​🔐 Password Spraying || Распыление паролей.

Многие знают, что один из проверенных методов получения авторизационных данных — это брутфорс. Неэстетично, но надежно. В любой компании найдутся пользователи, у которых пароль встречается в списке самых популярных паролей и его можно сбрутить.

🖖🏻 Приветствую тебя user_name.

• Распыление пароля или Password Spraying относится к методу атаки, который принимает большое количество имен пользователей и перечисляет их с помощью одного пароля или малого количества паролей.

• Так как допустимое количество попыток ввода пароля обычно невелико, этот метод позволяет избежать блокировок политикой паролей, и он часто более эффективен для обнаружения слабых паролей.

• Очень удобно применять Password Spraying на Office365 и Azure. Однако у Microsoft есть такая интересная вещь, которая детектирует применение такого рода атак. Называется Azure Smart Lockout. Это интеллектуальная блокировка, которая будет блокировать аккаунт пользователя если:

• Было 10 неудачных попыток входа в аккаунт. После этого аккаунт блокируется на одну минуту. Дальше с геометрической прогрессией растет время блокировки аккаунта и уменьшается количество неверно введенных паролей.
• Незнакомое местоположение, с которого пользователь пытается войти в систему. Для знакомого и незнакомого местоположений - разные счетчики неудачных попыток. Таким образом, пользователь может ввести неверный пароль 10 раз с известного местоположения и 10 раз с неизвестного.

• Такие блокировки очень усложняют жизнь при бруте. Однако, есть инструменты, которые пытаются такие ограничения обойти.
Об этих инструментах мы сегодня и поговорим. Но для начала разберемся с этапами.

• После успешного получения списка действительных пользователей, атакующие нередко проверяют частые или известные пароли или благодаря накопленным в процессе разведки данным пробуют ОДИН тщательно продуманный пароль для ВСЕХ известных учетных записей пользователей.

• Распыление паролей проводится, как правило, на одном из начальных этапов без наличия привилегий. Этапы атаки распыления паролей:

• Включение в сеть (в случае теста на проникновение) или компрометация учетной записи пользователя (для атакующего).
• Перечисление групповой политики и политики паролей.
• Перечисление имен пользователей.
• Распыление паролей.

• Для выполнения данной атаки написан скрипт Spray, который позволяет указать парольную политику. Spray дает возможность проводить атаку на SMB, OWA (веб-клиент для доступа к серверу совместной работы Microsoft Exchange), Lync, CISCO Web VPN. Для работы скрипт требует список пользователей и паролей.

• Альтернативное автоматическое решение — PowerShell-скрипт DomainPasswordSpray. Он требует только пароль либо список паролей. При этом он автоматически перечисляет пользователей домена и парольные политики. Кроме того, скрипт позволяет узнать список всех пользователей.

• MSOLSpray — #powershell скрипт, который основан на использовании Microsoft Graph API и предоставляет информацию об аккаунте (включен ли MFA, существует ли пользователь, заблокирована или отключена учетная запись).

• TREVORspray — инструмент, написанный на #python, основанный на MSOLSpray (также использует Microsoft Graph API). Однако добавлена еще возможность распараллеливать через ssh доступ к своим VPS.

‼️ Другую дополнительную информацию ты можешь найти по хештегам #hack и #Пентест. Твой S.E.

​🔌 Социальная инженерия и BadUSB.

Чем масштабнее разводка — тем она древнее и ее проще провернуть. По двум причинам: людям кажется, что разводка не может быть такой древней и масштабной. Не могло ведь так много людей повестись на нее. И наконец, когда жертва начинает сомневаться, что соперник ей равен, на самом деле она начинает сомневаться в своих собственных интеллектуальных способностях, но никто в этом не признается. Даже самому себе. «Револьвер», 2005.

🖖🏻 Приветствую тебя user_name.

