Может кому пригодиться https://app.wgen.io/ сервис для генерации словарей для брута

Продолжим тему интересных вопросов с собесов, которые когда-то не вошли в подкаст :)) Думаю, все знают про MachineAccountQuota — количество компьютерных УЗ, которые могут добавлять пользователи в домен. Дефолтное значение 10. Однако, как этим злоупотреблять? В основном все вспоминают следующие основные кейсы:
- NTLM Relay / иной функционал абуза , для эксплуатации которого требуется компьютерная учетная запись, например, настройка RBCD
- Небезопасные ACL компьютерных учетных записей домена

Впрочем, есть еще один интересный вектор, который связан с SCCM и NAA (Network Access Accounts). Это специальные аккаунты, которые предоставляются SCCMом для того, чтобы клиент мог получить доступ к Distribution Point для загрузки необходимых файлов. Учетные данные от NAA в большинстве своем пушатся абсолютно на все компьютеры, управляемые SCCMом.

Если вдруг у передаваемой учетки недостаточно порезаны права, то у нас появляется вектор повышения привилегий :)

Итак, кейс первый. MAQ > 0 (или мы хакнули компьютерную УЗ). В таком случае берем инструмент sccmhunter и запускаем его следующим образом:

python sccmhunter.py http -auto -u pentest -p lolkekcheb123! -d abc.ru -dc-ip 192.168.0.1

Ключ -auto автоматически создаст УЗ. Можно указать уже существующую через -cp , -cn.

Однако, что если MAQ = 0? В таком случае мы можем осуществить ретрансляцию существующих кред любой машинной УЗ на SCCM и извлечь NAA-креды. Для этого берем форк , запускаем:

python3 ntlmrelayx.py -t http://sccm.sccmlab.local/ccm_system_windowsauth/request --sccm --sccm-device test12345 --sccm-fqdn sccm.sccmlab.local --sccm-sleep 10 -smb2support

-t <- Site Server, на который релеим
—sccm-device <- произвольное имя, которое появится в админке SCCM. Это имя как бы добавляемого устройства
—sccm-sleep <- таймаут, в течение которого ждать получения политики

Далее триггерим любым удобным способом любой компьютер. ntlmrelayx сдампит для нас любезно файл naapolicy.xml с учетными данными от NAA-аккаунта, которые можно расшифровать так, как показано в блоге.

Последнее время на ИБ конфах самые популярные темы: осинт, социалка и выгорание. Постараюсь быть в тренде и расскажу о разведке внутри инфры.
1. Часто бывает только одна непривилегированная УЗ , но очень хочется использовать её по полной. Как правило, всем учетным записям в домене разрешено ходить по RDP на терминальный сервер, но как найти терминальные серверы?
Для того что бы на Windows Server по RDP могло ходить много пользователей необходимо приобрести лицензию у Microsoft для создания терминального сервера. Данное действие оставляет следы, их и будем искать. Машинные учетные записи терминальных серверов состоят в группе Terminal Server License Servers достаточно найти их всех и попробовать сходить по RDP. Для поиска можно использовать ldapdomaindump или сделать ldap запрос:

go-windapsearch/windapsearch -d domain.local -u user -p 'P@ssw0rd' -m custom --filter="(&(objectClass=computer)(memberOf=CN=Terminal Server License Servers,CN=Users,CN=Builtin,DC=domain,DC=local))" --attrs dNSHostName

Ну или команда qappsrv [/domain:office.local]
2. Тоже самое с серверами MSSQL в сети, очень часто видел как группа domain users имеет право авторизоваться. Да, дальше прав на доступ к данным нет, но зачем они нам, когда есть MSSQL links, Impersonate privs, xp_dirtree, dbowner, etc...
Для того что бы найти много MSSQL, в том числе не на стандартных портах, можно использовать ldap запрос:

go-windapsearch/windapsearch -d domain.local -u user -p 'P@ssw0rd' -m custom --filter="(&(objectClass=computer)(servicePrincipalName=*MSSQLSvc/*))" --attrs dNSHostName,servicePrincipalName

