Forwarded from s0i37_channel
В прошедшие выходные выступал с докладом на ПикникИТ. Рассказывал снова про физические контактные и бесконтактные атаки. После доклада один из слушателей задал вопрос про Wi-Fi EAP. Атака на enterprise сеть одна из самых опасных для компаний и, пожалуй полностью неустранима. Главная беда этой атаки в том, что подставляют клиенты, а их контролировать достаточно сложно. На практике мне встречались сети WPA TTLS которые вроде бы на 100% не подвержены разглашению кредов, но креды прилетали все равно... Возможно дело тут в пользователях которые неправильно настроили свои устройства либо устройства ещё помнят старую уязвимую конфигурацию. И пока на клиентских устройствах будут поддерживаться GTC и MSCHAP атака будет актуальна.
Forwarded from s0i37_channel
Про очевидные рекомендации и так все знают. И поэтому я бы предложил ещё что то от себя. Я написал скрипт, который умеет детектить проведение такой атаки (https://github.com/s0i37/defence/blob/main/wifi/eap.py). Активно обороняясь от атак на WPA EAP, мы можем смотреть на четыре вещи. Первая - WPA Enterprise характерна для неподвижных устройств - корпоративных роутеров, и телефонами она как правило не раздаётся. Так что если мы в процессе мониторинга за радиоэфиром спустя длительное время вдруг услышали ещё какую то WPA Enterprise сеть это повод насторожиться. Второе - Mac-адреса. Для покрытия большой территории корпоративная сеть обычно строится из ряда роутеров, Mac-адреса которых имеют схожие октеты, хакер же со своей точкой доступа может не позаботиться о смене мака что позволит сразу увидеть аномалию. Третье - uptime. У легитимных точек он измеряется месяцами, тогда как на ноутбуке или телефоне - часами. И наконец четвертое, суть атаки - мы можем подключаться к каждой вновь услышанной WPA EAP точке и запрашивать методы аутентификации. Хакерская точка доступа имеет явное отличие - предлагаемые ею методы аутентификации идут в обратном порядке, от небезопасных к безопасным.
Forwarded from s0i37_channel
И в результате, легко обнаруживаем наглеца запустившего eaphammer. Уровень сигнала дает нам понять, как близко находится хакер.
Forwarded from SecAtor
Исследователи из Лаборатории Касперского не на шутку продолжают бомбить новыми исследованиями, на этот раз повествуя о новом трояне для Windows названием Unicorn.
В начале сентября ресерчерам ЛК удалось задетектить вредоносную рассылку, нацеленную на кражу конфиденциальных данных.
Атаке подверглись российские энергетические компании и промышленные предприятия, а также поставщики и разработчики электронных компонентов.
Как правило, в подобного рода атаках вредоносные ПО самоликвидируются сразу после кражи, однако в данном случае этого не произошло.
Вредоносное ПО распространяется в виде почтовых вложений или файлов на Яндекс Диске через ссылку в письме.
Рассылаемый таким образом файл представляет собой RAR-архив, внутри которого содержится файл с двойным расширением PDF + LNK.
Вредоносный ярлык содержит команду на запуск приложения mshta, которое скачивает и выполняет файл HTML Application (HTA).
Для маскировки трафика URL-адрес, с которого скачивается вредоносный HTA, оканчивается на .pdf.
При запуске HTA выполняется вредоносный VBS-скрипт, который создает на диске два скрипта: update.vbs и upgrade.vbs, а также после этого - ключи на автозапуск этих скриптов в реестре.
Дополнительно с использованием schtasks.exe в планировщике создаются две задачи для запуска этих же скриптов.
Наконец, в реестре, в ветке HKCU\Software\ReaItek\Audio\ создаются дополнительные ключи: CID_SZ,GFI_SZ,IFE_SZ,AFI_SZ,SFP_SZ,UEC_SZ,UFP_SZ,UFS_SZ,SCP_SZ,EUP_SZ, в которых в зашифрованном виде содержится вредоносный VBS-код.
Созданные на диске скрипты (update.vbs и upgrade.vbs) при запуске вычитывают значения ключей из ветки HKCU\Software\ReaItek\Audio\, расшифровывают и выполняют их.