• В августе 2014 года известные исследователи Карстен Нол и Якоб Лелл из консалтинговой компании Security Research Labs сообщили о «фундаментальной уязвимости устройств USB». В октябре того же года они опубликовали на GitHub код программы для взлома компьютера по USB. Фактически, этот класс атак по сей день позволяет захватить контроль над многими устройствами, у которых есть порт USB. Атакующий может эмулировать любую периферию, хотя чаще всего предпочтение отдается клавиатурам.

• Разумеется, что большинство пользователей привыкли к тому, что доверять найденному USB-устройству не следует. Но одновременно с этим, народная мудрость гласит, что самый уязвимый компонент любой информационной системы располагается между компьютерным креслом и клавиатурой. Уязвимости патчатся, технологии меняются, а люди — нет.

• Казалось бы, схема очень древняя и ее мало кто использует, однако с августа 2021 года, в ФБР начали поступать письма от различных организаций, с информацией о посылках содержащих вредоносные USB-устройства. Дело в том, что хак-группа FIN7, широко известная своими шифровальщиками Darkside и BlackMatter, рассылала вредоносные USB-устройства различным американским компаниям в надежде заразить их системы и получить отправную точку для последующих атак.

• FIN7 использовали 2 варианта посылок:
1. Письма отправлялись от лица Министерства здравоохранения США, в которых содержится информация с рекомендацией по защите от Covid-19.
2. Красивая коробка (подарок) от Amazon, содержащая поддельное письмо, подарочную карту и USB-устройство.

• Если жертва подключала полученный девайс к ПК, устройства выполняли атаку типа BadUSB, в ходе которой устройство использовало HID, регистрировало себя как клавиатуру и передавало серию предварительно заданных нажатий клавиш машине пользователя.

• Эти нажатия клавиш запускали команды #PowerShell, которые загружали и устанавливали различный вредоносный софт, действовавший как бэкдор. Далее FIN7 получала административный доступ, а затем атаковала другие локальные системы.

• Что тут можно сказать, схема очень старая, но актуальная. Например в 2018 году целями атак #BadUSB стали восемь банков в Восточной Европе, а примерный ущерб от таких атак составил несколько десятков миллионов долларов.

• Вариантов для таких атак на самом деле великое множество и ограничиваются они только фантазией социальных инженеров. Можно не только рассылать вредоносные USB, но и поддельные лайтнинги \ USB type-C кабели и другие устройства.

‼️ О различных методах, которые применяют социальные инженеры, о методах при фишинговых атаках, различные статьи на тему социальной инженерии, манипуляции и т.д., ты можешь найти по хештегам #СИ #Пентест #BadUSB #HID #Пентест #Red_Team и #Hack. Твой @S.E.

​🧩 Powershell в практике пентеста.

То, что так хорошо подходит в качестве мощного инструмента автоматизации для администраторов, по итогу оказывается полезным как для хакеров, так и для пентестеров.

🖖🏻 Приветствую тебя user_name.

• Давайте предположим, что ИТ-админу была поставлена задача: определить, кто на самом деле использует определенный сервер. Благодаря #PowerShell и PowerView, админ может быстро просматривать пользователей, вошедших на сервер, без необходимости быть залогиненным самому на этом сервере.

• Соответственно, атакующий, который ранее получили доступ (например через #фишинг), также сможет проделать то же самое, т.к. сможет использовать те же возможности, находясь в домене #AD. И деятельность атакующего совсем не обязательно будет обнаружена.

• Теперь давайте предположим, что хакеры смогут даже получить всю подробную информацию об отдельных пользователях с помощью команды Get-NetUser, которая сдампит все атрибуты пользователя в AD.

• К сожалению, компании (особенно малый и средний бизнес в RU сегменте) небрежно относятся к атрибутам AD (и к ИБ в целом), которые они делают общедоступными для всех сотрудников — например, домашний или мобильный телефон, адрес и т.п.

• Что атакующий может сделать с этой информацией? Атакующий может легко воспользоваться способами #СИ и провести атаку: возможно, отправив электронное письмо с достаточным количеством личной информации, полученного из AD-атрибутов, чтобы оно выглядело как легитимный запрос службы поддержки с просьбой «сбросить пароль».