На скриншоте приведен пример, как можно найти mssql на нестандартных портах.
3. Какой ваш любимый C2? Cobalt, Havoc, может всеми любимый sliver? Лично мой самый любимый - Kaspersky Security Center (KSC). Очень часто он любезно предустановлен в инфраструктуре и готов к работе, сразу подключено много агентов и уже собрано много информации. Кстати, если не можете найти в инфре KSC, то просто зайдите на любой хост и ПКМ по значку в трее покажет где KSC. Раньше для поиска нужного пользователя в домене я использовал скрипт Invoke-UserHunter, но очень часто корректная сегментация сети не позволит вам со своей машины дотянуться до нужных сегментов. Поэтому хорошая идея использовать встроенный поиск в KSC, ПКМ по Сервер администрирования -> Найти -> Вкладка "Пользователи" и ищем на каких машинах был залогинен нужный пользователь.

Попробовал автоматизировать чтобы ручками по сайту не ползать за другого юзера - получилось интересно. Кратко - запросы отправленные через прокси бурпа повторяются с кукисами атакующего авторизованного юзера, тоесть мы смотрим что мы можем делать за жертву имея куки другого аккаунта(как пример). Классика крч

😱 SUDACT

Для тех, кто интересуются киберкриминалистикой, есть замечательная база реальных дел и материалов sudact.ru, достаточно поискать по 272, 273 или 274.1 - тут и пробивщики, и ревнивые парни, и любители пораспространять ратники, злодеи, пытающиеся подбирать пароли к RDP, и даже чувак, отбывающий срок в тюрьме, которого там прибрали работать с документами, попытавшийся, с помощью программы для брутфорса паролей к RDP подобрать пароль к Socks5 прокси-серверу.

Клавиатурные хаки

Поделюсь своими хаками, которые ощутимо повышают мою продуктивность.


Раскладка
Долгое время пользовался Типографской раскладкой Ильи Бирмана. Она прекрасна и её можно рекомендовать каждому, поскольку ничего не ломает в стандартных PC-раскладках, зато добавляет кучу полезных символов в комбинации с правым alt / option ⌥. Причём в их расположении нетрудно проследить логику, благодаря которой символы легко отыскать и без заучивания.

Вдохновившись раскладкой Ильи, я пришёл к созданию собственной, где абсолютно любой символ (кроме букв) обязан быть доступен для набора, независимо от того, активен русский язык или же английский. Более того, каждый символ обязан оставаться на одном и том же месте.

Задумка удалась. Стало в разы меньше мусорных переключений между языками. Особенно актуально при наборе русского текста в markdown разметке. Например, в Obsidian. Языки, кстати, переключаются одной кнопкой hyper.

Делиться самой раскладкой я смысла не вижу, поскольку она сильно ломает привычные кнопки и подойдёт далеко не каждому. Вместо этого рекомендую собрать собственную в Ukelele (macOS) или MSKLC (win), а для вдохновения прикладываю скрин.

Стандартная кнопка с бэкслешем умышленно разбинжена, потому что она меня раздражает своим плавающим расположением в зависимости от региона клавиатуры.


Модификаторы
у меня тоже модифицированы. Какого-то практического смысла в этом немного, просто так исторически сложилось, что мне было проще нажимать command ⌘ мизинцем по капсу, правее пробела должен быть alt / option ⌥ для дополнительного слоя символов, а control ⌃ должен быть строго в углу.

Привычный капслок в моём варианте вообще отсутствует. Но если он вдруг зачем-то понадобится, то активируется нажатием обоих шифтов.


Стрелки
Зелёные стрелки на скриншоте — не символы, а буквально кнопки стрелок при нажатии с модификатором R⌥. Все остальные модификаторы сочетаются с этим как обычно.

Это буквально моя любимая находка. При работе с кодом / текстом стрелки нужны постоянно, а смещать кисть с домашнего ряда — утомительно.

