⚠️ Роутер с "вечным" VPN: удобство, которое стоит слишком дорого.

• Ребята из Бастион опубликовали очень крутой и содержательный материал, где проанализировали роутеры с предустановленным «пожизненным» VPN, которые продаются на различных маркетплейсах.

• Автор данного материала приобрел три роутера из разных ценовых категорий — от бюджетного Cudy за 3000 рублей до топового Xiaomi за 7000, и в процессе исследования обнаружил несегментированные сети, где можно получить доступ к устройствам других покупателей, пароли admin:admin, хранящиеся в открытом виде, и SSH-доступ для продавцов. А еще автор выяснил, что «пожизненные» серверы работают на дешевом хостинге за 2,5 доллара.

• В этой статье поговорим об угрозах, которые скрываются за яркой рекламой и почему экономия на сетевой безопасности может обойтись слишком дорого.

➡ Читать статью [12 min].

• Материал предназначен для специалистов по информационной безопасности. Настоящая статья носит исключительно исследовательский и образовательный характер и не призывает к использованию конкретных сервисов и технологий.

S.E. ▪️ infosec.work ▪️ VT

🔐 Безопасность в сети: S.E.Virus Detect v.3.2

• Помните про тулзу Shotstars, которая позволяет определить накрутку звезд в GitHub репозиториях? Дело в том, что совсем недавно данный функционал был добавлен в бота S.E.Virus Detect, который анализирует файлы, ссылки, ip и QR-коды на предмет угроз и вирусов. Теперь вы можете отправить в бота ссылку на репозиторий и получить мини-отчет со всей необходимой информацией (кол-во звезд, дата создания, максимальное кол-во звезд в день, среднее кол-во звезд в день, факт накрутки и т.д.).

➡ S.E. Virus Detect.

• Кстати, в декабре 2024 года исследователи из Северной Каролины выкатили интересное исследование, в рамках которого было выявлено 3.1 млн. фиктивно выставленных звёзд, охватывающих 15.835 репозиториев. Для накрутки были задействованы 278 тысяч учётных записей. Звёзды GitHub — один из основных показателей одобрения сообществом в GitHub. Если смотреть с точки информационной безопасности, то подобные репо нужно тщательно проверять перед использованием и быть максимально осторожным, либо не использовать вовсе. Всем безопасности❤

• P.S. Если нашли баг, недоработку, ошибку в тексте, либо у вас есть предложение по новому функционалу, то пишите по контактам, которые указаны в описании канала \ бота.

S.E. ▪️ infosec.work ▪️ VT

😈 Превращаем старый смартфон в устройство для пентеста с Kali NetHunter.

• Нашел интересный проект, автор которого реализовал устройство из смартфона с Kali NetHunter, в паре с Bluetooth-клавиатурой и специальным чехлом, распечатанным на 3D принтере. Получился компактный и недорогой инструмент для пентестеров, форм-фактор которого обеспечивает удобный рабочий процесс в "полевых" условиях.

• Описание проекта, блог автора, нужные модельки для 3D-принтера есть по ссылкам ниже:

➡️ https://hackaday.io/project/pixel-3-xl-nethunter-c-deck
➡️ https://www.mobile-hacker.com/cyberdeck-with-kali-nethunter

• Ну и обратите внимание на дополнительный материал. Тут вы найдете объемную серию статей, которые содержат много ценной информации: от установки Kali NetHunter на различные модели смартфонов, до описания различных инструментов и использования полезной нагрузки Metasploit.

➡Introduction to Kali NetHunter hacker series;
➡Installation of rootless Kali NetHunter;
➡Install Kali NetHunter on rooted OnePlus 7 Pro;
➡How to build Kali NetHunter for OnePlus 7 Pro;
➡Introduction to NetHunter system;
➡How to use MAC Changer, KeX and setup USB Arsenal;
➡Ultimate guide to HID attacks using Rubber Ducky scripts and Bad USB MITM attack;
➡Wi-Fi compatibility check and setup on Android;
➡Use MANA Toolkit to create Wi-Fi rogue access point and intercept traffic;
➡WPS attacks;
➡Bluetooth arsenal;
➡Master Social Engineering using SET;
➡Overall guide to MITM framework;
➡Find exploits using SearchSploit and setup Wi-Fi Pineapple connector;
➡Use Nmap for network scanning;
➡Metasploit payload generator in your pocket.

S.E. ▪️ infosec.work ▪️ VT

👾 Datacrime.