• По итогу, с помощью PowerShell атакующий может незаметно собирать внутренние пользовательские данные и затем использовать их в своих атаках. Напомню, что PowerShell — это командная оболочка и несложный скриптовый язык, который используется во всех современных системах Windows. К тому же большинство команд исполняется в памяти, что может помочь избежать антивирусного детекта.

• Для изучения PowerShell и применения полученных знаний на практике, у нас уже собрана большая база необходимого материала. Обрати внимание на бесплатный курс и отличную литературу на русском языке. Обращаю твое внимание, что огромное количество материала ты можешь найти если воспользуешься поиском в нашем канале, как по словам, так и по хештегу #PowerShell.

Твой S.E.

​🧩 S.E.Cheatsheet. Bloodhound.

🖖🏻 Приветствую тебя user_name.

• BloodHound — инструмент позволяющий провести продвинутую разведку внутри сети. Инструмент собирает данные о пользователях, ПК, группах и сессиях. Поставляется в виде скрипта на #PowerShell или бинарного файла.

• Для сбора информации используются LDAP или протоколы на основе SMB.

📌 LDAP, или Lightweight Directory Access Protocol, является открытым протоколом, используемым для хранения и получения данных из каталога с иерархической структурой. Обычно используемый для хранения информации об организации, ее активах и пользователях, LDAP является гибким решением для определения любого типа сущностей и их свойств. https://habr.com/ru/post/538662/

📌 SMB, или Server Message Block — это сетевой протокол прикладного уровня для удалённого доступа к файлам, принтерам и другим сетевым ресурсам, а также для межпроцессного взаимодействия. https://xn--r1a.website/Social_engineering/1970

• Интеграционный модуль CME позволяет загружать BloodHound на машину жертвы, запускать и получать собранные данные после выполнения, тем самым автоматизируя действия в системе и делая их менее заметными.

• Графическая оболочка BloodHound представляет собранные данные в виде графов, что позволяет найти кратчайший путь от машины атакующего до доменного администратора.

• Для графической оболочки используется Neo4j (графовая база данных), которая, в свою очередь, использует язык Cypher. Cypher достаточно сложный язык, поэтому я делюсь с тобой полезным ресурсом, который охватывает самые популярные и нужные запросы Cypher. Всё уже написано - можно брать и пользоваться: https://hausec.com/2019/09/09/bloodhound-cypher-cheatsheet/

📌 В дополнение:
Cheatsheet Bloodhound от SANS.
Password Analysis with BloodHound.
Deep Dive: Exploring an NTLM Brute Force Attack with Bloodhound.
ADExplorerSnapshot. AD Explorer snapshot ingestor for BloodHound.
ImproHound. Identify the attack paths in BloodHound breaking your AD tiering.
Аналог bloodhound. Собирает информацию в домене, заносит её в БД и показывает возможные пути атаки.
The Attack Path Management Manifesto: Методология анализа путей и атак в AD.

Твой S.E. #Bloodhound #Cheatsheet #Red_Team #Пентест

☁️ S.E.Навигация. Облако тегов.

🖖🏻 Приветствую тебя user_name.

• Теперь искать нужный материал стало удобнее и быстрее. Список тегов будет постепенно дополняться, с учетом выхода нового материала в нашем канале. Приятного чтения:

Основная тематика канала:
• #СИ
• #Фишинг
• #Пентест
• #Red_team
• #ИБ
• #Lockpicking
• #Профайлинг
• #Психология
• #НЛП

Смежные тематики, ресурсы, инструменты и другой полезный материал:
• #Анонимность
• #Форензика #Malware
• #Сети
• #Шифрование
• #Криптография
• #Взлом #Hack
• #CTF

• #Видео
• #Курс
• #Подборка
• #Заметка
• #Cheatsheet
• #roadmap

• #Blue_Team
• #Purple_Team

• #AD
• #HID
• #Tools
• #WiFi
• #VPN
• #TOR
• #Shodan
• #Cobalt_Strike
• #Metasploit
• #Mimikatz
• #Hashcat
• #Nmap
• #Wireshark
• #tcpdump
• #PowerShell
• #Termux
• #Intercepter

