Forwarded from SecAtor
Исследователи из Secureworks подробно разобрали вредоносное ПО ShadowPad.
ShadowPad - сложный и модульный бэкдор: он извлекает информацию о хосте, выполняет команды, взаимодействует с файловой системой и реестром и развертывает новые модули для расширения функциональности.
В последние годы стал активно применяться многими китайскими АРТ. Как мы уже упоминали, ShadowPad, автором которого считается APT Winnti, используется по меньшей мере пятью китайскими хакерскими группами.
ShadowPad имеет заметные сходства с вредоносным ПО PlugX, которое, в свою очередь, использовалось в резонансных атаках на NetSarang, CCleaner и ASUS. Хотя первоначальные кампании по доставке ShadowPad были связаны с актором, отслеживаемым как Bronze Atlas, также известным как Barium, связанной с Chengdu 404, позже после 2019 года он использовался несколькими китайскими АРТ.
ShadowPad в своей работе применяет специальный механизм упаковки под названием ScatterBee, который используется для запутывания вредоносных 32-битных и 64-битных полезных нагрузок.
Полезные нагрузки развертываются на хосте либо в зашифрованном виде с помощью загрузчика DLL, либо встраиваются в отдельный файл вместе с загрузчиком DLL, который затем расшифровывает и выполняет встроенную полезную нагрузку ShadowPad в памяти с использованием специального алгоритма дешифрования, адаптированного к версии вредоносного ПО.
Эти загрузчики DLL запускают вредоносные программы после того, как они были загружены легитимным исполняемым файлом, уязвимым для метода перехвата порядка поиска библиотек DLL.
Отдельные цепочки заражения, которые наблюдали Secureworks, также включали третий файл, содержащий зашифрованную полезную нагрузку ShadowPad, которая работает путем выполнения легитимного двоичного файла (например, BDReinit.exe или Oleview.exe) для загрузки DLL, которая и загружает и расшифровывает третий файл.
Кроме того, злоумышленник размещает файл DLL в каталог Windows System32 для загрузки службой настройки удаленного рабочего стола (SessionEnv), что в конечном итоге приводит к развертыванию Cobalt Strike на скомпрометированных системах.
В одном из расследовавшихся инцидентов с применением ShadowPad исследователи и вовсе наблюдали за тем, как хакеры вручную выполняли команды без применения автоматических сценариев.
По результатам своей аналитики Secureworks, предположили применение ShadowPad несколькими АРТ, включая Bronze Geneva (Hellsing), Bronze Butler (Tick) и Bronze Huntley (Tonto Team), которые действуют в интересах сил стратегической поддержки Народно-освободительной армии (PLASSF).
Исследователи пришли к выводу о том, что вредоносное ПО было разработано злоумышленниками, связанными с Bronze Atlas, а затем передано АРТ, действующим в интересах Министерства государственной безопасности КНР (MSS) и PLA примерно в 2019 году. Как мы и предполагали.
ShadowPad - сложный и модульный бэкдор: он извлекает информацию о хосте, выполняет команды, взаимодействует с файловой системой и реестром и развертывает новые модули для расширения функциональности.
В последние годы стал активно применяться многими китайскими АРТ. Как мы уже упоминали, ShadowPad, автором которого считается APT Winnti, используется по меньшей мере пятью китайскими хакерскими группами.
ShadowPad имеет заметные сходства с вредоносным ПО PlugX, которое, в свою очередь, использовалось в резонансных атаках на NetSarang, CCleaner и ASUS. Хотя первоначальные кампании по доставке ShadowPad были связаны с актором, отслеживаемым как Bronze Atlas, также известным как Barium, связанной с Chengdu 404, позже после 2019 года он использовался несколькими китайскими АРТ.
ShadowPad в своей работе применяет специальный механизм упаковки под названием ScatterBee, который используется для запутывания вредоносных 32-битных и 64-битных полезных нагрузок.
Полезные нагрузки развертываются на хосте либо в зашифрованном виде с помощью загрузчика DLL, либо встраиваются в отдельный файл вместе с загрузчиком DLL, который затем расшифровывает и выполняет встроенную полезную нагрузку ShadowPad в памяти с использованием специального алгоритма дешифрования, адаптированного к версии вредоносного ПО.