• Этот вирус вызвал больше шума в прессе, чем реального вреда. По популярной в 1989 году у журналистов версии, его создал некий норвежский патриот, обиженный, что честь открытия Америки отдана Колумбу вместо викинга Лейфа Эрикссона. Возникло это предположение оттого, что вирус особенно злодействовал 13 октября, сразу после празднуемого в США каждое 12 октября Дня Колумба. Версия кривая, но публике понравилась, и в истории Datacrime остался под альтернативным названием «День Колумба».

• Вирус проникал на компьютер пользователя через заражённые файлы. При их запуске в первой версии он заражал файлы .com по одному в каталоге, кроме тех, в которых буква "D" была седьмой по счёту: таким образом автор избегал повреждения COMMAND.COM. Вторая версия Datacrime умела заражать заодно и .exe файлы, а её код был полностью зашифрован.

• Заражённые файлы мирно лежали в своих директориях или разносили вирус на другие машины до 13 октября. При запуске в обозначенный день и любой день до 31 декабря текущего года (почему авторы вирусов конца 80-х так любили привязывать работу вирусов к четвёртому кварталу?) «преступление данных» выводил на экран гордое сообщение: DATACRIME VIRUS. RELEASED: 1 MARCH 1989 («Вирус Datacrime, выпущен 1 марта 1989 года»). И жесточайше форматировал нулевой цилиндр жёсткого диска (причём в первой версии делал это криво из-за ошибок автора), в силу чего погибала таблица размещения файлов FAT и данные безвозвратно терялись.

• Распространение вируса было не слишком значительным, но в напуганной предыдущими инцидентами вроде прошлогоднего червя Морриса прессе случилась форменная истерика. Стоит заметить, что конец 80-х вообще был временем «вирусной паники» в западных обществах и прессе: доходило до волн устрашающих публикаций о новых крайне опасных вирусах… которых попросту не существовало в природе.

• Сильнее всего Datacrime ударили по Нидерландам, где, по некоторым оценкам, оказались поражены до 10% всех компьютеров. Полиции этой страны пришлось даже срочно выпустить собственный антивирус для борьбы конкретно с Datacrime: голландские копы продавали его по 1 доллару за копию. Правда, работал полицейский антивирус сильно так себе и давал множество ложных срабатываний. Лучше работал антивирус VIRSCAN от IBM, который в том числе из-за шумихи вокруг Datacrime попытался зайти на новый перспективный рынок.

• Возможно, и сам вирус пришёл именно из Нидерландов: первым о нём сообщил некто Фред Фогель ещё в марте 1989 года, и такое сочетание имени и фамилии характерно как раз для голландцев.

S.E. ▪️ infosec.work ▪️ VT

🌐 IMSI-catcher и как от них защититься.

• «IMSI ловушки» - это устройства, маскирующие себя под базовые станции сотовой телефонной сети и позволяющие перехватывать уникальный идентификатор IMSI, прописанный в SIM-карте. После того как телефон подсоединяется к «перехватчику», устройство получает возможность его отслеживать. Плюс появляется возможность подслушивать чужие разговоры: аппарат-ретранслятор может деактивировать включенную абонентом функцию шифрования и работать с обычным открытым сигналом, передавая его дальше настоящей базовой станции. В настоящее время IMSI-ловушку можно создать всего за 10 баксов.

• Так вот, существует бесплатный инструмент с открытым исходным кодом под названием Rayhunter, который предназначен для выявления фальшивых базовых станций. До сих пор для обнаружения IMSI-ловушек исследователям и пользователям приходилось полагаться либо на приложения Android с root правами, либо на сложные и дорогие программно-определяемые инструменты.

• Rayhunter разработан для работы на мобильной точке доступа Orbic. Инструмент работает путём перехвата, хранения и анализа трафика управления (но не пользовательского) между мобильной точкой доступа и вышкой сотовой связи, к которой он подключён. Устройство анализирует трафик в режиме реального времени и ищет подозрительные события, которые могут включать необычные запросы, в том числе попытки базовой станции понизить соединение до 2G или запрос IMSI.

• Rayhunter уведомляет пользователя об этих событиях, а сами они фиксируются в журнале. В итоге юзер может выключать свой телефон и рекомендовать другим людям в этом районе сделать то же самое. Инструмент также может загружать журналы в формате PCAP, чтобы отправить их эксперту для дальнейшей оценки.

➡ https://www.eff.org/rayhunter

S.E. ▪️ infosec.work ▪️ VT

⚙️ Black Hat Tools.