Операционные системы:
• #Linux
• #Android
• #Windows

• #Kali
• #Parrot
• #Tsurugi
• #Kodachi
• #Tails
• #Whonix
• #BlackArch

‼️ Не забывай, что направить свои предложения, жалобы, критику или пожелания, ты можешь в бота обратной связи: @Social_Engineering_bot. А полный список наших проектов, ты можешь найти тут: https://xn--r1a.website/S_E_Reborn/2243

Твой S.E. #Навигация #Облако

🔝 Список Powershell скриптов для обхода антивируса.

Как думаешь, почему именно PowerShell часто используется при взломе?

Ну, как минимум потому, что PowerShell — это командная оболочка и несложный скриптовый язык, который используется во всех современных системах Windows. К тому же большинство команд исполняется в памяти, что может помочь избежать антивирусного детекта.

🖖🏻 Приветствую тебя user_name.

• Сегодня поделюсь с тобой полезным репозиторием, в котором ты найдешь набор #powershell скриптов для обхода #AV (антивирусов). По информации от автора, скрипты имеют нулевой детект и являются актуальными на момент публикации ➕ ReverseShell был протестирован на Win 11.

🧷 https://github.com/tihanyin/PSSW100AVB

Твой S.E. #PowerShell #AV

​😈 Эксплуатация Windows AD и справочник по командам.

Ценность взломанной системы определяется весомостью фактических данных, хранящихся в ней, и тем, как ты можешь их использовать в своих целях.

🖖🏻 Приветствую тебя user_name.

• Эксплуатация представляет собой последовательность действий, которая помогает атакующему получить доступ к исследуемой системе, используя уязвимость или ошибку в настройках. Сегодня, я поделюсь с тобой ссылкой на отличный Cheat Sheet для эксплуатации win #AD.

Что включает в себя справочник:
• Обход PowerShell AMSI;
• PowerShell one-liners;
• Перечисления (Enumeration);
• AD Enumeration с помощью PowerView;
• AppLocker;
• Ограниченный языковой режим PowerShell;
• LAPS;
• Боковое перемещение (Lateral Movement);
• Боковое перемещение с помощью PowerView;
• BloodHound;
• Kerberoasting;
• AS-REP roasting;
• Token Manipulation;
• Боковое перемещение с помощью Rubeus;
• Боковое перемещение с помощью Mimikatz;
• Выполнение команды с запланированными задачами;
• Выполнение команд с помощью WMI;
• Выполнение команд с помощью PowerShell Remoting;
• Неограниченное делегирование;
• Ограниченное делегирование;
• Ограниченное делегирование на основе ресурсов;
• Злоупотребление доверием к домену;
• MSSQL и боковое перемещение;
• Групповые политики и боковое перемещение;
• Privilege Escalation;
• PowerUp;
• UAC Bypass;
• Persistence;
• Startup folder;
• Domain Persistence;
• Mimikatz skeleton key attack;
• Права DCSync с помощью PowerView;
• Domain Controller DSRM admin;
• Изменение дескрипторов безопасности для удаленного доступа к WMI;
• Изменение дескрипторов безопасности для удаленного доступа PowerShell;
• Изменение дескрипторов безопасности реестра DC для удаленного извлечения хэша с помощью DAMP;
• DCShadow;
• Постэксплуатация;
• LSASS protection;
• Дамп учетных данных с помощью Mimikatz;
• Злоупотребление DPAPI с помощью Mimikatz;
• Dumping secrets without Mimikatz;
• Windows Defender evasion;
• Chisel proxying;
• Juicy files;

📌 Материал отлично подойдет к нашему предыдущему посту: https://xn--r1a.website/Social_engineering/2262

Твой S.E. #AD #Mimikatz #BloodHound #AMSI #PowerView #PowerShell #Пентест