Эти загрузчики DLL запускают вредоносные программы после того, как они были загружены легитимным исполняемым файлом, уязвимым для метода перехвата порядка поиска библиотек DLL.
Отдельные цепочки заражения, которые наблюдали Secureworks, также включали третий файл, содержащий зашифрованную полезную нагрузку ShadowPad, которая работает путем выполнения легитимного двоичного файла (например, BDReinit.exe или Oleview.exe) для загрузки DLL, которая и загружает и расшифровывает третий файл.
Кроме того, злоумышленник размещает файл DLL в каталог Windows System32 для загрузки службой настройки удаленного рабочего стола (SessionEnv), что в конечном итоге приводит к развертыванию Cobalt Strike на скомпрометированных системах.
В одном из расследовавшихся инцидентов с применением ShadowPad исследователи и вовсе наблюдали за тем, как хакеры вручную выполняли команды без применения автоматических сценариев.
По результатам своей аналитики Secureworks, предположили применение ShadowPad несколькими АРТ, включая Bronze Geneva (Hellsing), Bronze Butler (Tick) и Bronze Huntley (Tonto Team), которые действуют в интересах сил стратегической поддержки Народно-освободительной армии (PLASSF).
Исследователи пришли к выводу о том, что вредоносное ПО было разработано злоумышленниками, связанными с Bronze Atlas, а затем передано АРТ, действующим в интересах Министерства государственной безопасности КНР (MSS) и PLA примерно в 2019 году. Как мы и предполагали.
Secureworks
ShadowPad Malware Analysis
In this threat analysis, ShadowPad samples reveals clusters of activity linked to threat groups affiliated with the Chinese Ministry of State Security (MSS) civilian intelligence agency and the People's Liberation Army (PLA).
💬 true story. «Кража» со взломом: пентест финансовой организации.
• Это реальная история. События, о которых рассказывается в посте, произошли не так уж давно. Из уважения к читателям все рассказано так, как было на самом деле:
🧷 Читать статью: https://habr.com/ru/company/bastion/blog/591613/
Твой S.E.
🖖🏻 Приветствую тебя user_name.
• В этом посте автор расскажет, как сломанная логика, самописные сервисы и графические пароли могут привести к захвату сетевой инфраструктуры компании, полной потере денег и пользовательских данных.• Это реальная история. События, о которых рассказывается в посте, произошли не так уж давно. Из уважения к читателям все рассказано так, как было на самом деле:
🧷 Читать статью: https://habr.com/ru/company/bastion/blog/591613/
Твой S.E.
CheatSheet Digital Forensics S.E..pdf
888.6 KB
🔎 Форензика. 108 страниц полезных команд.
#Форензика, как аспект #ИБ, развита гораздо в меньшем объеме нежели #пентест или организация защитных средств. Правильных подход при проведении мероприятий по сбору цифровых доказательств может дать не только восстановить картину возможного инцидента, но и позволит выявить пути и предпосылки возникновения инцидента.
Твой S.E. #Форензика #Заметка
#Форензика, как аспект #ИБ, развита гораздо в меньшем объеме нежели #пентест или организация защитных средств. Правильных подход при проведении мероприятий по сбору цифровых доказательств может дать не только восстановить картину возможного инцидента, но и позволит выявить пути и предпосылки возникновения инцидента.
🖖🏻 Приветствую тебя user_name.
• Основная цель при проведении форензики — использование методов и средств для сохранения (неизменности), сбора и анализа цифровых вещественных доказательств, для того чтобы восстановить события инцидента. Выше ты сможешь найти полезную шпаргалку (108 страниц полезной информации), по всем командам Windows для тех, кому интересна сегодняшняя тема. Либо можешь изучить данный материал по адресу: https://www.jaiminton.com/cheatsheet/DFIR/# Рекомендую к изучению.Твой S.E. #Форензика #Заметка
💬 true story. Карты. Деньги. Double VPN.
Эта небольшая местами печальная, а местами смешная история, о том как можно потерять всё на ровном, если совсем забыть про свою совесть.