• Держите очень крутой репозиторий, где собрали все инструменты, которые когда-либо были представлены на конференциях Black Hat.

• Инструменты аккуратно структурированы по странам, где проходила конференция, по годам и категориям:

➡Red Teaming;
➡Blue Teaming;
➡OSINT & Recon;
➡Exploit Development;
➡Malware Analysis;
➡DFIR & Forensics;
➡Threat Intelligence;
➡ICS/IoT/SCADA;
➡Application Security (AppSec).

➡️ https://github.com/UCYBERS/Awesome-Blackhat-Tools

• Не забывайте, что все презентации с выступлений, начиная с 2023 года, собраны вот тут:

➡️ https://github.com/onhexgroup/Conferences

S.E. ▪️ infosec.work ▪️ VT

👩‍💻 2 бесплатных курса: основы GNU и администрирование инфраструктуры на GNU/Linux.

• Хочу напомнить вам про два очень полезных и полностью бесплатных курса по изучению / администрированию операционных систем семейства Linux. Материал можно скачать в формате книги или изучать на сайте автора:

1️⃣Основы GNU/Linux — основной целью курса является изучение работы с ОС Linux. Курс включает в себя теоретический материал (64 раздела). В конце каждого раздела есть задания, которые позволят закрепить полученные знания на практике. Курс полностью на русском языке и доступен по этой ссылке: https://basis.gnulinux.pro/ru/

2️⃣Администрирование инфраструктуры на GNU/Linux — мы изучим множество тем, от поднятия инфрастуктуры с нуля до настройки различных отказоустойчивых сетевых сервисов. Данный курс является продолжением курса «Основы GNU/Linux» и требует понимания многих тем, разобранных там. Содержимое курса следующее:

➡Ссылки;
➡Команды;
➡Как устроена IT инфраструктура;
➡Подготовка лабораторной;
➡Деление на VLAN-ы;
➡Объединение портов;
➡Деление на подсети;
➡Как попасть в сеть через SSH;
➡Деление на зоны;
➡Политики Firewall;
➡Плавающий IP;
➡DHCP сервер;
➡Основы DNS.

S.E. ▪️ infosec.work ▪️ VT

📦 Виртуализация 90-х годов и начало VirtualBox.

• В 90-е годы происходило бурное развитие технологий, при этом создавались не только средства для виртуализации, но и разнообразные эмуляторы. Вкратце, с помощью последних пользователи получали возможность воспроизводить работу софта, предназначено для конкретной ОС на другой (например, запускать ПО для Windows на Mac).

• В то же время с помощью виртуализации можно «разбить» одну систему на два (или больше) виртуальных сервера, со своим софтом и железом — каждый из них будет функционировать как реальная машина, что является более производительным вариантом.

• Одним из первых эмуляторов стал проект DOSEMU, позволявший запускать системы-клоны DOS и софт для DOS на компьютерах IBM PC x86 под управлением Linux.

• В июле 1993 года Алексадр Жюльярд выпустил первую версию созданного им Wine — средства для запуска программ Windows на компьютерах с ОС семейства Unix (отсюда и название проекта — Windows Emulator).

• Ярким представителем семейства эмуляторов стал и продукт Bochs, выпущенный в 1994 году. С его помощью пользователи могли эмулировать среду, необходимую для запуска гостевой ОС (в т.ч. жесткие и флоппи диски, звуковые и видео карты и т.д.) на архитектуре x86, что в то время было новинкой.

• В 1997 году Apple создала программный пакет виртуализации Virtual PC (продавалась через дочернюю компанию Connectix). С помощью этого продукта пользователи Mac могли запускать ОС Windows — на тот момент под эту ОС существовало гораздо больше программ, поэтому запуск Virtual PC помог сгладить недостаток Mac-софта.

• Продукт, включающий программы десктоп и серверной виртуализации Virtual PC и Virtual Server был востребован компаниями, которые занимались разработкой софта под различные платформы. В 2003 году компания Connectix была куплена Microsoft, в 2006 году было решено отказаться от развития версии для Mac.

• В 1998 года была основана компания VMware, а в 1999 году она вывела на рынок аналогичный продукт под названием VMware Workstation. Изначально он предназначался для работы на Windows, однако позднее разработчики добавили поддержку других ОС. К 2001 году были разработаны первые серверные продукты (VMware GSX Server, VMware ESX Server, который можно было устанавливать прямо «на железо» без необходимости наличия на нем операционной системы).

