Ralf Hacker Channel
26.7K subscribers
407 photos
16 videos
503 files
487 links
Download Telegram
STEPPING AWAY FROM STANDARD
TRADECRAFT.pdf
3.5 MB
Презенташка от F-Secure по методам латераля в сети

#pentest #redteam #blueteam
Наконец могу кинуть большую порцию интересных (на мой взгляд) отчетов. Хоть и времени много прошло, но:

1. Лаборатория Касперского описала арсенал новой APT группы ToddyCat;
2. Описание кампании индийской APT группы Bitter против военных объектов Бангладеша;
3. А вот иранская APT группа Lyceum обзавелась новый DNS бэкдором, который описали ребята из Zscaler;
4. А Ashraf описал применяемый группой APT34 DNS агент Saitama. А потом вдогонку кинул и анализ кейлоггера Snake;
5. The DFIR Report описали цепочки двух атаки с проникновением через MS SQLServer и через ManageEngine SupportCenter Plus;
6. Маленький анализ лоадера BumbleBee;
7. MalwareBytes проанализировала как APT группа TA471 загружает Cobalt Strike;
8. Вторая часть анализа стилера Raccoon (первая интереса не представляет);

9. Куда без офисных документов:
отчет о загрузчике Emotet;
отчет о загрузчике Ursnif;
описание нового загрузчика SVCReady;

10. Ну и конечно же шифровальщики:
анализ HavanaCrypt v1.0 от TrendMicro;
анализ LockBit v2.0 от Cybereason;
анализ Hive v.rust от Microsoft

#report #apt #malware #redteam #blueteam
RedLine Stealer.pdf
2.7 MB
Анализ стилера RedLine, в котором рассмотрены методы сбора информации из браузеров, криптокошельков, различного ПО (включая Телеграм и ВПНы), ну и другую информацию с хоста.

#pentest #redteam #report #malware #blueteam
Taking Kerberos To The Next Level.pdf
5.2 MB
Презенташка Taking Kerberos To The Next Level с BlackHat USA 2022

Upd: скрипты https://github.com/tyranid/blackhat-usa-2022-demos

#pentest #redteam #blueteam
Крутая и большая база DLL-ек для хайджека и сайдлоада:

https://hijacklibs.net

#redteam #blueteam #pentest
Наконец набралось некоторое количество крутых отчетов, поэтому держите:

1. Symantec описала одну из атак Syrphid с использованием шифровальщика LockBit;
2. DFIR же описал полный путь компрометации сети, начиная с лоадера BumbleBee;
3. Positive Technologies рассказали как китайская APT31 атакует российские компании;
4. Paloalto показала как APT29 доставляет свое ПО на скомпрометированные хосты, а также рассказала об атаках Tropical Scorpius с использованием шифровальщика Cuba;
5. Morphisec Labs описала новое ПО группы APT-C-35;
6. Очередной анализ шифровальщика Hive;
7. Подробный анализ линукс малвари Symbiote;
8. Описание работы банковского трояна Ousaban;
9. MalwareBytes рассказала о новом трояне Woody RAT;
10. Kaspersky Lab опубликовала разбор атаки с использованием python импланта VileRAT

#report #apt #malware #redteam #blueteam
Наконец набралось некоторое количество крутых отчетов, поэтому держите:

1. Group-IB про китайскую APT41;
2. Cisco Talos в двух статьях разобрали разобрали софт группы APT38 (Lasarus);
3. Check Point описали атаки за последние два года на финансовые организации Африки;
4. Eset описали инструменты новой группы Worok;
5. Подробный разбор трояна URSA;
6. Целых три статьи (раз, два, три) с анализом стилера Raccoon (видимо так популярен:));
7. Мы любим отчеты DFIR, и в этот раз они описали путь атакующего от зараженного Emotet документа Excel до компрометации всего домена;
8. Cybereason по аналогии также описали путь компрометации домена, но начиная с загрузчика Bumblebee;
9. Описание уже популярного AsyncRAT C2 Framework;
10. Ну и анализ нового шифровальщика Agenda на golang.

#report #apt #malware #redteam #blueteam
А это интересно)))

sc.exe sdset scmanager D:(A;;KA;;;WD)

UPD: это пример для одной конкретной службы (в данном случае scmanager), и он не даст контроля над всеми службами, так как у каждой службы свой ACL!

#redteam #blueteam #persistence
Иногда спрашивают про TI отчёты по разной АПТе, которые я раньше пачками выкладывал, но за недостатком времени перестал.

Это не рекламный пост, просто поделюсь ресурсом, который мне очень много времени экономит. На канале https://tttttt.me/aptreports публикуют много свежих отчётов, а также маленькое описание каждого отчёта, подготовленное AI. Удобно сразу видеть о чем отчёт и статистику по IOC. Лично для меня это один из самых крутых проектов))

P.S. Офенсивам считаю обязательным следить за используемыми техниками и софтом в "дикой природе", так ты понимаешь что сейчас в тренде, и даже удивляешься, как порой успешно эксплуатируется то, что в 20-е годы, обвешанные сканерами и песком, уже по идее не должно😅

#report #apt #ti #blueteam
Так как BloodHound все равно очень часто используется, вот хороший софт для анализа собранных данных, особенно в случае с кастомными Cypher запросами, - PlumHound (впервые увидел тут).

При запуске указываем учетные данные для neoj4 базы, и файл (-x) с Cypher запросами (там уже присутствуют несколько списков, но у нас же есть и свои).

python3 PlumHound.py -x tasks/default.tasks -s "bolt://127.0.0.1:7687" -u "neo4j" -p "neo4j"

Получаем для каждого запроса отчеты в форматах html (как на скринах, для удобной работы) и csv (для парсинга данных) в каталоге reports.

https://github.com/PlumHound/PlumHound

P.S. Пока сам не попробовал, не осознал какая крутая штука...

#ad #enum #bloodhound #pentest #redteam #blueteam
Кому интересно погрузиться в обнаружение аномалий на хосте вот описание одной из самых действенных техник. По стеку вызовов действительно можно определить нагрузки большинства популярных фреймворков)

https://www.elastic.co/security-labs/peeling-back-the-curtain-with-call-stacks

#redteam #blueteam #maldev
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
Очень большая и полная статья про принципы работы EDR

https://sensepost.com/blog/2024/sensecon-23-from-windows-drivers-to-an-almost-fully-working-edr/

Автор даже свои модули писал чтобы лучше разобраться

https://github.com/sensepost/mydumbedr

#redteam #edr #blueteam