ненормативную лексику, описание проникновения на компьютеры, роутеры, применение социальной инженерии. В нём постоянно происходит какая-то малопонятная ерунда, которая может поджечь стул мамкиным хакерам экспертам по кибербезопасности и ввести в ступор даже матерых спецов, поэтому большая просьба пройти всех чувствительных мальчиков и девочек от экрана подальше. Супер крутым пентестерам, кормящим матерям, лицам не достигшими 18 лет, а также высоконравственным личностям - читать не рекомендуется. Всем остальным - адекватным и с чувством юмора - милости просим.
🧷 Читать статью: https://rentry.co/once-upon-a-time
• P.S. Хотел упомянуть автора данной статьи, но автор неизвестен. Ссылку нашел в чате у Ареса: @cepter
Твой S.E. #СИ #Пентест #Hack
Эта небольшая местами печальная, а местами смешная история, о том как можно потерять всё на ровном, если совсем забыть про свою совесть.
🖖🏻 Приветствую тебя user_name.
• Текст содержит 🧷 Читать статью: https://rentry.co/once-upon-a-time
• P.S. Хотел упомянуть автора данной статьи, но автор неизвестен. Ссылку нашел в чате у Ареса: @cepter
Твой S.E. #СИ #Пентест #Hack
📲 Код Доступа Termux.
• Сегодня будет достаточно полезная статья, которая является крайне интересной для всех читателей нашего сообщества. В статье описаны следующие темы:
и многое другое....
🧷 Читать статью:
https://codeby.net/threads/kod-dostupa-termux-ch-1-ja.79461/
https://codeby.net/threads/kod-dostupa-termux-ch-2-ja.79463/
https://codeby.net/threads/kod-dostupa-termux-ch-3-ja.79469/
https://codeby.net/threads/kod-dostupa-termux-ch-4-ja.79470/
https://codeby.net/threads/kod-dostupa-termux-ch-5-ja.79479/
Твой S.E. #Termux
🖖🏻 Приветствую тебя user_name.• #Termux — это #Android приложение под свободной GPL3+ лицензией: эмулятор терминала для среды GNU/Linux, которое работает напрямую без необходимости рутирования. Как ты знаешь, в основе Android — ядро #Linux. Termux добавляет к ядру минимальное окружение в виде набора утилит и интерпретатора Bash. Этот набор может быть легко расширен хорошо известной пользователям Linux командой
apt install package (или pkg install package). При этом список пакетов достаточно обширный и ты можешь написать свою программу на С или на языке ассемблера.• Сегодня будет достаточно полезная статья, которая является крайне интересной для всех читателей нашего сообщества. В статье описаны следующие темы:
• Управление серверами через ssh;• Запуск и управление TOR-сетью;• Генерация словарей различной сложности;• Создание блок-схем и графики;• Тестирование интернет соединения/интерфейса;• Сканирование сети;• Управление приложениями и процессами в ОС Android;• Защита любых данных от случайного редактирования/уничтожения;• Автоматический бэпап и шифрование любых данных в облако;• Изучение unix/shell;• Программирование на Android;• Запуск python/php/npm скриптов;• Работа с криптографией, стеганографией и цифровыми подписями;• Запуск GNU-gui-софт из CLI.и многое другое....
🧷 Читать статью:
https://codeby.net/threads/kod-dostupa-termux-ch-1-ja.79461/
https://codeby.net/threads/kod-dostupa-termux-ch-2-ja.79463/
https://codeby.net/threads/kod-dostupa-termux-ch-3-ja.79469/
https://codeby.net/threads/kod-dostupa-termux-ch-4-ja.79470/
https://codeby.net/threads/kod-dostupa-termux-ch-5-ja.79479/
Твой S.E. #Termux
🧾 S.E.Заметка. Сервисы для фейк переписок, чеков, баланса, постов.
• Dealacc — сервис который может создать фейк чек, перевод, историю переводов, баланс и многое другое.
• ScreenChat — фейк SMS + iMessage на iPhone.
• Zeoob — фейковые посты и переписки в Whatsapp, Facebook, Snapchat, Twitter и Instagram.
• WhatsApp Fake Chat — фейк переписка в WhatsApp.
• ifaketextmessage — фейковая переписка в iMessage.
• randus — генератор фейковых личностей.
• tools.seo-zona — генератор несуществующих лиц посредством ИИ.
• FakeDetail — генератор фейковых профилей, постов, переписки в различных мессенджерах (раздел Social Media). Можно сгенерировать почту по заданным параметрам и еще десятки функций и возможностей.
