Forwarded from Offensive Xwitter
😈 [ Sam ☁️🪵 @Sam0x90 ]
Interesting ZIP trick with __Macosx__ folder and LNK executing ftp script to execute embedded pythonw.exe
zip > docx LNK > ftp.exe > disguised pythonw.exe > CS shellcode
#CTI #DetectionEngineering
🔗 https://www.ctfiot.com/203334.html
🐥 [ tweet ]
Interesting ZIP trick with __Macosx__ folder and LNK executing ftp script to execute embedded pythonw.exe
zip > docx LNK > ftp.exe > disguised pythonw.exe > CS shellcode
#CTI #DetectionEngineering
🔗 https://www.ctfiot.com/203334.html
🐥 [ tweet ]
Forwarded from SecAtor
Лаборатория Касперского продолжает разбор активности проукраинской хактивистской группы Head Mare, которая после появления в 2023 году нацелена исключительно на российские и белорусские компании с использованием ransomware.
С начала СВО появилось множество хактивистских групп, основная цель которых зачастую заключается в нанесении как можно большего ущерба.
Однако, в отличие от некоторых других, Head Mare также требует выкуп за расшифровку данных.
Хактивистские группировки, атакующие российские организации, характеризуются схожими техниками и инструментами и при анализе по методике Unified Kill Chain дают примерно одинаковую картину.
В ходе анализа инцидентов в российских компаниях ресерчерам удалось определить, каким образом Head Mare проводит свои атаки и какие утилиты использует, а также установить связь с вредоносной активностью, известной как PhantomDL.
Как и большинство хактивистских групп, Head Mare поддерживает публичный аккаунт в социальной сети X, где размещает информацию о некоторых из своих жертв.
На момент проведения исследования группировка заявила о 9 жертвах из различных отраслей.
Для получения первоначального доступа группа реализует различные фишинговые кампании, в ходе которых распространяет RAR-архивы, эксплуатирующие относительно свежую CVE-2023-38831 в WinRAR, позволяющую выполнить в системе произвольный код.
В своих атаках Head Mare в основном использует общедоступное ПО.
При этом группа использует для первоначального доступа и эксплуатации фишинговые письма, содержащие архивы с кастомным вредоносным ПО PhantomDL и PhantomCore.
Кроме того, в своих атаках Head Mare задействует: шифровальщики LockBit и Babuk (сгенерированные с помощью общедоступного билдера), Sliver (основной C2-фреймворк для атакующих), ngrok, rsockstun (оба используют для Pivoting), XenAllPasswordPro и Mimikatz.
Злоумышленники создают задачи планировщика и значения реестра с именами MicrosoftUpdateCore и MicrosoftUpdateCoree, чтобы маскировать свою деятельность под задачи, связанные с ПО Microsoft.
В целом, многие инструменты, использованные Head Mare, имели характерные для легитимных программ названия и находились по стандартным или похожим на стандартные путям.
TTPs и инструменты группы Head Mare во многом похожи на активность других групп, относящихся к кластерам, связанным с атаками на организации в России и Беларуси в рамках СВО, однако замечено, что злоумышленники эволюционируют и совершенствуются.
Подробный разбор по каждому из инструментов и IOC - в отчете.
С начала СВО появилось множество хактивистских групп, основная цель которых зачастую заключается в нанесении как можно большего ущерба.
Однако, в отличие от некоторых других, Head Mare также требует выкуп за расшифровку данных.
Хактивистские группировки, атакующие российские организации, характеризуются схожими техниками и инструментами и при анализе по методике Unified Kill Chain дают примерно одинаковую картину.
В ходе анализа инцидентов в российских компаниях ресерчерам удалось определить, каким образом Head Mare проводит свои атаки и какие утилиты использует, а также установить связь с вредоносной активностью, известной как PhantomDL.
Как и большинство хактивистских групп, Head Mare поддерживает публичный аккаунт в социальной сети X, где размещает информацию о некоторых из своих жертв.
На момент проведения исследования группировка заявила о 9 жертвах из различных отраслей.
Для получения первоначального доступа группа реализует различные фишинговые кампании, в ходе которых распространяет RAR-архивы, эксплуатирующие относительно свежую CVE-2023-38831 в WinRAR, позволяющую выполнить в системе произвольный код.
В своих атаках Head Mare в основном использует общедоступное ПО.