• В 1997 году российский предприниматель Сергей Белоусов запустил компанию SWSoft, в то время ее главный офис располагался в Сингапуре. В 2004 году эта компания приобрела американский стартап Parallels, который занимался десктоп- и серверной виртуализацией. После того, как Apple выпустила новые MacBook на чипсете от Intel, родился продукт Parallels Desktop для Mac, позволявший запускать Windows на Mac без перезагрузки.

• Еще одним заметным продуктом в начале двухтысячных годов стал эмулятор DOSBox — он был выпущен в 2002 году. С его помощью пользователи могли запускать «старые» программы для DOS на современных ОС.

• С этого момента начинается история Virtual Box, первая версия которой была выпущена немецкой компание innotek GmbH в 2007 году. С ее помощью пользователи могли запускать в качестве гостевых ОС Windows, Linux, BSD, OS/2, Solaris, Haiku и некоторые другие. В феврале 2008 года Sun Microsystems купила innotek для «создания собственных продуктов в области виртуализации». А уже в 2010 году сама Sun Microsystems была поглощена Oracle (переговоры велись с 2009 года), а пакет виртуализации подвергся ребрендингу и получил имя Oracle VM VirtualBox.

• Кстати, если уж и говорим на данную тему, то вот вам очень полезный список ресурсов с готовыми образами для виртуальных машин VirtualBox и VMWare. Очень удобно для быстрого развертывания в качестве стендов для экспериментов.

➡Подборка различных образов для VirtualBox.
➡Free VirtualBox Images от разработчиков VirtualBox.
➡Коллекция готовых VM от Oracle.
➡Абсолютно любые конфигурации VM на базе Linux и Open Sources.
➡Подборка различных образов для VMware.
➡VM на iOS и MacOS: getutm и mac.getutm.
➡Образы для Mac: mac.getutm и utmapp.

S.E. ▪️ infosec.work ▪️ VT

⚠ SIM Card Security Research.

• Очень интересное исследование про различного рода уязвимости, которые можно реализовать через SIM-карту. Даже примеры кода есть... А еще авторы собрали интересную тулзу для эмуляции SIM-карт, которая может быть интегрирована в различные устройства для тестирования и исследований.

➡ Исследование: https://www.usenix.org/
➡ GitHub: https://github.com/tomasz-lisowski/simurai
➡ Материал в формате видео: https://youtu.be/3_R9P--ksE4

• P.S. А еще есть очень объемная статья про SIM Hijacking — уязвимость, о которой было объявлено еще в 2019 году и которая до сих пор затрагивает некоторые SIM-карты. Атака подразумевает отправку SMS-сообщений жертве в виде специальных запросов с помощью которых можно инициировать события для манипуляции с мобильным телефоном. Автор этой статьи подробно описывает устройство SIM-карт, изучает защитный код через SIMspy и описывает техническую составляющую SIM Hijacking. Рекомендую к прочтению: https://sensepost.com/blog/2022/sim-hijacking/

S.E. ▪️ infosec.work ▪️ VT

🤫 Секреты...

• Два месяца назад GitHub опубликовали интересный отчет о выявленных утечках конфиденциальных данных (ключи шифрования, пароли к СУБД и токены доступа к API) за 2024 год. В общем итоге было выявлено более 39 миллионов случаев подобных утечек.

• Как правило, конфиденциальные данные оставляют в коде по недосмотру. Например, в репозиторий попадают файлы конфигурации с паролями к СУБД, а также прописанные в коде токены или ключи доступа к API, которые часто добавляют в процессе тестирования, но забывают удалить перед сохранением изменений в Git или не учитывают, что они могут остаться в сопутствующих файлах с ресурсами (например, могут остаться в предкомпилированном файле с байткодом, несмотря на удаление в исходном коде).

➡ https://github.blog/next-evolution-github-advanced-security

• Напомню, что на эту тему есть хорошая статья на хабре, где автор восстанавливал удаленные файлы в GitHub репозиториях, находил недостижимые объекты, распаковывал .pack - файлы и находил API-ключи, активные токены и учетки. А когда он сообщил компаниям об утечках, заработал более $64 тыс. на баг-баунти.