Твой S.E. #СИ
🖖🏻 Приветствую тебя user_name.
• Если ты читал статью о том как разводят покупателей при покупке товара на сайтах объявлений. То обрати внимание на сервисы для создания фейк чеков, баланса и переписки. Будь внимателен, не ведись на скриншоты и всегда проверяй информацию.• Dealacc — сервис который может создать фейк чек, перевод, историю переводов, баланс и многое другое.
• ScreenChat — фейк SMS + iMessage на iPhone.
• Zeoob — фейковые посты и переписки в Whatsapp, Facebook, Snapchat, Twitter и Instagram.
• WhatsApp Fake Chat — фейк переписка в WhatsApp.
• ifaketextmessage — фейковая переписка в iMessage.
• randus — генератор фейковых личностей.
• tools.seo-zona — генератор несуществующих лиц посредством ИИ.
• FakeDetail — генератор фейковых профилей, постов, переписки в различных мессенджерах (раздел Social Media). Можно сгенерировать почту по заданным параметрам и еще десятки функций и возможностей.
Твой S.E. #СИ
🔖 S.E.Подборка. HackTheBox CTF Cheatsheet. RU.
Единственный способ стать умнее — играть с более умным противником.
Hack The Box. Уровень Easy:
• Прохождение Traceback. Бэкдор, LUA, SSH.
• Прохождение Omni. Ломаем легенький Windows IoT.
• Прохождение Buff. RCE в CMS Gym и в CloudMe.
• Прохождение Tabby. RCE в Tomcat, и повышаем привилегии через LXD.
• Прохождение Blunder. Ломаем Bludit CMS.
• Прохождение Remote. NFS, RCE в CMS Umbraco и LPE через UsoSvc.
• Прохождение Sauna. LDAP, AS-REP Roasting, AutoLogon, DCSync атака.
• Прохождение Nest. NTFS потоки, реверс C# и бродилка по SMB.
• Прохождение Traverxec. RCE в веб-сервере nostromo, техника GTFOBins.
• Прохождение Forest. AS-REP Roasting, атаки DCSync и Pass-The-Hash.
• Прохождение Postman. Redis и WebMin.
Hack The Box. Уровень Medium:
• Прохождение лаборатории Professional Offensive Operations. Пентест Active Directory.
• Прохождение Monteverde. Брут SMB и LPE через Azure Admins.
• Прохождение OpenKeys. Ломаем виртуалку OpenBSD.
• Прохождение SneakyMailer. Фишинговая рассылка, LPE через PyPI и GTFOBins pip3.
• Прохождение Fuse. RPC, принтеры и опасная привилегия SeLoadDriverPrivilege.
• Прохождение Cache. RCE в OpenEMR, memcached и docker.
• Прохождение Admirer. Уязвимость в Admirer и RCE через подмену переменной среды.
• Прохождение Magic. Password spraying. Mysqldump и LPE через sysinfo.
• Прохождение Cascade. LDAP и удаленные объекты Active Directory.
• Прохождение Book. XSS to LFI через PDF и LPE через Logrotate.
• Прохождение Resolute. Password spraying. От DnsAdmin до SYSTEM.
• Прохождение Obscurity. OS Command Injection и Race Condition.
• Прохождение Mango. NoSQL инъекция и LPE через JJS.
• Прохождение Sniper. RFI и вредоносный CHM документ.
• Прохождение Bitlab. Слабая JS обфускация, GIT и реверс Windows приложения.
Hack The Box. Уровень Hard:
• Прохождение Compromised. RCE LiteCart и бэкдор pam_unix.
• Прохождение Unbalanced. Rsync, EncFS, Squid, XPath инъекция и RCE в Pi-hole.
• Прохождение Intanse. Flask, атака HLE, SQL инъекция, SNMP to RCE, Ret2Libc.
• Прохождение Blackfield. Захват контроллера домена через SMB и RPC, LPE через теневую копию.
• Прохождение Travel. Memcache+SSRF=RCE, LPE через LDAP.
• Прохождение Quick. QUIC HTTP/3, XSLT инъекция, Race condition.
• Прохождение Oouch. OAuth2, RCE в uWSGI и LPE через DBUS.
• Прохождение Forwardslash. LFI, backup и шифрованный том.
