Forwarded from Offensive Xwitter
😈 [ Sam ☁️🪵 @Sam0x90 ]
Interesting ZIP trick with __Macosx__ folder and LNK executing ftp script to execute embedded pythonw.exe
zip > docx LNK > ftp.exe > disguised pythonw.exe > CS shellcode
#CTI #DetectionEngineering
🔗 https://www.ctfiot.com/203334.html
🐥 [ tweet ]
Interesting ZIP trick with __Macosx__ folder and LNK executing ftp script to execute embedded pythonw.exe
zip > docx LNK > ftp.exe > disguised pythonw.exe > CS shellcode
#CTI #DetectionEngineering
🔗 https://www.ctfiot.com/203334.html
🐥 [ tweet ]
Forwarded from SecAtor
Лаборатория Касперского продолжает разбор активности проукраинской хактивистской группы Head Mare, которая после появления в 2023 году нацелена исключительно на российские и белорусские компании с использованием ransomware.
С начала СВО появилось множество хактивистских групп, основная цель которых зачастую заключается в нанесении как можно большего ущерба.
Однако, в отличие от некоторых других, Head Mare также требует выкуп за расшифровку данных.
Хактивистские группировки, атакующие российские организации, характеризуются схожими техниками и инструментами и при анализе по методике Unified Kill Chain дают примерно одинаковую картину.
В ходе анализа инцидентов в российских компаниях ресерчерам удалось определить, каким образом Head Mare проводит свои атаки и какие утилиты использует, а также установить связь с вредоносной активностью, известной как PhantomDL.
Как и большинство хактивистских групп, Head Mare поддерживает публичный аккаунт в социальной сети X, где размещает информацию о некоторых из своих жертв.
На момент проведения исследования группировка заявила о 9 жертвах из различных отраслей.
Для получения первоначального доступа группа реализует различные фишинговые кампании, в ходе которых распространяет RAR-архивы, эксплуатирующие относительно свежую CVE-2023-38831 в WinRAR, позволяющую выполнить в системе произвольный код.
В своих атаках Head Mare в основном использует общедоступное ПО.
При этом группа использует для первоначального доступа и эксплуатации фишинговые письма, содержащие архивы с кастомным вредоносным ПО PhantomDL и PhantomCore.
Кроме того, в своих атаках Head Mare задействует: шифровальщики LockBit и Babuk (сгенерированные с помощью общедоступного билдера), Sliver (основной C2-фреймворк для атакующих), ngrok, rsockstun (оба используют для Pivoting), XenAllPasswordPro и Mimikatz.
Злоумышленники создают задачи планировщика и значения реестра с именами MicrosoftUpdateCore и MicrosoftUpdateCoree, чтобы маскировать свою деятельность под задачи, связанные с ПО Microsoft.
В целом, многие инструменты, использованные Head Mare, имели характерные для легитимных программ названия и находились по стандартным или похожим на стандартные путям.
TTPs и инструменты группы Head Mare во многом похожи на активность других групп, относящихся к кластерам, связанным с атаками на организации в России и Беларуси в рамках СВО, однако замечено, что злоумышленники эволюционируют и совершенствуются.
Подробный разбор по каждому из инструментов и IOC - в отчете.
С начала СВО появилось множество хактивистских групп, основная цель которых зачастую заключается в нанесении как можно большего ущерба.
Однако, в отличие от некоторых других, Head Mare также требует выкуп за расшифровку данных.
Хактивистские группировки, атакующие российские организации, характеризуются схожими техниками и инструментами и при анализе по методике Unified Kill Chain дают примерно одинаковую картину.
В ходе анализа инцидентов в российских компаниях ресерчерам удалось определить, каким образом Head Mare проводит свои атаки и какие утилиты использует, а также установить связь с вредоносной активностью, известной как PhantomDL.
Как и большинство хактивистских групп, Head Mare поддерживает публичный аккаунт в социальной сети X, где размещает информацию о некоторых из своих жертв.
На момент проведения исследования группировка заявила о 9 жертвах из различных отраслей.
Для получения первоначального доступа группа реализует различные фишинговые кампании, в ходе которых распространяет RAR-архивы, эксплуатирующие относительно свежую CVE-2023-38831 в WinRAR, позволяющую выполнить в системе произвольный код.
В своих атаках Head Mare в основном использует общедоступное ПО.
При этом группа использует для первоначального доступа и эксплуатации фишинговые письма, содержащие архивы с кастомным вредоносным ПО PhantomDL и PhantomCore.
Кроме того, в своих атаках Head Mare задействует: шифровальщики LockBit и Babuk (сгенерированные с помощью общедоступного билдера), Sliver (основной C2-фреймворк для атакующих), ngrok, rsockstun (оба используют для Pivoting), XenAllPasswordPro и Mimikatz.