➡️ https://habr.com/ru/post/916752

• В дополнение: grep.app и code-search — инструменты, которые предназначены для поиска по тексту и коду, с удобным интерфейсом для поиска в публичных репо. Эти тулзы будут полезны не только разработчикам, но и помогут в защите от утечек данных! Основные возможности следующие:

➡Поиск по публичным репозиториям;
➡Поддержка регулярных выражений;
➡Фильтрация по языкам программирования;
➡Поиск с учетом регистра;
➡Оптимизация для быстрого поиска.

➡ https://grep.app
➡ https://github.com/features/code-search

S.E. ▪️ infosec.work ▪️ VT

👣 Подмена фингерпринтов в Chrome.

• Относительно недавно публиковал пост, в котором вы могли найти и изучить информацию о подмене аппаратных и сетевых отпечатков Linux. Сегодня продолжим эту тему, но затронем не отпечатки ОС, а браузера Google Chrome. Сразу отмечу, что это очень объемный и интересный материал, автор которого разделил статью на две части. Начнем ⬇️

• Дело в том, что браузеры — это сложная штука, и чтобы подменить отпечатки, требуется серьёзно постараться. Если на уровне системы мы можем менять MAC-адреса, TTL или разрешения экрана, то в браузерах нас поджидает другой уровень игры: здесь собираются данные, которые выдают не только железо, но и ваши привычки, плагины, настройки и даже то, как вы двигаете мышкой. В первой части мы разберём, какие отпечатки детектит и собирает в себе хром, на что это влияет, как хром это делает и, главное, как скрыть свой отпечаток, автоматизировать его замену и остаться незамеченным.

• Во второй части продолжим говорить об автоматизации процесса и сделаем его устойчивым к детекту. Соберем два автономных инструмента для подмены отпечатков: один — гибкий и мощный на базе Puppeteer, второй — лёгкий и простой на Bash. Но инструменты — это только половина задачи. Вторая половина — это реалистичные данные. Еще мы уделим особое внимание генерации и структуре достоверных отпечатков, которые выглядят так, будто они действительно сняты с реального пользователя. Подробно разберем откуда брать актуальные User-Agent, Client Hints, таймзоны, локали, видеокарты, плагины, сетевые параметры и медиа устройства. Все данные мы будем собирать или генерировать через Python и Bash-скрипты, с минимальной зависимостью от сторонних API. Эта часть подойдёт тем, кто хочет не просто подменять отпечатки, а создать свой полноценный стек для маскировки, чтобы сделать свой отпечаток максимально реалистичным.

➡ Скачать материал можно в нашем облаке.

‼ Статья предназначена для специалистов ИБ и представлена в ознакомительных целях.

S.E. ▪️ infosec.work ▪️ VT

👨‍💻 Metarget.

• Нашел крутой инструмент, который позволяет вам развернуть уязвимую версию Docker, Kubernetes и ядра Linux. Тулза будет очень полезна пентестерам, для получения практического опыта в данном направлении. Подробное описание проекта доступно по ссылке ниже:

➡ https://github.com/Metarget/metarget

• Кстати, о ядре Linux! У нас в группе есть очень объемное руководство по разработке и внедрению эксплойта в ядро Linux. Этот материал был загружен в группу и оказался весьма полезным для многих исследователей безопасности и разработчиков. Книга хоть и старая, но там тонна актуальной и полезной информации, особенно для тех, кто ищет практический опыт разработки и изучает различные отладочные методы. Скачать можно отсюда.

S.E. ▪️ infosec.work ▪️ VT

🦜 Parrot 6.4 Release.

• Этот очень красивый дистрибутив #Linux, который основан на Debian и разработан командой Frozenbox специально для аудита безопасности компьютерных систем, поиска и оценки различного ряда уязвимостей. Parrot OS подходит не только для тестов на проникновение, ОС может служить и для ежедневного использования тем, кто знает, зачем им это нужно.

• 7 июля разработчики выпустили новую версию Parrot 6.4, включающую в себя ряд многочисленных изменений и обновленных инструментов: airgeddon 11.50, Metasploit 6.4.71, Seclists и Seclists-lite 2025.2, enum4linux-ng 1.3.4, beef-xss, powershell-empire 6.1.2, Starkiller 3.0.0, NetExec 1.4.0, Caido 0.48.1, gbp-gef 2025.1 и ruby-cms-scanner 0.15.0. Также этот выпуск поставляется с новым веб-браузером Firefox 140 ESR (Extended Support Release). Решение получило все патчи и исправления, направленными на обеспечение конфиденциальности, а также имеет поддержку PowerShell 7.5. Прочитать об остальных изменениях можно на оффициальном сайте.