При запуске update.vbs расшифрованные им фрагменты скрипта создают папку %USERPROFILE%\AppData\Local\ReaItek, в которую затем копируют файлы из домашнего каталога пользователя.
Троянца интересуют файлы размером менее 50 МБ с расширениями txt, pdf, doc, docx, xls, xlsx, png, rtf, jpg, zip и rar.
Кроме того, туда же копируется содержимое из %USERPROFILE%\AppData\Roaming\Telegram Desktop\tdata.
Информацию о скопированных файлах и дате их последней модификации скрипт сохраняет в текстовый файл iids.txt и постоянно сверяется с ним, чтобы при каждом запуске копировать только новые или измененные документы.
Upgrade.vbs при помощи расшифрованного кода из реестра отправляет на сайт злоумышленников скопированные файлы, сверяя каждый раз при перезапуске информацию об отправленных данных, которая записывается в файл oids.txt.
Оба скрипта после кражи остаются в системе и при перезапуске копируют и выгружают на сервер злоумышленников новые или изменненные файлы.
Таким образом, вместо того чтобы один раз украсть данные и замести следы своего присутствия, Unicorn продолжает процедуру каждый раз, вероятно, до тех пор, пока ее не обнаружат.
Связей с известными группировками не прослеживается.
Индикаторы компрометации - в отчете Лаборатории Касперского.
В начале сентября ресерчерам ЛК удалось задетектить вредоносную рассылку, нацеленную на кражу конфиденциальных данных.
Атаке подверглись российские энергетические компании и промышленные предприятия, а также поставщики и разработчики электронных компонентов.
Как правило, в подобного рода атаках вредоносные ПО самоликвидируются сразу после кражи, однако в данном случае этого не произошло.
Вредоносное ПО распространяется в виде почтовых вложений или файлов на Яндекс Диске через ссылку в письме.
Рассылаемый таким образом файл представляет собой RAR-архив, внутри которого содержится файл с двойным расширением PDF + LNK.
Вредоносный ярлык содержит команду на запуск приложения mshta, которое скачивает и выполняет файл HTML Application (HTA).
Для маскировки трафика URL-адрес, с которого скачивается вредоносный HTA, оканчивается на .pdf.
При запуске HTA выполняется вредоносный VBS-скрипт, который создает на диске два скрипта: update.vbs и upgrade.vbs, а также после этого - ключи на автозапуск этих скриптов в реестре.
Дополнительно с использованием schtasks.exe в планировщике создаются две задачи для запуска этих же скриптов.
Наконец, в реестре, в ветке HKCU\Software\ReaItek\Audio\ создаются дополнительные ключи: CID_SZ,GFI_SZ,IFE_SZ,AFI_SZ,SFP_SZ,UEC_SZ,UFP_SZ,UFS_SZ,SCP_SZ,EUP_SZ, в которых в зашифрованном виде содержится вредоносный VBS-код.
Созданные на диске скрипты (update.vbs и upgrade.vbs) при запуске вычитывают значения ключей из ветки HKCU\Software\ReaItek\Audio\, расшифровывают и выполняют их.
При запуске update.vbs расшифрованные им фрагменты скрипта создают папку %USERPROFILE%\AppData\Local\ReaItek, в которую затем копируют файлы из домашнего каталога пользователя.
Троянца интересуют файлы размером менее 50 МБ с расширениями txt, pdf, doc, docx, xls, xlsx, png, rtf, jpg, zip и rar.
Кроме того, туда же копируется содержимое из %USERPROFILE%\AppData\Roaming\Telegram Desktop\tdata.
Информацию о скопированных файлах и дате их последней модификации скрипт сохраняет в текстовый файл iids.txt и постоянно сверяется с ним, чтобы при каждом запуске копировать только новые или измененные документы.
Upgrade.vbs при помощи расшифрованного кода из реестра отправляет на сайт злоумышленников скопированные файлы, сверяя каждый раз при перезапуске информацию об отправленных данных, которая записывается в файл oids.txt.