При этом группа использует для первоначального доступа и эксплуатации фишинговые письма, содержащие архивы с кастомным вредоносным ПО PhantomDL и PhantomCore.
Кроме того, в своих атаках Head Mare задействует: шифровальщики LockBit и Babuk (сгенерированные с помощью общедоступного билдера), Sliver (основной C2-фреймворк для атакующих), ngrok, rsockstun (оба используют для Pivoting), XenAllPasswordPro и Mimikatz.
Злоумышленники создают задачи планировщика и значения реестра с именами MicrosoftUpdateCore и MicrosoftUpdateCoree, чтобы маскировать свою деятельность под задачи, связанные с ПО Microsoft.
В целом, многие инструменты, использованные Head Mare, имели характерные для легитимных программ названия и находились по стандартным или похожим на стандартные путям.
TTPs и инструменты группы Head Mare во многом похожи на активность других групп, относящихся к кластерам, связанным с атаками на организации в России и Беларуси в рамках СВО, однако замечено, что злоумышленники эволюционируют и совершенствуются.
Подробный разбор по каждому из инструментов и IOC - в отчете.
Forwarded from SecAtor
F.A.C.C.T. сообщают о возвращении банды вымогателей OldGremlin, которая сеяла страх среди российских компаний в 2020-2022 годах и однажды затребовала выкуп в размере до 1 миллиарда рублей.
Группа была неактивна с сентября 2022 года, но почти спустя два года злоумышленники снова заявили о себе, реализовав новую рассылку и задействовав при этом новый инструмент OldGremlin.JsDownloader.
Аналитики F.A.C.C.T. обнаружили загруженное на AnyRun письмо от имени сотрудницы компании Диадок с использованием адреса makarova@diadok[.]net, получателем которого являлся сотрудник крупной российской нефтехимической компании.
Письмо было отправлено 12 августа, а домен diadok[.]net, с которого было отправлено вредоносное письмо, мимикрирует под оригинальный домен компании Контур.Диадок - diadoc[.]ru.
Письмо содержало URL-ссылку для скачивания файла "счет-фактура.xlsx".
После перехода загружался архив с LNK-файлом, после запуска которого следует подключение к WebDav-серверу для выполнения команд на стороне жертвы и загрузки файла node.exe.
Он является Node.js интерпретатором версии v0.10.48 и доступен для загрузки с официального сайта Node.js (hxxps://nodejs[.]org/) по ссылке hxxps://nodejs[.]org/dist/v0.10.48/node.exe.
Причем ранее такая приманка, как и WebDAV, уже встречались в атаках OldGremlin, что сразу привлекло внимание исследователей.
Кроме того, замечено еще одно совпадение: в предыдущих атаках также использовались Node.js интерпретаторы.
Другой загружаемый файл word.txt представляет собой JavsScript-сценарий, который после запуска выполнит команду в интерпретаторе команд Windows.
В результате выполнения команды будет открыт XLS-файл приманка, доступный по WebDav-пути.
Далее, в контексте текущего процесса JavaScript-сценария, будет запущен дочерний процесс Node.js и реализовано изменение поведения сценария.
Вместо запуска XLS-файла приманки и очередного дочернего процесса, файл декодирует и запустит JavaScript-сценарий OldGremlin.JsDownloader.
Данный сценарий расположен внутри файла word.txt в Base64 виде.
OldGremlin.JsDownloader был классифицирован как Downloader, в задачи которого входит загрузка и выполнение произвольных JavaScript-сценариев.
Данный скрипт исполняется в виде анонимной функции.
После запуска выполнится подключение к серверу 157[.]230[.]18[.]205:80 и на C2-сервер будет отправлен случайно сгенерированный набор данных размером 32 байта.
Полученным ответом является подпись отправленного набора данных. Далее выполнится проверка полученной подписи с заданными параметрами публичного ключа.
В случае успешной проверки, OldGremlin.JsDownloader будет ожидать данных от C2.
После того как вредоносный загрузчик получит данные от сервера, они будут расшифрованы и переданы в функцию eval(), которая позволяет выполнить произвольный JavaScript-код.
Алгоритм шифрования данных - RC4, где ключом является хеш-сумма MD5, полученная от случайно сгенерированного набора байт, который был отправлен на сервер ранее.
Индикаторы компрометации - в отчете.
Группа была неактивна с сентября 2022 года, но почти спустя два года злоумышленники снова заявили о себе, реализовав новую рассылку и задействовав при этом новый инструмент OldGremlin.JsDownloader.