• Прохождение Control. SQL инъекция и LPE через права на службу.
• Прохождение Registry. Docker, RCE в CMS Bolt и Restic.
• Прохождение Scavenger. DNS, FTP и следы другого взлома.
• Прохождение Zetta. FXP, IPv6, rsync, Postgres и SQLi.
• Прохождение RE. Metasploit, нагрузка в офисном документе, Zip Slip атака, немного о PowerSploit и токенах.
Hack The Box. Уровень Insane:
• Прохождение Laser. Jetdirect, RPC и кража SSH.
• Прохождение Dyplesher. Memcached, Gogs, RCE через создание плагина и LPE через AMQP.
• Прохождение Multimaster. Burp+Sqlmap. AD users from MSSQL. Уязвимость в VSCode. AMSI bypass и CVE ZeroLogon.
• Прохождение Fatty. Реверс и рекомпиляция клиент-серверного приложения. Java десериализация.
• Прохождение PlayerTwo. Twirp, 2FA bypass, Off-By-One атака.
• Прохождение Rope. PWN. Форматные строки и ROP используя pwntools.
• Прохождение Bankrobber. XSS, SQL инъекция, CSRF, port forwarding.
Дополнительная информация:
• https://github.com/Ignitetechnologies/HackTheBox-CTF-Writeups
• https://github.com/Ignitetechnologies/Privilege-Escalation
• https://github.com/Ignitetechnologies/Vulnhub-CTF-Writeups
• https://github.com/Ignitetechnologies/TryHackMe-CTF-Writeups
• Полный список #CTF площадок, можешь найти тут: https://xn--r1a.website/Social_engineering/1316
Твой S.E. #Пентест #CTF
Единственный способ стать умнее — играть с более умным противником.
🖖🏻 Приветствую тебя user_name.
• Собрал хорошую и большую подборку прохождений HTB, которая поможет прокачать твой скилл и получить новые знания в различных аспектах пентеста. Подборку разделил по уровням сложности, надеюсь будет полезно:Hack The Box. Уровень Easy:
• Прохождение Traceback. Бэкдор, LUA, SSH.
• Прохождение Omni. Ломаем легенький Windows IoT.
• Прохождение Buff. RCE в CMS Gym и в CloudMe.
• Прохождение Tabby. RCE в Tomcat, и повышаем привилегии через LXD.
• Прохождение Blunder. Ломаем Bludit CMS.
• Прохождение Remote. NFS, RCE в CMS Umbraco и LPE через UsoSvc.
• Прохождение Sauna. LDAP, AS-REP Roasting, AutoLogon, DCSync атака.
• Прохождение Nest. NTFS потоки, реверс C# и бродилка по SMB.
• Прохождение Traverxec. RCE в веб-сервере nostromo, техника GTFOBins.
• Прохождение Forest. AS-REP Roasting, атаки DCSync и Pass-The-Hash.
• Прохождение Postman. Redis и WebMin.
Hack The Box. Уровень Medium:
• Прохождение лаборатории Professional Offensive Operations. Пентест Active Directory.
• Прохождение Monteverde. Брут SMB и LPE через Azure Admins.
• Прохождение OpenKeys. Ломаем виртуалку OpenBSD.
• Прохождение SneakyMailer. Фишинговая рассылка, LPE через PyPI и GTFOBins pip3.
• Прохождение Fuse. RPC, принтеры и опасная привилегия SeLoadDriverPrivilege.
• Прохождение Cache. RCE в OpenEMR, memcached и docker.
• Прохождение Admirer. Уязвимость в Admirer и RCE через подмену переменной среды.
• Прохождение Magic. Password spraying. Mysqldump и LPE через sysinfo.
• Прохождение Cascade. LDAP и удаленные объекты Active Directory.
• Прохождение Book. XSS to LFI через PDF и LPE через Logrotate.
• Прохождение Resolute. Password spraying. От DnsAdmin до SYSTEM.
• Прохождение Obscurity. OS Command Injection и Race Condition.
• Прохождение Mango. NoSQL инъекция и LPE через JJS.
• Прохождение Sniper. RFI и вредоносный CHM документ.
• Прохождение Bitlab. Слабая JS обфускация, GIT и реверс Windows приложения.
Hack The Box. Уровень Hard:
• Прохождение Compromised. RCE LiteCart и бэкдор pam_unix.
