх среди российских компаний в 2020-2022 годах и однажды затребовала выкуп в размере до 1 миллиарда рублей.
Группа была неактивна с сентября 2022 года, но почти спустя два года злоумышленники снова заявили о себе, реализовав новую рассылку и задействовав при этом новый инструмент OldGremlin.JsDownloader.
Аналитики F.A.C.C.T. обнаружили загруженное на AnyRun письмо от имени сотрудницы компании Диадок с использованием адреса makarova@diadok[.]net, получателем которого являлся сотрудник крупной российской нефтехимической компании.
Письмо было отправлено 12 августа, а домен diadok[.]net, с которого было отправлено вредоносное письмо, мимикрирует под оригинальный домен компании Контур.Диадок - diadoc[.]ru.
Письмо содержало URL-ссылку для скачивания файла "счет-фактура.xlsx".
После перехода загружался архив с LNK-файлом, после запуска которого следует подключение к WebDav-серверу для выполнения команд на стороне жертвы и загрузки файла node.exe.
Он является Node.js интерпретатором версии v0.10.48 и доступен для загрузки с официального сайта Node.js (hxxps://nodejs[.]org/) по ссылке hxxps://nodejs[.]org/dist/v0.10.48/node.exe.
Причем ранее такая приманка, как и WebDAV, уже встречались в атаках OldGremlin, что сразу привлекло внимание исследователей.
Кроме того, замечено еще одно совпадение: в предыдущих атаках также использовались Node.js интерпретаторы.
Другой загружаемый файл word.txt представляет собой JavsScript-сценарий, который после запуска выполнит команду в интерпретаторе команд Windows.
В результате выполнения команды будет открыт XLS-файл приманка, доступный по WebDav-пути.
Далее, в контексте текущего процесса JavaScript-сценария, будет запущен дочерний процесс Node.js и реализовано изменение поведения сценария.
Вместо запуска XLS-файла приманки и очередного дочернего процесса, файл декодирует и запустит JavaScript-сценарий OldGremlin.JsDownloader.
Данный сценарий расположен внутри файла word.txt в Base64 виде.
OldGremlin.JsDownloader был классифицирован как Downloader, в задачи которого входит загрузка и выполнение произвольных JavaScript-сценариев.
Данный скрипт исполняется в виде анонимной функции.
После запуска выполнится подключение к серверу 157[.]230[.]18[.]205:80 и на C2-сервер будет отправлен случайно сгенерированный набор данных размером 32 байта.
Полученным ответом является подпись отправленного набора данных. Далее выполнится проверка полученной подписи с заданными параметрами публичного ключа.
В случае успешной проверки, OldGremlin.JsDownloader будет ожидать данных от C2.
После того как вредоносный загрузчик получит данные от сервера, они будут расшифрованы и переданы в функцию eval(), которая позволяет выполнить произвольный JavaScript-код.
Алгоритм шифрования данных - RC4, где ключом является хеш-сумма MD5, полученная от случайно сгенерированного набора байт, который был отправлен на сервер ранее.
Индикаторы компрометации - в отчете.
Группа была неактивна с сентября 2022 года, но почти спустя два года злоумышленники снова заявили о себе, реализовав новую рассылку и задействовав при этом новый инструмент OldGremlin.JsDownloader.
Аналитики F.A.C.C.T. обнаружили загруженное на AnyRun письмо от имени сотрудницы компании Диадок с использованием адреса makarova@diadok[.]net, получателем которого являлся сотрудник крупной российской нефтехимической компании.
Письмо было отправлено 12 августа, а домен diadok[.]net, с которого было отправлено вредоносное письмо, мимикрирует под оригинальный домен компании Контур.Диадок - diadoc[.]ru.
Письмо содержало URL-ссылку для скачивания файла "счет-фактура.xlsx".
После перехода загружался архив с LNK-файлом, после запуска которого следует подключение к WebDav-серверу для выполнения команд на стороне жертвы и загрузки файла node.exe.
Он является Node.js интерпретатором версии v0.10.48 и доступен для загрузки с официального сайта Node.js (hxxps://nodejs[.]org/) по ссылке hxxps://nodejs[.]org/dist/v0.10.48/node.exe.
Причем ранее такая приманка, как и WebDAV, уже встречались в атаках OldGremlin, что сразу привлекло внимание исследователей.
Кроме того, замечено еще одно совпадение: в предыдущих атаках также использовались Node.js интерпретаторы.
Другой загружаемый файл word.txt представляет собой JavsScript-сценарий, который после запуска выполнит команду в интерпретаторе команд Windows.
В результате выполнения команды будет открыт XLS-файл приманка, доступный по WebDav-пути.
Далее, в контексте текущего процесса JavaScript-сценария, будет запущен дочерний процесс Node.js и реализовано изменение поведения сценария.
Вместо запуска XLS-файла приманки и очередного дочернего процесса, файл декодирует и запустит JavaScript-сценарий OldGremlin.JsDownloader.
Данный сценарий расположен внутри файла word.txt в Base64 виде.
OldGremlin.JsDownloader был классифицирован как Downloader, в задачи которого входит загрузка и выполнение произвольных JavaScript-сценариев.
Данный скрипт исполняется в виде анонимной функции.
После запуска выполнится подключение к серверу 157[.]230[.]18[.]205:80 и на C2-сервер будет отправлен случайно сгенерированный набор данных размером 32 байта.
Полученным ответом является подпись отправленного набора данных. Далее выполнится проверка полученной подписи с заданными параметрами публичного ключа.
В случае успешной проверки, OldGremlin.JsDownloader будет ожидать данных от C2.
После того как вредоносный загрузчик получит данные от сервера, они будут расшифрованы и переданы в функцию eval(), которая позволяет выполнить произвольный JavaScript-код.
Алгоритм шифрования данных - RC4, где ключом является хеш-сумма MD5, полученная от случайно сгенерированного набора байт, который был отправлен на сервер ранее.
Индикаторы компрометации - в отчете.
Forwarded from Russian OSINT
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from SHADOW:Group
В связи с недавно прошедшими мероприятиями и моим отпуском не было времени упомянуть некоторые крутые недавно опубликованные доклады. И к одному из таких относится ресерч старины Orange Tsai, в ходе которого было найдено сразу несколько CVE и различных мисконфигов в серверах Apache.
Странно, что никто об этом еще не написал, так как материал очень интересный и я всем рекомендую ознакомиться с оригиналом по ссылке. Я также набросал несколько шаблонов для Nuclei на основе этого доклада, которые вы можете доработать или использовать как есть на своих целях (закину их в комменты под постом).
#web #apache #cve
Please open Telegram to view this post
VIEW IN TELEGRAM