Аналитики F.A.C.C.T. обнаружили загруженное на AnyRun письмо от имени сотрудницы компании Диадок с использованием адреса makarova@diadok[.]net, получателем которого являлся сотрудник крупной российской нефтехимической компании.
Письмо было отправлено 12 августа, а домен diadok[.]net, с которого было отправлено вредоносное письмо, мимикрирует под оригинальный домен компании Контур.Диадок - diadoc[.]ru.
Письмо содержало URL-ссылку для скачивания файла "счет-фактура.xlsx".
После перехода загружался архив с LNK-файлом, после запуска которого следует подключение к WebDav-серверу для выполнения команд на стороне жертвы и загрузки файла node.exe.
Он является Node.js интерпретатором версии v0.10.48 и доступен для загрузки с официального сайта Node.js (hxxps://nodejs[.]org/) по ссылке hxxps://nodejs[.]org/dist/v0.10.48/node.exe.
Причем ранее такая приманка, как и WebDAV, уже встречались в атаках OldGremlin, что сразу привлекло внимание исследователей.
Кроме того, замечено еще одно совпадение: в предыдущих атаках также использовались Node.js интерпретаторы.
Другой загружаемый файл word.txt представляет собой JavsScript-сценарий, который после запуска выполнит команду в интерпретаторе команд Windows.
В результате выполнения команды будет открыт XLS-файл приманка, доступный по WebDav-пути.
Далее, в контексте текущего процесса JavaScript-сценария, будет запущен дочерний процесс Node.js и реализовано изменение поведения сценария.
Вместо запуска XLS-файла приманки и очередного дочернего процесса, файл декодирует и запустит JavaScript-сценарий OldGremlin.JsDownloader.
Данный сценарий расположен внутри файла word.txt в Base64 виде.
OldGremlin.JsDownloader был классифицирован как Downloader, в задачи которого входит загрузка и выполнение произвольных JavaScript-сценариев.
Данный скрипт исполняется в виде анонимной функции.
После запуска выполнится подключение к серверу 157[.]230[.]18[.]205:80 и на C2-сервер будет отправлен случайно сгенерированный набор данных размером 32 байта.
Полученным ответом является подпись отправленного набора данных. Далее выполнится проверка полученной подписи с заданными параметрами публичного ключа.
В случае успешной проверки, OldGremlin.JsDownloader будет ожидать данных от C2.
После того как вредоносный загрузчик получит данные от сервера, они будут расшифрованы и переданы в функцию eval(), которая позволяет выполнить произвольный JavaScript-код.
Алгоритм шифрования данных - RC4, где ключом является хеш-сумма MD5, полученная от случайно сгенерированного набора байт, который был отправлен на сервер ранее.
Индикаторы компрометации - в отчете.
Forwarded from Russian OSINT
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from SHADOW:Group
В связи с недавно прошедшими мероприятиями и моим отпуском не было времени упомянуть некоторые крутые недавно опубликованные доклады. И к одному из таких относится ресерч старины Orange Tsai, в ходе которого было найдено сразу несколько CVE и различных мисконфигов в серверах Apache.
Странно, что никто об этом еще не написал, так как материал очень интересный и я всем рекомендую ознакомиться с оригиналом по ссылке. Я также набросал несколько шаблонов для Nuclei на основе этого доклада, которые вы можете доработать или использовать как есть на своих целях (закину их в комменты под постом).
#web #apache #cve
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from s0i37_channel
В прошедшие выходные выступал с докладом на ПикникИТ. Рассказывал снова про физические контактные и бесконтактные атаки. После доклада один из слушателей задал вопрос про Wi-Fi EAP. Атака на enterprise сеть одна из самых опасных для компаний и, пожалуй полностью неустранима. Главная беда этой атаки в том, что подставляют клиенты, а их контролировать достаточно сложно. На практике мне встречались сети WPA TTLS которые вроде бы на 100% не подвержены разглашению кредов, но креды прилетали все равно... Возможно дело тут в пользователях которые неправильно настроили свои устройства либо устройства ещё помнят старую уязвимую конфигурацию. И пока на клиентских устройствах будут поддерживаться GTC и MSCHAP атака будет актуальна.
