בהמשך לפוסט על DPRK ולזרוס... תראו מי נעצר בדובאי ונשלח לשיקגו כדי לעמוד למשפט צדק על סיוע לצפון קוריאה:

https://nypost.com/2021/02/20/nigerian-instagram-star-helped-north-korean-hackers-in-1-3b-scheme-feds/

פרסים בתחרות כלשהי, 10 שנים אחורה... 🤦🏻‍♂️ 25BTC שווה היום מעל מיליון דולר.

טיפ לאלו שרוצים להתחיל ללמוד רוורסינג (reverse engineering):
(1) סרטונים ביוטיוב בשם Open Security Training. שם אני התחלתי אי שם ב2015.
(2) תרימו מכונה וירטואלית עם OllyDBG או כלי דומה ותעבדו לאט לאט.
(3) חפשו PDF של ״תוכנית מגשימים״ בגוגל על הנושא - תמצאו בקלות. תעברו שלב שלב לאט לאט.
(4) אל תלמדו על כל הארכיטקטורות. תתחילו ב-32bit. אפילו 16 אם ממש בא לכם לחזור אחורה בזמן.
(5) ללמוד אסמבלי בע״פ זה נחמד אבל שימו לב שזה מממשששש מממשששש מתיש ועלול לגרום לכם לזרוק הכל לפח (קרה לי 20 פעמים לפחות).
(6) כשאתם ממש מרגישים בטוחים. תרימו Visual Studio על המכונה הוירטואלית, תכתבו קוד ותפתחו את הdisassembly כדי לראות את האסמבלי שנוצר אחרי ההידור.
(7) תעזרו בדוקומנטציה של אינטל. פתוח לכולם.

תוסיפו עוד הצעות. 🤟🏻

באתר של Security Joes יש דף פניות עבור שירותים שאנחנו מספקים. פה ושם תמיד יש הודעות הזויות ואחת נחתה הרגע לתיבת המייל שלי והעלתה בי חיוך. ההומור בתיבול גזעני, אז סלחו לי מראש, אלה הן לא מילים שלי:

״יש כמה ערבים מהצפון שפורצים לי למחשב. מה אתה יכול לעשות בשבילי?״

😬

בא לכם קצת SQL Injection לפני השינה?
אז תכלס למי שלא יודע מה זה (ולפי הסקר שערכתי לא מזמן אלו הרוב, אז כל מי שבקיא אנא התאזרו בסבלנות) - זוהי פרקטיקה להזרקת קוד דרך ממשק המשתמש בצורה מכוונת למטרת שליפה / שינוי / מחיקה ממקום שקוראים לו מסד נתונים. המילה SQL מגיעה משפת התכנות Structured Query Language או בעברית שפת שאילתות פשוטה והיא אגב מאוד נוחה. המילה injection מגיעה מהתהליך שקורה מפני שישנה שאילתא שהמפתח כתב שאמורה לבצע פעולה (כמו שליפה של שורה מטבלה) והתוקף מזריק תנאי חדש לשאילתא ששובר אותה.

לא יודע אם אתם יודעים אבל בין 2013-2015 עבדתי במחקר חולשות בחברת למקאפי (תכלס זה סנטריגו אבל מקאפי קנו אותם) ושם בעצם התנסנו הרבה בהזרקות למסדי נתונים. לא SQLi קלאסי, אלא ממש חולשות במנועים של המסדים האלו.
מה שאז גיליתי הוא שלמשל במסד Oracle השפה נקראת PL\SQL והשאילתות שונות לגמרי. למשל במסד נתונים של מייקרוסופט (MSSQL) שליפת הגרסה נעשית ככה:
SELECT @@VERSION
בעוד בOracle:
SELECT banner FROM version()
וכמובן שב-MySQL ו-DB2 ישנן שאילתות שונות גם כן.
זה גרם להרחיב הידע שלי בכל הקשור ל-SQLi ואף הביא אותי לשנות את הליבה של הכלי הכי ידוע היום בתעשייה לאוטומציה של ההתקפה הזו - SQLMap. אגב, עד להגעתו אני השתמשתי בכלי שנקרא Havij.

היום אני כבר זקן, אז אני סומך על @AttacKit שימצא את החולשה, אבל עד לא מזמן הייתי מבצע את ההתקפה ידנית. מה זה ידנית? בלי תוכנה שתעשה עבורנו את העבודה הקשה.
הקושי העיקרי היה באחת מבין מספר השיטות שדרכן אפשר לבצע SQLi:
(1) SQLi - קלאסי
(2) Blind SQLi
(2.1) Error-based SQLi
(2.2) Time-based SQLi
(3) 2nd order SQLi
סעיף 2, בעיניי, הוא הקשוח יותר מפני שהוא נשען על שאילתות בוליאניות. מה זה אומר? קל.. שהתשובה שלהן היא True/False.