Кому-то могло показаться, что надо было задействовать вимовские HJKL. Но это:
• Заставляет смещать пальцы с домашнего ряда
• Заставляет неудобно подворачивать кисть для удержания R⌥
• Ломает приемственность от привычного WASD / ↑←↓→ паттерна
• Не даёт вообще ничего даже в виме — стрелки работают наравне с HKJL


Медиакнопки
Коль уж кнопки стандартных стрелок высвободились, туда хорошо навешиваются медиакнопки:

↑ / ↓: увеличение / уменьшение громкости
↑ + ↓: отключение звука

← / →: предыдущий / следующий трек
← + →: пауза


Fn
Ну и раз пошла такая пьянка, то можно полностью отвязаться от любых Fn комбинаций в пользу своих собственных, чтобы всё могло работать единообразно на любой клавиатуре.

Hyper + backspace: delete ⌫
Hyper + F1: снижение яркости🔅
Hyper + F2: повышение яркости 🔆
Hyper + P: режимы зеркалирования монитора (дефолтно на Fn + ⌘ + F1)
Hyper + F10: панель управления аудиоинтерфейсами (дефолтно на Fn + ⌘ + F10)


Поскольку я нередко работаю за ноутбуком, какую-либо вычурную внешнюю клавиатуру я себе позволить не могу. Соответственно, весь ремаппинг исполняется исключительно софтварно через karabiner (macOS). Под виндой аналогичное достижимо в AutoHotKey.

Not so (trivy)al. Как использовать trivy на большом скоупе и не поехать кукухой (нет)

- Сынок, ты связался с trivy usage bad practice.
- Мам, я её основал.⁠⁠

Итак, наступило время разделить с вами боль, показать нецелевое использование средств Trivy и наконец внести своё имя в условные practice, пускай даже не best.

На самом деле решение имеет право на жизнь, но если только образов у вас не так много. В противном случае вам будет грустно, обидно и вы просто плохо проведёте время.

Как и прогнозировали в Лаборатории Касперского, одним из трендов 2024 года станут альтернативные фреймворки постэксплуатации.

Исследователи Fortinet обратили внимание на активное задействование в актах на пользователей Windows вредоносного фреймворка Winos4.0, распространяемого через, казалось бы, безобидные игровые приложения.

Инструментарий является эквивалентом Sliver и Cobalt Strike, был задокументирован Trend Micro этим летом в отчете об атаках на китайских пользователей, реализуемых Void Arachne/Silver Fox через различное пиратское ПО.

В отчете Fortinet отмечается эволюция активности: теперь хакеры в своих частых атаках на китайских пользователей полагаются на игры и связанные с играми файлы.

При запуске, казалось бы, легитимных установщиков они загружают DLL-файл с «ad59t82g[.]com», инициируя при этом многоступенчатый процесс заражения.

На первом этапе DLL-файл (you.dll) загружает дополнительные файлы, настраивает среду выполнения и обеспечивает сохранение путем добавления записей в реестр Windows.

На втором этапе внедренный шелл-код загружает API, извлекает данные конфигурации и устанавливает соединение с C2.

На третьем этапе другая DLL (上线模块.dll) извлекает дополнительные закодированные данные с C2, сохраняет их в реестре в разделе «HKEY_CURRENT_USER\\Console\\0» и обновляет адреса C2.

На последнем этапе цепочки атаки загружается модуль входа (登录模块.dll), который собирает системную информацию, проверяет наличие антивирусного ПО на хосте, детектирует о конкретных расширениях криптокошельков, поддерживает соединение с сервером C2 и извлекает данные.

Winos4.0 проверяет наличие в системе различных средств безопасности, включая Kaspersky, Avast, Avira, Symantec, Bitdefender, Dr.Web, Malwarebytes, McAfee, AhnLab, ESET, Panda Security и Microsoft Security Essentials.

Выявляя эти процессы, вредоносная ПО определяет, запущена ли она в контролируемой среде, и соответствующим образом корректирует свое поведение или прекращает выполнение.

Хакеры продолжают использовать фреймворк Winos4.0 уже несколько месяцев, и появление новых кампаний свидетельствует о том, что его роль во вредоносных операциях, по-видимому, возрастает.

Fortinet описывает фреймворк как достаточно мощный с точки зрения контроля скомпрометированных систем, с функциональностью, похожей на Cobalt Strike и Sliver.

Индикаторы компрометации доступны в отчетах Fortinet и Trend Micro.