Злоумышленники создают задачи планировщика и значения реестра с именами MicrosoftUpdateCore и MicrosoftUpdateCoree, чтобы маскировать свою деятельность под задачи, связанные с ПО Microsoft.
В целом, многие инструменты, использованные Head Mare, имели характерные для легитимных программ названия и находились по стандартным или похожим на стандартные путям.
TTPs и инструменты группы Head Mare во многом похожи на активность других групп, относящихся к кластерам, связанным с атаками на организации в России и Беларуси в рамках СВО, однако замечено, что злоумышленники эволюционируют и совершенствуются.
Подробный разбор по каждому из инструментов и IOC - в отчете.
Forwarded from SecAtor
F.A.C.C.T. сообщают о возвращении банды вымогателей OldGremlin, которая сеяла страх среди российских компаний в 2020-2022 годах и однажды затребовала выкуп в размере до 1 миллиарда рублей.
Группа была неактивна с сентября 2022 года, но почти спустя два года злоумышленники снова заявили о себе, реализовав новую рассылку и задействовав при этом новый инструмент OldGremlin.JsDownloader.
Аналитики F.A.C.C.T. обнаружили загруженное на AnyRun письмо от имени сотрудницы компании Диадок с использованием адреса makarova@diadok[.]net, получателем которого являлся сотрудник крупной российской нефтехимической компании.
Письмо было отправлено 12 августа, а домен diadok[.]net, с которого было отправлено вредоносное письмо, мимикрирует под оригинальный домен компании Контур.Диадок - diadoc[.]ru.
Письмо содержало URL-ссылку для скачивания файла "счет-фактура.xlsx".
После перехода загружался архив с LNK-файлом, после запуска которого следует подключение к WebDav-серверу для выполнения команд на стороне жертвы и загрузки файла node.exe.
Он является Node.js интерпретатором версии v0.10.48 и доступен для загрузки с официального сайта Node.js (hxxps://nodejs[.]org/) по ссылке hxxps://nodejs[.]org/dist/v0.10.48/node.exe.
Причем ранее такая приманка, как и WebDAV, уже встречались в атаках OldGremlin, что сразу привлекло внимание исследователей.
Кроме того, замечено еще одно совпадение: в предыдущих атаках также использовались Node.js интерпретаторы.
Другой загружаемый файл word.txt представляет собой JavsScript-сценарий, который после запуска выполнит команду в интерпретаторе команд Windows.
В результате выполнения команды будет открыт XLS-файл приманка, доступный по WebDav-пути.
Далее, в контексте текущего процесса JavaScript-сценария, будет запущен дочерний процесс Node.js и реализовано изменение поведения сценария.
Вместо запуска XLS-файла приманки и очередного дочернего процесса, файл декодирует и запустит JavaScript-сценарий OldGremlin.JsDownloader.
Данный сценарий расположен внутри файла word.txt в Base64 виде.
OldGremlin.JsDownloader был классифицирован как Downloader, в задачи которого входит загрузка и выполнение произвольных JavaScript-сценариев.
Данный скрипт исполняется в виде анонимной функции.
После запуска выполнится подключение к серверу 157[.]230[.]18[.]205:80 и на C2-сервер будет отправлен случайно сгенерированный набор данных размером 32 байта.
Полученным ответом является подпись отправленного набора данных. Далее выполнится проверка полученной подписи с заданными параметрами публичного ключа.
В случае успешной проверки, OldGremlin.JsDownloader будет ожидать данных от C2.
После того как вредоносный загрузчик получит данные от сервера, они будут расшифрованы и переданы в функцию eval(), которая позволяет выполнить произвольный JavaScript-код.
Алгоритм шифрования данных - RC4, где ключом является хеш-сумма MD5, полученная от случайно сгенерированного набора байт, который был отправлен на сервер ранее.
Индикаторы компрометации - в отчете.
Группа была неактивна с сентября 2022 года, но почти спустя два года злоумышленники снова заявили о себе, реализовав новую рассылку и задействовав при этом новый инструмент OldGremlin.JsDownloader.
Аналитики F.A.C.C.T. обнаружили загруженное на AnyRun письмо от имени сотрудницы компании Диадок с использованием адреса makarova@diadok[.]net, получателем которого являлся сотрудник крупной российской нефтехимической компании.
Письмо было отправлено 12 августа, а домен diadok[.]net, с которого было отправлено вредоносное письмо, мимикрирует под оригинальный домен компании Контур.Диадок - diadoc[.]ru.
Письмо содержало URL-ссылку для скачивания файла "счет-фактура.xlsx".
После перехода загружался архив с LNK-файлом, после запуска которого следует подключение к WebDav-серверу для выполнения команд на стороне жертвы и загрузки файла node.exe.
Он является Node.js интерпретатором версии v0.10.48 и доступен для загрузки с официального сайта Node.js (hxxps://nodejs[.]org/) по ссылке hxxps://nodejs[.]org/dist/v0.10.48/node.exe.