מעניין? תמשיכו לקרוא בצ׳אט

לילה טוב 🌙✨

אם פספסתם במקרה את הפוסט האחרון שלי על Sandworm ותת הקבוצה שלה Kamacite, מוזמנים לקרוא פה: https://www.facebook.com/100000234111835/posts/5424714134213003/?d=n

אין סוף לילדים האלו שמשתלטים על חשבונות. לפני כמה שנים, באיזו שבת בנמל תל אביב, הסתובבתי עם הבנות ופתאום קיבלתי טלפון בהול ממישהי. היא בעלת סלון כלות בחיפה. היא טענה שהשתלטו לה על החשבון ובקשתי שתיכנס למייל שלה ותוציא את המייל האחרון שהיא קיבלה. במייל האחרון הופיע איפוס חשבון עם הטלפון של הגנב. חיברתי את הטלפון לכמה אפליקציות טקסט עד שטלגרם זיהה שיש לו משתמש באפליקציה. פניתי אליו בשם המוחאבארת הישראלי ואמרתי לו שיש עליו זיהוי. משום מה הוא פחד, ניסה להתקשר אלי כשאני בכלל באוטו עם הילדות, סיננתי ושלחתי לו שזה לא טלפון ואי אפשר לקבל שיחות (שקר🤷🏻‍♂️), הוא משום מה האמין לזה ואמר שהוא מצטער והחזיר את החשבון לבעליו. 40K עוקבים... היא הבטיחה לי שמלת כלה... בקיצור, הנה עוד סיפור ויש עוד מלא. מבקשים בדרכ כופר של 500$... 🙄

אז מה עשיתם בסופש? בטח שמתם לב שלא שמתי פה תמונות של ג׳יפים... לא אכביר במילים אבל אנחנו כבר 3 ימים לא ישנים... סייבר אנשים... סייברררר⚔️ 🌞

התקשר אלי אתמול חבר טוב שאני רוצה להמליץ לכם עליו בכללי וגם לספר קצת חדשות. זה עדיין לא סגור סופית אבל אני כנראה אתחיל להרצות באוניברסיטת בר אילן ביחד עם חברים טובים. ביניהם כ-מובן אם הדרקונים Meytal, ועוד נוספים.
רציתי להמליץ לכם על בנאדם בשם הילל קוברובסקי.
הנה סתם קישור שמצאתי: https://haalo.co.il/lecturers/הילל-קוברובסקי/
אם יש קורסים שאתם חושבים עליהם כדי להשתפר מקצועית - הילל הוא ההמלצה שלי.
יש לי עוד סל של מרצים מדהימים, אבל הכל תלוי מה אתם מחפשים.
הילל מקצוען ברמות על בכל מה שקשור למוצרי אבטחת מידע ומערכות הפעלה. מעבר לזה הוא מנטור עסקי רציני מאוד עם כמה כוכבי נינג׳ה יפים על החגורה.
ממליץ בחום ❤️

https://www.facebook.com/100000234111835/posts/5441652715852478/?d=n
אקסוניוס מגייסת לפי שווי של מעל מיליארד דולר 🙌🏻

חוויותיי מהאודישן של נינג׳ה ישראל:
(1) ממליץ לכל אחד
(2) אני הרבה יותר גרוע ממה שחשבתי
(3) מה שרואים בטלויזיה זה לא רבע ממה שקורה במציאות
(4) עברתי את האודישן 🤟🏻

מהבוקר הגוף שלי רוצה לחזור למתחם אימונים שם... זה מדהים איך האדרנלין נשאר שעות אחרי שזה כבר הסתיים. כן... הבאתי להם ספר 😜

כפיים

אתמול בלילה קיבלתי קריאה מחבר טוב. פיתוי שהגיע מהרשת הביא אותו ליצור קשר עם מישהי *אמיתית* מעבר לכמה אפליקציות ושיחות. נכון, הן היו באנגלית והיו תמרורים, אבל בואו... מי אומר לא לשיחה עם מישהי שנראת טוב ורוצה לדבר... רק לדבר בינתיים. זה התגלגל מהר מאוד לתוכן אינטימי שאותו חבר שיתף וההונאה החלה לצאת לדרך. בשלב כלשהו התוקפים ״הזיזו״ הצידה את הפיתיון ושלחו הודעות כופר לאותו חבר תוך שהם מעלים את הסרטון שלו לרשת ומאיימים להפיץ אותו. בקשתי ממנו שישלח לי את כל החומרים ויכבה את הטלפון (כך הוא ימנע משיתוף פעולה או החלפת מידע עם התוקף). קראתי את התנאים של האתר והתוכן שהם העלו פוגע בזכויות האתר. מיד יצרתי קשר בלינקדאין עם מישהו בכיר בחברה ודיווחתי במקביל על הסרטון כ-violation באמצעות בוט ממספר מקומות בעולם. לא עברו 10דק והסרטון היה למטה. חשוב מאוד להיות דרוכים בעולם הזה. היד קלה על המקלדת. היזהרו!

