Как и прогнозировали в Лаборатории Касперского, одним из трендов 2024 года станут альтернативные фреймворки постэксплуатации.

Исследователи Fortinet обратили внимание на активное задействование в актах на пользователей Windows вредоносного фреймворка Winos4.0, распространяемого через, казалось бы, безобидные игровые приложения.

Инструментарий является эквивалентом Sliver и Cobalt Strike, был задокументирован Trend Micro этим летом в отчете об атаках на китайских пользователей, реализуемых Void Arachne/Silver Fox через различное пиратское ПО.

В отчете Fortinet отмечается эволюция активности: теперь хакеры в своих частых атаках на китайских пользователей полагаются на игры и связанные с играми файлы.

При запуске, казалось бы, легитимных установщиков они загружают DLL-файл с «ad59t82g[.]com», инициируя при этом многоступенчатый процесс заражения.

На первом этапе DLL-файл (you.dll) загружает дополнительные файлы, настраивает среду выполнения и обеспечивает сохранение путем добавления записей в реестр Windows.

На втором этапе внедренный шелл-код загружает API, извлекает данные конфигурации и устанавливает соединение с C2.

На третьем этапе другая DLL (上线模块.dll) извлекает дополнительные закодированные данные с C2, сохраняет их в реестре в разделе «HKEY_CURRENT_USER\\Console\\0» и обновляет адреса C2.

На последнем этапе цепочки атаки загружается модуль входа (登录模块.dll), который собирает системную информацию, проверяет наличие антивирусного ПО на хосте, детектирует о конкретных расширениях криптокошельков, поддерживает соединение с сервером C2 и извлекает данные.

Winos4.0 проверяет наличие в системе различных средств безопасности, включая Kaspersky, Avast, Avira, Symantec, Bitdefender, Dr.Web, Malwarebytes, McAfee, AhnLab, ESET, Panda Security и Microsoft Security Essentials.

Выявляя эти процессы, вредоносная ПО определяет, запущена ли она в контролируемой среде, и соответствующим образом корректирует свое поведение или прекращает выполнение.

Хакеры продолжают использовать фреймворк Winos4.0 уже несколько месяцев, и появление новых кампаний свидетельствует о том, что его роль во вредоносных операциях, по-видимому, возрастает.

Fortinet описывает фреймворк как достаточно мощный с точки зрения контроля скомпрометированных систем, с функциональностью, похожей на Cobalt Strike и Sliver.

Индикаторы компрометации доступны в отчетах Fortinet и Trend Micro.

Если у нас есть права локального администратора... и мы хотим ntlm доменного пользователя который зайдет в интерактиве..
то можно упороться в его автозагрузку с вызовом smb соединения к нашему серверу, либо создать у него на рабочем столе папку с desktop.ini, который будет грузить иконку с нашего SMB сервера. Короче вариантов украсть сессию/хэш на обмазанном антивирусами и edrами устройстве очень много.
А с вариантом выше, оно становится еще и интереснее, ибо можем получить в конечном итоге ntlm хэш пользователя.
как напоминание: https://github.com/Gl3bGl4z/All_NTLM_leak

Всем привет!

С каждым днем лица людей на улице все более сердитые и угрюмые, кое-где успел выпасть снег, а некогда теплые осенние вечера сменились тоскливыми снежными сумерками.

В такое время очень не хватает хорошего списка LPE эксплойтов под винду.

К великому сожалению, я не смог обнаружить актуальный поддерживаемый список сплойтов 2023-2024 годов, впрочем, благодаря каналу 1N73LL1G3NC3, который был предательски снесен администрацией Telegram, у меня получалось достаточно оперативно пополнять свой небольшой лист с гитхабовскими POC.

Поэтому я принял решение о создании своего списка с LPE сплойтами под винду. Получилось собрать практически все POCи, которые выходили с 2023 года.

Ознакомиться можно тут:
https://github.com/MzHmO/Exploit-Street

Linux Persistence with LKM

Существуют десятки актуальных способов закрепления в Linux, а также инструментов автоматизации этой задачи, например один из последних - PANIX, это bash скрипт, который мы используем на киберучениях в рамках Purple Team.
Но в формате активного противодействия, редко есть возможности тащить на тачку разные скрипты, поэтому мы рассмотрим ручной способ на примере LKM (Loadable kernel module) руткита Diamorphine.