Оба скрипта после кражи остаются в системе и при перезапуске копируют и выгружают на сервер злоумышленников новые или изменненные файлы.
Таким образом, вместо того чтобы один раз украсть данные и замести следы своего присутствия, Unicorn продолжает процедуру каждый раз, вероятно, до тех пор, пока ее не обнаружат.
Связей с известными группировками не прослеживается.
Индикаторы компрометации - в отчете Лаборатории Касперского.
Forwarded from #Beacon
Конспект по обходу файрволов с помощью nmap (Прохожу курс HTB Certified Penetration Testing Specialist чтобы сдать экзамен и получить сертификатик)😄
https://telegra.ph/Obhod-fajrvolov-i-sistem-obnaruzheniya-vtorzhenij-IDSIPS-cherez-nmap-prohozhdenie-eazy-hard-medium-laboratorij-09-19
#CPTS_HTB
https://telegra.ph/Obhod-fajrvolov-i-sistem-obnaruzheniya-vtorzhenij-IDSIPS-cherez-nmap-prohozhdenie-eazy-hard-medium-laboratorij-09-19
#CPTS_HTB
Telegraph
Обход файрволов и систем обнаружения вторжений (IDS/IPS) через nmap, прохождение eazy, hard, medium лабораторий
Nmap предоставляет несколько методов для обхода файрволов и систем IDS/IPS: В этом курсе рассматриваются методы обхода правил брандмауэров и систем обнаружения/предотвращения вторжений (IDS/IPS) с помощью Nmap . Основное внимание уделяется использованию…
Forwarded from Записки потомственного it'шника (Deny)
Nowsci
WinApps for Linux | nowsci.com
Run Windows apps such as Microsoft Office/Adobe in Linux (Ubuntu/Fedora) and GNOME/KDE as if they were a part of the native OS, including Nautilus integration for right clicking on files of specific mime types to open them.
Forwarded from Записки потомственного it'шника (Deny)
GitHub
GitHub - xlmnxp/Qocker: Qocker is a user-friendly GUI application for managing Docker containers. Built with PyQt5, it provides…
Qocker is a user-friendly GUI application for managing Docker containers. Built with PyQt5, it provides an intuitive interface for viewing and interacting with your Docker containers. - xlmnxp/Qocker
Forwarded from Поросёнок Пётр
Вот теперь уже можно официально признать тот факт что DELL могли закрыть проблему год назад, но предпочли сэкономить 2500$ на critical репорте, засунули его в informative state и даже ничего не исправили!
Это реалии bug bounty management и policy. Когда важнее рисёрчера поставить на место, чем разбираться в проблеме, которая как будь то не в твоей зоне отетственности. При этом как мне правильно подметили в комментах в твиттере - "Threat actors don't care about your bugbounty program's scope".
Теперь в новостях даже написано что "Hackers claim a second Dell data breach within a week, exposing sensitive internal files via compromised Atlassian tools. Allegedly, data from Jira, Jenkins, and Confluence was leaked.". Список затронутых систем в действительности более жирный - git, jira, confluence, jenkins, artifactory etc
Сейчас они героически порасследуют и скажут что ничего серьезного не украдено.
Однако сама проблема не в том что могло быть что-то украдено. А в том что обнаруженная нами ранее supply chain issue связанная с одним из подрядчиков, позволяла комитить в main, и ходить по репозиториям собирая hardcoded secrets от следующих сервисов. А вы что думали компания с офигенной капитализацией умеет в secret management? 😂
Когда мы это нашли, то ощущения были весьма стремные. Прикиньте такая большая контора, которая технику поставляет огромным корпорациям, а вы берете, заходите в их деплой системы и можете вредоноса оставить, и в системах закрепиться, и никто это даже исправлять не хочет 🫠
Это реалии bug bounty management и policy. Когда важнее рисёрчера поставить на место, чем разбираться в проблеме, которая как будь то не в твоей зоне отетственности. При этом как мне правильно подметили в комментах в твиттере - "Threat actors don't care about your bugbounty program's scope".