Forwarded from s0i37_channel
Про очевидные рекомендации и так все знают. И поэтому я бы предложил ещё что то от себя. Я написал скрипт, который умеет детектить проведение такой атаки (https://github.com/s0i37/defence/blob/main/wifi/eap.py). Активно обороняясь от атак на WPA EAP, мы можем смотреть на четыре вещи. Первая - WPA Enterprise характерна для неподвижных устройств - корпоративных роутеров, и телефонами она как правило не раздаётся. Так что если мы в процессе мониторинга за радиоэфиром спустя длительное время вдруг услышали ещё какую то WPA Enterprise сеть это повод насторожиться. Второе - Mac-адреса. Для покрытия большой территории корпоративная сеть обычно строится из ряда роутеров, Mac-адреса которых имеют схожие октеты, хакер же со своей точкой доступа может не позаботиться о смене мака что позволит сразу увидеть аномалию. Третье - uptime. У легитимных точек он измеряется месяцами, тогда как на ноутбуке или телефоне - часами. И наконец четвертое, суть атаки - мы можем подключаться к каждой вновь услышанной WPA EAP точке и запрашивать методы аутентификации. Хакерская точка доступа имеет явное отличие - предлагаемые ею методы аутентификации идут в обратном порядке, от небезопасных к безопасным.
Forwarded from s0i37_channel
И в результате, легко обнаруживаем наглеца запустившего eaphammer. Уровень сигнала дает нам понять, как близко находится хакер.
Forwarded from SecAtor
Исследователи из Лаборатории Касперского не на шутку продолжают бомбить новыми исследованиями, на этот раз повествуя о новом трояне для Windows названием Unicorn.
В начале сентября ресерчерам ЛК удалось задетектить вредоносную рассылку, нацеленную на кражу конфиденциальных данных.
Атаке подверглись российские энергетические компании и промышленные предприятия, а также поставщики и разработчики электронных компонентов.
Как правило, в подобного рода атаках вредоносные ПО самоликвидируются сразу после кражи, однако в данном случае этого не произошло.
Вредоносное ПО распространяется в виде почтовых вложений или файлов на Яндекс Диске через ссылку в письме.
Рассылаемый таким образом файл представляет собой RAR-архив, внутри которого содержится файл с двойным расширением PDF + LNK.
Вредоносный ярлык содержит команду на запуск приложения mshta, которое скачивает и выполняет файл HTML Application (HTA).
Для маскировки трафика URL-адрес, с которого скачивается вредоносный HTA, оканчивается на .pdf.
При запуске HTA выполняется вредоносный VBS-скрипт, который создает на диске два скрипта: update.vbs и upgrade.vbs, а также после этого - ключи на автозапуск этих скриптов в реестре.
Дополнительно с использованием schtasks.exe в планировщике создаются две задачи для запуска этих же скриптов.
Наконец, в реестре, в ветке HKCU\Software\ReaItek\Audio\ создаются дополнительные ключи: CID_SZ,GFI_SZ,IFE_SZ,AFI_SZ,SFP_SZ,UEC_SZ,UFP_SZ,UFS_SZ,SCP_SZ,EUP_SZ, в которых в зашифрованном виде содержится вредоносный VBS-код.
Созданные на диске скрипты (update.vbs и upgrade.vbs) при запуске вычитывают значения ключей из ветки HKCU\Software\ReaItek\Audio\, расшифровывают и выполняют их.
При запуске update.vbs расшифрованные им фрагменты скрипта создают папку %USERPROFILE%\AppData\Local\ReaItek, в которую затем копируют файлы из домашнего каталога пользователя.
Троянца интересуют файлы размером менее 50 МБ с расширениями txt, pdf, doc, docx, xls, xlsx, png, rtf, jpg, zip и rar.
Кроме того, туда же копируется содержимое из %USERPROFILE%\AppData\Roaming\Telegram Desktop\tdata.
Информацию о скопированных файлах и дате их последней модификации скрипт сохраняет в текстовый файл iids.txt и постоянно сверяется с ним, чтобы при каждом запуске копировать только новые или измененные документы.
Upgrade.vbs при помощи расшифрованного кода из реестра отправляет на сайт злоумышленников скопированные файлы, сверяя каждый раз при перезапуске информацию об отправленных данных, которая записывается в файл oids.txt.
Оба скрипта после кражи остаются в системе и при перезапуске копируют и выгружают на сервер злоумышленников новые или изменненные файлы.
Таким образом, вместо того чтобы один раз украсть данные и замести следы своего присутствия, Unicorn продолжает процедуру каждый раз, вероятно, до тех пор, пока ее не обнаружат.