• Ну и в качестве дополнения я собрал для вас много полезных ссылочек! Они помогут освоить данную ОС и вступить в ламповое комьюнити не выходя из Telegram.

• Полезные ссылки:
➡ParrotOS Download Page;
➡ParrotOS Mirror List;
➡Official ParrotOS Gitlab repo;
➡Official ParrotOS Github repo;
➡Official ParrotOS SubReddit.

• Гайды и документация:
➡ParrotOS Installation Guide;
➡Dualboot with Windows;
➡ParrotOS Documentation;
➡Parrot OpenBooks.

• Комьюнити:
➡Telegram;
➡Discord;
➡LinkedIn.

S.E. ▪️ infosec.work ▪️ VT

📦 Где хранить секретные файлы...

• Всю информацию человека можно разделить по степени важности, примерно так:

➡Системные бэкапы (важность 1/10);
➡Текущие рабочие файлы (3/10);
➡Личный архив: фотографии, видео (6/10);
➡Копии бумажных документов (8/10);
➡Секреты: ключи, пароли, кошельки (10/10).

• Терять файлы всегда неприятно. Поэтому мы делаем резервные копии. Но степень параноидальности усилий по защите информации зависит от важности. Есть категория файлов, которую нельзя терять ни при каких обстоятельствах, даже в случае апокалипсиса. Это наши главные секреты, то есть ключи, пароли и кошельки.

• Давайте ознакомимся с очень полезным материалом, который описывает различные уровни защиты собственных файлов, способы сокрытия от чужих глаз и методы хранения:

➡ Читать статью [10 min].

• Дополнение: Taйники «Dead drops»: бeзoпacнaя cвязь нa ocнoвe oпытa шпиoнaжa. Мёpтвыe тoчки cбpoca.

S.E. ▪️ infosec.work ▪️ VT

💬 Генератор фейковых сообщений для 13 соц. сетей и сервисов.

• Разработчик Морис Кляйн выпустил веб-приложение Mockly, которое способно генерировать правдоподобные изображения фейковых переписок в 13 социальных сетях и мессенджерах. Думаю не нужно объяснять, что такие инструменты активно используют социальные инженеры. В настоящий момент приложение способно имитировать переписку в таких сервисах, как Messenger, WhatsApp, Reddit, iMessage, Slack, Signal, Tinder, TikTok, Telegram и т.д.

• Приложение от Кляйна имеет несколько настроек, в том числе включение тёмной темы. Для скачивания готового результата разработчик предусмотрел отдельную кнопку.

• Некоторые шаблоны Mockly выглядят более правдоподобно, чем другие. Если шаблон Slack выглядит пустовато, то другие — вполне реалистично. Ещё одно ограничение Mockly заключается в том, что генератор воспроизводит то, как выглядели бы переписки в десктопных версиях платформ, а не на мобильных устройствах.

➡️ Затестить можно тут: https://www.getmockly.com

S.E. ▪️ infosec.work ▪️ VT

🪱 Эволюция безопасности: Code Red.

• 15 июля 2001 года. Утро. Аналитики компании eEye Digital Security допивали очередную порцию газировки Code Red Mountain Dew, когда в лабораторию стали поступать предупреждения о массовом распространении нового компьютерного червя. Не мудрствуя лукаво, парни назвали вредонос в честь своего любимого напитка – "Code Red". Так эта угроза получила свое имя, которое многим жертвам червя запомнилось надолго — буквально за несколько дней Code Red захватил Интернет.

• Но начало этой истории было относительно удачным: распространение интернет-червя Code Red, атакующего системы на базе Windows с установленным веб-сервером Microsoft IIS (Internet Information Services for Windows Server), удалось выявить в самом начале эпидемии. На момент обнаружения специалисты занимались разработкой системы по поиску уязвимостей в Microsoft IIS. Их тестовый сервер неожиданно перестал отвечать на запросы. Вслед за этим последовала бессонная ночь, которую исследователи провели, изучая логи системы в поисках следов заражения.