Причем ранее такая приманка, как и WebDAV, уже встречались в атаках OldGremlin, что сразу привлекло внимание исследователей.
Кроме того, замечено еще одно совпадение: в предыдущих атаках также использовались Node.js интерпретаторы.
Другой загружаемый файл word.txt представляет собой JavsScript-сценарий, который после запуска выполнит команду в интерпретаторе команд Windows.
В результате выполнения команды будет открыт XLS-файл приманка, доступный по WebDav-пути.
Далее, в контексте текущего процесса JavaScript-сценария, будет запущен дочерний процесс Node.js и реализовано изменение поведения сценария.
Вместо запуска XLS-файла приманки и очередного дочернего процесса, файл декодирует и запустит JavaScript-сценарий OldGremlin.JsDownloader.
Данный сценарий расположен внутри файла word.txt в Base64 виде.
OldGremlin.JsDownloader был классифицирован как Downloader, в задачи которого входит загрузка и выполнение произвольных JavaScript-сценариев.
Данный скрипт исполняется в виде анонимной функции.
После запуска выполнится подключение к серверу 157[.]230[.]18[.]205:80 и на C2-сервер будет отправлен случайно сгенерированный набор данных размером 32 байта.
Полученным ответом является подпись отправленного набора данных. Далее выполнится проверка полученной подписи с заданными параметрами публичного ключа.
В случае успешной проверки, OldGremlin.JsDownloader будет ожидать данных от C2.
После того как вредоносный загрузчик получит данные от сервера, они будут расшифрованы и переданы в функцию eval(), которая позволяет выполнить произвольный JavaScript-код.
Алгоритм шифрования данных - RC4, где ключом является хеш-сумма MD5, полученная от случайно сгенерированного набора байт, который был отправлен на сервер ранее.
Индикаторы компрометации - в отчете.
Forwarded from Russian OSINT
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from SHADOW:Group
В связи с недавно прошедшими мероприятиями и моим отпуском не было времени упомянуть некоторые крутые недавно опубликованные доклады. И к одному из таких относится ресерч старины Orange Tsai, в ходе которого было найдено сразу несколько CVE и различных мисконфигов в серверах Apache.
Странно, что никто об этом еще не написал, так как материал очень интересный и я всем рекомендую ознакомиться с оригиналом по ссылке. Я также набросал несколько шаблонов для Nuclei на основе этого доклада, которые вы можете доработать или использовать как есть на своих целях (закину их в комменты под постом).
#web #apache #cve
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from s0i37_channel
В прошедшие выходные выступал с докладом на ПикникИТ. Рассказывал снова про физические контактные и бесконтактные атаки. После доклада один из слушателей задал вопрос про Wi-Fi EAP. Атака на enterprise сеть одна из самых опасных для компаний и, пожалуй полностью неустранима. Главная беда этой атаки в том, что подставляют клиенты, а их контролировать достаточно сложно. На практике мне встречались сети WPA TTLS которые вроде бы на 100% не подвержены разглашению кредов, но креды прилетали все равно... Возможно дело тут в пользователях которые неправильно настроили свои устройства либо устройства ещё помнят старую уязвимую конфигурацию. И пока на клиентских устройствах будут поддерживаться GTC и MSCHAP атака будет актуальна.
Forwarded from s0i37_channel
Про очевидные рекомендации и так все знают. И поэтому я бы предложил ещё что то от себя. Я написал скрипт, который умеет детектить проведение такой атаки (https://github.com/s0i37/defence/blob/main/wifi/eap.py). Активно обороняясь от атак на WPA EAP, мы можем смотреть на четыре вещи. Первая - WPA Enterprise характерна для неподвижных устройств - корпоративных роутеров, и телефонами она как правило не раздаётся. Так что если мы в процессе мониторинга за радиоэфиром спустя длительное время вдруг услышали ещё какую то WPA Enterprise сеть это повод насторожиться. Второе - Mac-адреса. Для покрытия большой территории корпоративная сеть обычно строится из ряда роутеров, Mac-адреса которых имеют схожие октеты, хакер же со своей точкой доступа может не позаботиться о смене мака что позволит сразу увидеть аномалию. Третье - uptime. У легитимных точек он измеряется месяцами, тогда как на ноутбуке или телефоне - часами. И наконец четвертое, суть атаки - мы можем подключаться к каждой вновь услышанной WPA EAP точке и запрашивать методы аутентификации. Хакерская точка доступа имеет явное отличие - предлагаемые ею методы аутентификации идут в обратном порядке, от небезопасных к безопасным.
Forwarded from s0i37_channel
И в результате, легко обнаруживаем наглеца запустившего eaphammer. Уровень сигнала дает нам понять, как близко находится хакер.