Теперь в новостях даже написано что "Hackers claim a second Dell data breach within a week, exposing sensitive internal files via compromised Atlassian tools. Allegedly, data from Jira, Jenkins, and Confluence was leaked.". Список затронутых систем в действительности более жирный - git, jira, confluence, jenkins, artifactory etc
Сейчас они героически порасследуют и скажут что ничего серьезного не украдено.
Однако сама проблема не в том что могло быть что-то украдено. А в том что обнаруженная нами ранее supply chain issue связанная с одним из подрядчиков, позволяла комитить в main, и ходить по репозиториям собирая hardcoded secrets от следующих сервисов. А вы что думали компания с офигенной капитализацией умеет в secret management? 😂
Когда мы это нашли, то ощущения были весьма стремные. Прикиньте такая большая контора, которая технику поставляет огромным корпорациям, а вы берете, заходите в их деплой системы и можете вредоноса оставить, и в системах закрепиться, и никто это даже исправлять не хочет 🫠
Forwarded from s0i37_channel
Вчера дал интервью кибермедиа на тему противодействия шодану (https://securitymedia.org/info/shodan-mir-otkrytykh-portov-i-uyazvimykh-ustroystv.html). Когда то давно я уже писал про то как можно испортить сканирование портов.
1. Использовать на фаерволе правило отвечать всем SYN-ACK, тогда перед злоумышленником будет 65к открытых портов. Иногда встречаю такое при сканировании портов - неприятная штука.
2. Ну и если вы хотите в конец испортить жизнь хакерам - перенаправьте все закрытые порты в заглушку, которая шлет какой-нибудь мусор из /dev/zero. Такая техника весит service identification, и в конечном счете исчерпывает память у атакующего.
1. Использовать на фаерволе правило отвечать всем SYN-ACK, тогда перед злоумышленником будет 65к открытых портов. Иногда встречаю такое при сканировании портов - неприятная штука.
2. Ну и если вы хотите в конец испортить жизнь хакерам - перенаправьте все закрытые порты в заглушку, которая шлет какой-нибудь мусор из /dev/zero. Такая техника весит service identification, и в конечном счете исчерпывает память у атакующего.
Forwarded from Записки потомственного it'шника (Deny)
GitHub
GitHub - x90skysn3k/brutespray: Fast, multi-protocol credential brute-forcer. Parses Nmap, Nessus, and Nexpose output to automatically…
Fast, multi-protocol credential brute-forcer. Parses Nmap, Nessus, and Nexpose output to automatically test default and custom credentials across 30+ protocols. - x90skysn3k/brutespray
Forwarded from Offensive Xwitter
😈 [ trickster0 @trickster012 ]
I just released my C2 I was working on, on my free time. Feel free to play around make your own forks if you like it. It needs a lot of work but it is a fully rust one with small implant and working sleep obfuscation.
🔗 https://github.com/trickster0/NamelessC2
🐥 [ tweet ]
I just released my C2 I was working on, on my free time. Feel free to play around make your own forks if you like it. It needs a lot of work but it is a fully rust one with small implant and working sleep obfuscation.
🔗 https://github.com/trickster0/NamelessC2
🐥 [ tweet ]
Forwarded from Волосатый бублик
Yeehaw! In TrustedSec new blog post, CSO & VP of Consulting Services Martin Bos highlights some new command line interface (CLI) tools so you can navigate your workflow like a console cowboy 🤠 Read it now!
https://trustedsec.com/blog/console-cowboys-navigating-the-modern-terminal-frontier
Table of contents:
1. tldr
2. cheat
3. bat
4. lsd
5. Atuin
5. Delta
6. Fastfetch
7. bottom
8. zoxide
9. fd
10. ripgrep
11. Broot
12. fzf
13. gping
14. procs
15. HTTPie
16. dust
17. speedtest-cli
18. Putting it all together
https://trustedsec.com/blog/console-cowboys-navigating-the-modern-terminal-frontier
Table of contents:
1. tldr
2. cheat
3. bat
4. lsd
5. Atuin
5. Delta
6. Fastfetch
7. bottom
8. zoxide
9. fd
10. ripgrep
11. Broot
12. fzf
13. gping
14. procs
15. HTTPie
16. dust
17. speedtest-cli
18. Putting it all together