• Однако относительно раннее обнаружение не особо помогло остановить эпидемию. Зловред использовал уже зараженные системы для дальнейших атак, и буквально за считанные дни распространился по всему миру. Интернет-червь использовал тривиальнейшую уязвимость в одном из модулей веб-сервера, а точнее, расширении для индексации данных. В библиотеке idq.dll была обнаружена ошибка переполнения буфера. Уязвимость получила идентификатор MS01-33. По современным меркам это простейшая ошибка, которую можно проэксплуатировать, отправив на сервер чрезмерно длинный запрос такого вида:

GET /default.ida?NNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNNN%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u6858%ucbd3%u7801%u9090%u9090%u8190%u00c3%u0003%u8b00%u531b%u53ff%u0078%u0000%u00=a HTTP/1.0

• В результате данные после многочисленных символов N интерпретируются как инструкции и выполняются. Вся вредоносная нагрузка содержится непосредственно в запросе, то есть при наличии уязвимой инсталляции Microsoft IIS система заражается моментально и со стопроцентной гарантией. Самым заметным следствием заражения становился дефейс веб-сайта, обслуживаемого веб-сервером. Вместо его содержимого выводилась заглушка (пример).

• Следующие действия червя зависели от текущего числа. Через 10 часов после успешной атаки червь восстанавливал нормальное содержимое веб-сайта. Дальнейшие действия зависели от даты. С 1 по 19 число каждого месяца червь занимался собственным распространением, отправляя вредоносные запросы по случайным IP-адресам. С 20 по 27 число производилась DDoS-атака на ряд фиксированных IP-адресов, среди которых был адрес сайта администрации президента США. С 28 числа до конца месяца у Code Red были выходные.

• Хотя массовое распространение червя было зафиксировано 15 июля 2001 года, своего пика оно достигло через 4 дня — 19 июля было заражено более 359 тыс. серверов. Позже, когда администраторы все-таки начали устанавливать на свои серверы рекомендованные Microsoft обновления безопасности, эпидемия понемногу пошла на убыль, хотя чуть позже появилась вторая версия Core Red, имевшая другую полезную нагрузку и использовавшая в GET-запросе символы “X” вместо “N”.

• Из всей этой истории можно сделать два важных вывода. Первый — что своевременная установка патчей, которая была так важна 21 год назад, не потеряла своей актуальности и сейчас. Второй — то, что Code Red не шифровал файлы на дисках, не воровал пароли и не уничтожал данные, можно назвать чистым везением. Именно благодаря относительной «безобидности» червя эпидемия обошлась без серьезных последствий. А ведь они могли бы быть намного более печальными, если бы злоумышленники преследовали иные цели.

S.E. ▪️ infosec.work ▪️ VT

📝 Памяти Кевина Митника — хакера, ломавшего ФБР, АНБ и Кремниевую долину.

• Прошло ровно 2 года, как не стало Кевина Митника - одного из самых знаменитых и архетипичных хакеров в истории! В середине 90-х он считался самым разыскиваемым хакером в мире, и было за что: Митник лихо взламывал сети корпораций и правительства США, обходил большинство систем безопасности, прослушивал агентов ФБР, добывал тонны конфиденциальной информации и данных о банковских картах, включая счета топов Кремниевой долины, — вот только денег, как считается, он никогда не воровал. Ну а закрыв проблемы с американским законом, Кевин Митник превратился в одного из лучших специалистов по кибербезопасности.

• Кстати, я уже как-то говорил, что идеей для создания данного канала послужила именно его книга "Искусство вторжения", которую я прочитал на одном дыхании 12 лет назад. Так что давайте вспомним о человеке, на основе которого во многом и сформировался классический образ хакера 90-х годов. Ниже ссылки на биографию Митника, которая описана в мельчайших подробностях и читается как художественная литература:

➡Часть 1: Бурная юность тёмного гения;
➡Часть 2: Кондор учится летать;
➡Часть 3: «Фортуна повернулась ко мне задом»;
➡Часть 4: Самый странный повод взломать военных;
➡Часть 5: Призрачный номер и загадочный хакер;
➡Часть 6: Кошки-мышки с федералами;
➡Часть 7: Призрак в маске мертвеца;
➡Часть 8: Вконец обнаглевший подпольщик;
➡Часть 9: Туман Сиэтла, саспенс и чёрный вертолёт;
➡Часть 10: Киберсамурай выходит на охоту;
➡Часть 11: Глазами оскорблённого охотника;
➡Часть 12: В сжимающемся кольце охоты;
➡Часть 13: Хакер в объятиях системы;
➡Часть 14: Из изгоев к звёздам.

S.E. ▪️ infosec.work ▪️ VT

💸 $25 000 на удаленных файлах в Git.

