Havoc C2 + NimSyscallPacker = The Evasion Dream Team?

https://www.youtube.com/live/fIaJwWVco2c?si=lCxlqsRQ9OWPS53X

Hang Fire: Challenging our Mental Model of Initial Access https://medium.com/@matterpreter/hang-fire-challenging-our-mental-model-of-initial-access-513c71878767

И, соответствующая духу редтима статья. Она уже много где публиковалась, даже я что-то о ней писал ранее, но то, что в ней расписано до сих пор актуально.

x33fcon23_-_Mariusz_Banach_-_Modern_Initial_Access_and_Evasion_Tactics.pdf

Lockbit tools & TTPs

https://app.tidalcyber.com/share/a43cea5e-9a30-459b-a25e-23459fc1ef1d

Поправил ссылку

The Scent of Stealth: Cyber-espionage Intrusion Analysis
#Redteam

https://www.reliaquest.com/blog/the-scent-of-stealth-cyber-espionage-intrusion-analysis/

1. Change Any User Data on NFT Marketplace (Crosea IO)
2. Hubspot Full Account Takeover in Bug Bounty
3. Web Cache Deception Attack on 404 page exposing PII data to unauth users
4. From Zero to Hero Intel DCM SQL Injection to RCE (CVE-2022-21225)
5. From Recon via Censys and DNSDumpster to getting P1
6. CRLF (GBK encoding) to XSS - Microsoft Bug Bounty 6000$
7. Abusing Hop-by-hop header CRLF injection
8. Exploiting non-cloud SSRF for fun & profit
9. 2 RCE in EPAM Bug Bounty Program
10. Три SQL инъекции всего за 10 минут
11. Как раскрутить RCE в чат-боте
12. Три забавных истории из Багбаунти
13. 10 способов отрепортить ерунду и получить за это деньги
14. 10 типов уязвимостей за которые все забывают
15. Как тестировать вебкэш на наличие уязвимостей

#bugbountytips

Годнота

Кстати скоро контентик будет, но афк где-то дней 10

(Пока не контентик который обещал, т.к. похоже что плотно занят месяца два в оффлайне)

Game of active directory with active Elastic SIEM
https://youtube.com/playlist?list=PLyJqGMYm0vnNcwX1_jT_c6R7EaA0EqJHO

Чел здесь "обошел" ав, однако не смог запустить даже бладхаунд, поэтому выключил на этом компе siem через админскую панель, топ рофл (современные байпасы ав такие современные)

ChatGPT помог заработать $28 000 на 0-day.

Базовый XXE-пейлоад выглядит как-то так
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE foo [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]>
<stockCheck><productId>&xxe;</productId></stockCheck>

Можно залить файл с таким содержимым на сервер и, если у либы, которая его распарсит, включена поддержка внешних сущностей, на выходе мы получим содержимое /etc/passwd.

Это касается библиотек, но не браузеров. Если вы откроете нечто подобное у себя в Chrome, то ничего не сработает, т.к. в нем external entities отключены по дефолту.

Но выяснился забавный факт.

Помимо XML, современные браузеры поддерживают еще много форматов, например, XSL. Это старая спека, которая является надстройкой над XML со своими директивами.

О нем и о том, что там тоже можно объявлять внешние сущности, почему-то все забыли, но напомнил ChatGPT. Он подсказал, что это можно делать с помощью директивы, вроде
<xsl:copy-of select="document('file:///etc/passwd')"/>
которая подгрузит содержимое, вопреки всем запретам.

Поэтому полная цепочка выглядит так:
1. Создаем XSL пейлоад с функцией document()
2. Импортируем полученное содержимое как внешнюю сущность в XML
3. Готовый XML-пейлоад вставляем в SVG-картинку и используем по назначению ;)

💰 Выплаты
Apple (CVE-2023-40415): $25 000
Google (CVE-2023-4357): $3 000

Трансмутация вредоносного ПО - Раскрытие скрытых следов кровавой алхимии.
*
Интересный writeup.
Рассматривается анализ вредоносного ПО под названием «BloodAlchemy», которое наблюдали в ходе атаки.
В октябре 2023 года BloodAlchemy была названа Elastic Security Lab 1 новым RATником. Однако расследование показало, что BloodAlchemy — это НЕ совершенно новая вредоносная программа, а развитая версия Deed RAT, преемника ShadowPad.
*
Link

#malware #rat

Всем привет, рад представить свою новую статью, на этот раз обнаружение атак на Active Directory. В этой статье я разобрал детекты следующих атак:

LLMNR/NBT-NS Poisoning
IPv6 Takeover
LDAP Enumeration & Bruteforce
DCSync
AS-REP Roasting
Kerberos User Enumeration & Bruteforce

https://blog.exploit.org/caster-ifyouhadnt