[⚠️ - עידכון: אם נראה לכם שככה עזבתי את זה והמשכתי הלאה, אז לא 📛 יש כבר כיוון חזק]

כמה התגעגעתי לדבר עם אנשים. היום הייתי במתקן אירוח של משרד רוה״מ עם יחידת אבטחת המידע שלהם. דיברנו בעיקר על זווית ראייה מהצד של התוקף אבל גם על קבוצות ממומנות מדינה, מוטיבציה של תוקפים (פיננסי, תעמולה, ריגול) ואיך לזהות תהליכי תקיפה. דיברנו כל צוותים אדומים/כחולים ומה שביניהם. 🤘🏻

בוקר טוב 🌞. מערכת הבאג באונטי (דיווח חולשות תמורת תשלום) של פייסבוק קיבלה מתיחת פנים רצינית ועכשיו מציעה אלגוריתם שיודע לזהות את תהליך ההתקדמות לכם, לאו דווקא על בסיס הצלחה אלא גם על בסיס השקעה. פייסבוק מציעה תגים חדשים עבור כל רמה שתעברו וזו גם תקנה לכם זכות ראשונים לעשות מבדקים על פיצ׳רים שעדיין לא ראו אור יום. מזכיר לי שב-2012 חברת uTest עשתה את אותו הדבר. תוך מספר חודשים, עבדכם הנאמן וחוג מצומצם של פנטסטרים היו מקבלים מיילים אישיים עם הזמנה להצטרף לפרויקט חדש מהניילונים כשהאתר עדיין שייך לענקיות אבל חיכה כדי שאנחנו נהיה הראשונים למצוא חולשות. רעיון נחמד.

https://www.facebook.com/506669206013977/posts/3964073313606865/?d=n

עד כה מצאתי 227 ארגונים בארץ שחשופים לCVEs של HAFNIUM. קשה מאוד לבדוק האם נוצלו... אני מניח שזה יכול לקרות רק אם פתאום נתקל בWebshell.
מישהו עשה מחקר בנושא ורוצה לשתף?

https://www.facebook.com/100000234111835/posts/5475460629138353/?d=n
כתבתי פה קצת על הטיימליין של HAFNIUM לאלו שמעוניינים. בקרוב אשב גם על אנליזה של הפרטים הטכניים לפי ה PoC מGitHub. אם מישהו מעוניין להצטרף, פינג מי.

מכירים את Lab Dokhtegan?
קבוצה אנונימית של פעילים אנטי-איראניים (כן יש כזו) המפרסמים הדלפות מתוך קבוצות תקיפה איראניות. האמת, רק לאחרונה הם פרסמו מידע שהתחבר למחקר שלי ושל אלכסיי פירש (Alexey Firsh) מ-2017 שנקרא ViceLeaker. מוזמנים לחפש ולקרוא. הבוקר הם פרסמו קבצי aspx ו-cs שכמובן מגיעים משרת IIS של מייקרוסופט המשמש ככל הנראה כשרת שליטה ובקרה של קבוצת תוקפים מסוימת מהמפרץ. הסתכלתי על הקוד ולקחתי מספר דגימות, למרות שזו לא הכוס תה של Security Joes. ניתן לראות שם חיבור API שמטרתו לקבל פקודות מאפליקציות (APK) שהושתלו במכשירי אנדואיד של קורבנות. לא ידוע כרגע מי הקורבנות (אם בכלל יש) ומהי מטרת התקיפה. מה שכן, הפונקציות נותנות גישת מנהל למערכת הקבצים, ולהעתקת מידע ושליחה שלו על גבי האינטרנט בצורה די פשוטה לשרת התקיפה. מוסיף תמונה בתגובות.

או אוו... מערך הסייבר האירופאי פרסם חולשות קריטיות בשרתי מייקרוסופט בהם שירות ה-DNS פתוח לעולם:

https://twitter.com/cyb3rops/status/1369983466331385856?s=21