• Помните статью, где автор смог заработать 64 тыс. баксов на поиске секретов в GitHub репо? По ссылке ниже найдете продолжение данной истории, где автор смог автоматизировать процесс поиска серкетов, многие из которых пылились на GitHub годами. Ну и еще автор смог собрать довольно удобную платформу для охоты за секретами, которая принесла ему 25 тыс. зелени на этих находках. Берите на заметку:

➡ Читать статью [12 min].

• В дополнение ⬇

➡Часть 1. Как я заработал $64 000 на удаленных файлах в Git.
➡Инструменты для поиска секретов.
➡Отчет о выявленных утечках конфиденциальных данных (ключи шифрования, пароли к СУБД и токены доступа к API) от GitHub за 2024 год.

S.E. ▪️ infosec.work ▪️ VT

🐕 Kerberos простыми (нет) словами.

• Cпециалисту по тестированию на проникновение инфраструктуры на базе Active Directory важно понимать общее устройство протокола Kerberos. Вот некоторые причины:

➡Знание устройства протокола Kerberos необходимо для понимания ряда классических атак.
➡Периодически появляются новые атаки, но прежде чем приступать к их эксплуатации, необходимо разобраться к каким последствиям они могут привести. Без знания Kerberos это порой затруднительно, либо вовсе невозможно.
➡Личная чуйка, что если человек называет себя специалистом, то он должен обладать несколько более глубокими знаниями, чем название инструмента или кнопки, на которую надо нажать.

• Обратите внимание на очень объемную и содержательную статью про работу Kerberos, где вы узнаете много необходимого и полезного в части работы данного протокола. Содержание следующее:

➡Простое объяснение основ работы Kerberos;
➡Простое объяснение аутентификации между доменами;
➡Описание реализации передачи сообщений Kerberos как по UDP, так и по TCP;
➡Объяснение что такое «сервис» в понятии Kerberos и почему у «сервиса» нет пароля;
➡Объяснение почему в абсолютном большинстве случаев SPN служит просто для идентификации пользователя, из‑под которого запущен «сервис»;
➡Как система понимает, к какому типу относить то или иное имя принципала;
➡Рабочий код на С++, реализующий алгоритм шифрования Kerberos с AES (код реализован с применением CNG);
➡Как передать X.509 сертификат в качестве credentials в функцию AcquireCredentialsHandle (PKINIT);
➡Как сделать так, чтобы «сервис» понимал чужие SPNs (одновременная работа с credentials от нескольких пользователей);
➡Почему GSS‑API является основой для всего процесса аутентификации в Windows (да и в других ОС тоже);
➡Описание (со скриншотами из Wireshark) того, как именно передаётся AP‑REQ внутри различных протоколов (LDAP, HTTP, SMB, RPC);
➡Простое описание для каждого из типов делегирования Kerberos;
➡Код для тестирования каждого из типов делегирования, который может быть выполнен на единственной рабочей станции, без какой‑либо конфигурации кучи вспомогательных сервисов;
➡Описание User‑To‑User (U2U), а также код с возможностью протестировать U2U;
➡Ссылки на различный мой код, как то: реализация «whoami на S4U», реализация klist, библиотеки XKERB для запросов к SSPI и прочее.

➡ Читать статью [50 min];

S.E. ▪️ infosec.work ▪️ VT

📶 Анализ сетевого трафика в режиме реального времени.

• В данной работе дается обзор научных исследований в области анализа сетевого трафика в режиме реального времени, а также рассматриваются конкретные программно–аппаратные решения.

• Направления развития технологий анализа сетевого трафика:
- Глубина анализа сетевых пакетов;
- Поверхностный анализ пакетов (SPI);
- Средний анализ пакетов (MPI);
- Глубокий анализ пакетов (DPI).

• Учёт состояния потока при анализе сетевого трафика:
- Анализ сетевых пакетов с учётом состояния потоков;
- Анализ содержимого сетевых протоколов прикладного уровня.

• Общая схема инфраструктурных алгоритмов анализа сетевого трафика;
• Захват сетевых пакетов;
• Группировка сетевых пакетов в потоки;
• Классификация сетевого трафика:
- Подходы на основе вывода;
- Методы на основе сигнатур;
- Анализ данных в разных представлениях;
- Классификация угроз.

• Требования, предъявляемые к современным средствам анализа содержимого сетевого трафика;
• Классификация систем анализа по способу подключения к сети передачи данных;
• Классификация высокоскоростных средств анализа содержимого сетевого трафика;
• Масштабирование системы анализа.

☁️ Скачать материал можно в нашем облаке.

S.E. ▪️ infosec.work ▪️ VT