Связей с известными группировками не прослеживается.
Индикаторы компрометации - в отчете Лаборатории Касперского.
В начале сентября ресерчерам ЛК удалось задетектить вредоносную рассылку, нацеленную на кражу конфиденциальных данных.
Атаке подверглись российские энергетические компании и промышленные предприятия, а также поставщики и разработчики электронных компонентов.
Как правило, в подобного рода атаках вредоносные ПО самоликвидируются сразу после кражи, однако в данном случае этого не произошло.
Вредоносное ПО распространяется в виде почтовых вложений или файлов на Яндекс Диске через ссылку в письме.
Рассылаемый таким образом файл представляет собой RAR-архив, внутри которого содержится файл с двойным расширением PDF + LNK.
Вредоносный ярлык содержит команду на запуск приложения mshta, которое скачивает и выполняет файл HTML Application (HTA).
Для маскировки трафика URL-адрес, с которого скачивается вредоносный HTA, оканчивается на .pdf.
При запуске HTA выполняется вредоносный VBS-скрипт, который создает на диске два скрипта: update.vbs и upgrade.vbs, а также после этого - ключи на автозапуск этих скриптов в реестре.
Дополнительно с использованием schtasks.exe в планировщике создаются две задачи для запуска этих же скриптов.
Наконец, в реестре, в ветке HKCU\Software\ReaItek\Audio\ создаются дополнительные ключи: CID_SZ,GFI_SZ,IFE_SZ,AFI_SZ,SFP_SZ,UEC_SZ,UFP_SZ,UFS_SZ,SCP_SZ,EUP_SZ, в которых в зашифрованном виде содержится вредоносный VBS-код.
Созданные на диске скрипты (update.vbs и upgrade.vbs) при запуске вычитывают значения ключей из ветки HKCU\Software\ReaItek\Audio\, расшифровывают и выполняют их.
При запуске update.vbs расшифрованные им фрагменты скрипта создают папку %USERPROFILE%\AppData\Local\ReaItek, в которую затем копируют файлы из домашнего каталога пользователя.
Троянца интересуют файлы размером менее 50 МБ с расширениями txt, pdf, doc, docx, xls, xlsx, png, rtf, jpg, zip и rar.
Кроме того, туда же копируется содержимое из %USERPROFILE%\AppData\Roaming\Telegram Desktop\tdata.
Информацию о скопированных файлах и дате их последней модификации скрипт сохраняет в текстовый файл iids.txt и постоянно сверяется с ним, чтобы при каждом запуске копировать только новые или измененные документы.
Upgrade.vbs при помощи расшифрованного кода из реестра отправляет на сайт злоумышленников скопированные файлы, сверяя каждый раз при перезапуске информацию об отправленных данных, которая записывается в файл oids.txt.
Оба скрипта после кражи остаются в системе и при перезапуске копируют и выгружают на сервер злоумышленников новые или изменненные файлы.
Таким образом, вместо того чтобы один раз украсть данные и замести следы своего присутствия, Unicorn продолжает процедуру каждый раз, вероятно, до тех пор, пока ее не обнаружат.
Связей с известными группировками не прослеживается.
Индикаторы компрометации - в отчете Лаборатории Касперского.
Forwarded from #Beacon
Конспект по обходу файрволов с помощью nmap (Прохожу курс HTB Certified Penetration Testing Specialist чтобы сдать экзамен и получить сертификатик)😄
https://telegra.ph/Obhod-fajrvolov-i-sistem-obnaruzheniya-vtorzhenij-IDSIPS-cherez-nmap-prohozhdenie-eazy-hard-medium-laboratorij-09-19
#CPTS_HTB
https://telegra.ph/Obhod-fajrvolov-i-sistem-obnaruzheniya-vtorzhenij-IDSIPS-cherez-nmap-prohozhdenie-eazy-hard-medium-laboratorij-09-19
#CPTS_HTB
Telegraph
Обход файрволов и систем обнаружения вторжений (IDS/IPS) через nmap, прохождение eazy, hard, medium лабораторий
Nmap предоставляет несколько методов для обхода файрволов и систем IDS/IPS: В этом курсе рассматриваются методы обхода правил брандмауэров и систем обнаружения/предотвращения вторжений (IDS/IPS) с помощью Nmap . Основное внимание уделяется использованию…