Diamorphine хорошо известный руткит с открытым исходным кодом, который активно используется злоумышленниками в дикой природе уже много лет, который можно загрузить различными способами. Наиболее распространенный - это просто положить в /etc/modules или использовать службу systemd-modules-load. Файлы конфигурации модулей systemd-modules-load ищет в следующих директориях: /etc/modules-load.d, /usr/lib/modules-load.d, /usr/local/lib/modules-load.d, /run/modules-load.d
🔴 Необходимо каким-то образом доставить Diamorphine или собрать из исходников на тачке, например в контейнере или еще как-нибудь, обычно зависит от уровня зрелости мониторинга и степени паранойи SOC на текущем проекте😁
🔴 Во время компиляции Diamorphine позволяет указать "magic string" - строку в начале наименования файла или директории, которую руткит автоматически скроет при загрузке, например apt1337
🔴 Копируем руткит и создаем список зависимостей modules.dep
cp diamorphine.ko /usr/lib/modules/$(uname -r)/kernel/drivers/block/apt1337-diamorphine.ko
depmod
🔴 Создаем файл конфигурации systemd-modules-load
echo apt1337-diamorphine >/usr/lib/modules-load.d/apt1337-not_evil.conf
🔴 Загружаем модуль вручную
modprobe apt1337-diamorphine

Таким образом, при каждой перезагрузке системы руткит в качестве модуля LKM будет загружаться автоматически😎 Безусловно техника базовая и довольно распространенная, поэтому нуждается в доработке относительно сокрытия. Как минимум рекомендую использовать Timestomping для файлов в /usr/lib/modules/* и использовать менее очевидный нейминг.
Но все равно это будет светиться в /proc/sys/kernel/tainted так как загруженный модуль не подписан, но это уже тема другой заметки😁

Много же кто знает про софт, вроде DefenderCheck, который позволяет узнать, какие именно сигнатуры в вашей нагрузке не нравятся антивирусу)

Вот еще одна альтернатива, написанная на golang:

https://github.com/gatariee/gocheck

#av #maldev

🛠 GGH - ещё один менеджер SSH подключений в коллекцию...

https://github.com/byawitz/ggh/

#ssh #ggh #tui

🆖 How to track website analytics using only Nginx and pure Bash - берём логи Nginx, Bash и получаем html страницу со статистикой посещений сайта...

https://sanixdk.xyz/blogs/how-to-add-website-analytics-using-only-nginx

#nginx #напочитать

burpference

Мощный апгрейд для Burp Suite — расширение собирает все In-Scope ссылки из истории запросов и отправляет их в LLM, чтобы тот помогал находить уязвимости.

— поддерживает Ollama, Anthropic, OpenAI, HuggingFace
— можно настроить отправку только в локальную модель

Расширение разработала команда Dreadnode, с одним из ресерчеров которой пару дней назад вышел подкаст от OWASP.

👺 Obfuscating a Mimikatz Downloader to Evade Defender (2024)

#REDTEAM #EVASION

https://medium.com/@luisgerardomoret_69654/obfuscating-a-mimikatz-downloader-to-evade-defender-2024-b3a9098f0ae7

🦴Bloodhound CLI

Ну наконец то теперь чтобы поставить Bloodhound не нужно проходить квест с поиском сгенерированного пароля в логах Docker, достаточно одной команды:

./bloodhound-cli install

https://posts.specterops.io/introducing-bloodhound-cli-7dfaf82e2df8

https://dockstarter.com

Meta docker script for lazy people and home installations.

Has, but not least, software such as:

Homarr, Jellyfin, Lidarr, Twingate, Kavita, Portainer, Tautulli, etc., in one installation.

#hosting #VPS

Гайдлайн на бурп(кто не пользовался не разу xD)
https://github.com/arthurakay/discover/blob/594e42cdce744a0a42e473c52120c38bb996e8c8/notes/burp.txt#L100

Все экстеншены бурпича, выбираем под себя(последняя обнова 2 месяца назад): https://github.com/snoopysecurity/awesome-burp-extensions/tree/master

Настройка DNS и Браузера для легального тестирования при наличии cloudflare и другого ваф(ручное тестирование)
1. Базовая настройка Burp Suite
TLS настройки
User options -> TLS:
Enable HTTP/2: ON
Выбрать только TLS 1.3 шифры
(на всякий в dns - preffered ip version for dns resolution - prefer ipv4)
2. Настройка Firefox
Основные настройки
Создайте чистый профиль,
В about:config измените:
network.security.ssl.enable_ocsp_stapling = false
Прокси настройки в фаерфокс:
Настроить фокси прокси по классике http Host: 127.0.0.1
Port: 8080

также очень важно выбрать в фаерфокс Enable DNS over https using : increased protection: choose provider: cloudflare
4. Проверка настроек
Откройте целевой сайт через браузер
В Burp проверьте:
HTTP/2 соединение установлено
TLS 1.3 используется

🛠 ISD (interactive systemd) - инструмент, для работы и взаимодействия с systemd юнитами в системе...

- Github: https://github.com/isd-project/isd
- Примеры работы: https://isd-project.github.io/isd/#working-with-isd

На первый взгляд, эта штука показалась мне странной, ведь можно же просто набор команд systemctl использовать и всё (то, что она сыровата, вынесем за скобки).

Но вот я попробовал воспользоваться isd на тестовом стенде проекта, где программный комплекс включает в себя десяток разных systemd сервисов, и случаются ситуации, когда каждый из них нужно проверить - и вот тут утилита показалась весьма удобной для такой задачи.

#systemd #tui #unit