• Прохождение Unbalanced. Rsync, EncFS, Squid, XPath инъекция и RCE в Pi-hole.
• Прохождение Intanse. Flask, атака HLE, SQL инъекция, SNMP to RCE, Ret2Libc.
• Прохождение Blackfield. Захват контроллера домена через SMB и RPC, LPE через теневую копию.
• Прохождение Travel. Memcache+SSRF=RCE, LPE через LDAP.
• Прохождение Quick. QUIC HTTP/3, XSLT инъекция, Race condition.
• Прохождение Oouch. OAuth2, RCE в uWSGI и LPE через DBUS.
• Прохождение Forwardslash. LFI, backup и шифрованный том.
• Прохождение Control. SQL инъекция и LPE через права на службу.
• Прохождение Registry. Docker, RCE в CMS Bolt и Restic.
• Прохождение Scavenger. DNS, FTP и следы другого взлома.
• Прохождение Zetta. FXP, IPv6, rsync, Postgres и SQLi.
• Прохождение RE. Metasploit, нагрузка в офисном документе, Zip Slip атака, немного о PowerSploit и токенах.
Hack The Box. Уровень Insane:
• Прохождение Laser. Jetdirect, RPC и кража SSH.
• Прохождение Dyplesher. Memcached, Gogs, RCE через создание плагина и LPE через AMQP.
• Прохождение Multimaster. Burp+Sqlmap. AD users from MSSQL. Уязвимость в VSCode. AMSI bypass и CVE ZeroLogon.
• Прохождение Fatty. Реверс и рекомпиляция клиент-серверного приложения. Java десериализация.
• Прохождение PlayerTwo. Twirp, 2FA bypass, Off-By-One атака.
• Прохождение Rope. PWN. Форматные строки и ROP используя pwntools.
• Прохождение Bankrobber. XSS, SQL инъекция, CSRF, port forwarding.
Дополнительная информация:
• https://github.com/Ignitetechnologies/HackTheBox-CTF-Writeups
• https://github.com/Ignitetechnologies/Privilege-Escalation
• https://github.com/Ignitetechnologies/Vulnhub-CTF-Writeups
• https://github.com/Ignitetechnologies/TryHackMe-CTF-Writeups
• Полный список #CTF площадок, можешь найти тут: https://xn--r1a.website/Social_engineering/1316
Твой S.E. #Пентест #CTF
👨🏻💻 Хак в 1 клик. Швейцарский нож из мира сканеров.
• Имеется неплохой GUI с удобными вкладками, автоматические модули для подбора паролей, идентификаторов, фаззинга, кодировщики и раскодировщики данных в разных форматах. Обзоров Burp не делал только ленивый, так что сегодня я собрал для тебя небольшую подборку полезного материала, для изучения этого инструмента:
🧷 Скачать свежую и ломаную версию инструмента: https://xn--r1a.website/RalfHackerChannel/1174
• Обзор: https://habr.com/ru/post/328382/
• Полезный материал для изучения:
Burp Suite for Pentester: Web Scanner & Crawler
Burp Suite for Pentester – Fuzzing with Intruder (Part3)
Burp Suite for Pentester – Fuzzing with Intruder (Part2)
Burp Suite for Pentester – Fuzzing with Intruder (Part1)
Burp Suite for Pentester – XSS Validator
Burp Suite for Pentester – Configuring Proxy
Burp Suite for Pentester: Burp Collaborator
Burp Suite For Pentester: HackBar
Burp Suite for Pentester: Burp Sequencer
Burp Suite for Pentester: Turbo Intruder
Engagement Tools Tutorial in Burp suite
Payload Processing Rule in Burp suite (Part2)
Payload Processing Rule in Burp suite (Part1)
Beginners Guide to Burpsuite Payloads (Part2)
Beginners Guide to Burpsuite Payloads (Part1)
Burpsuite Encoder & Decoder Tutorial
Burp Suite for Pentester: Active Scan++
Burp Suite for Pentester: Software Vulnerability Scanner
Burp Suite for Pentester: Burp’s Project Management
Burp Suite for Pentester: Repeater
• Плагины (Список не претендует на полноту)
SQLiPy - поможет с автоматизацией SQL-инъекций.
ActiveScan++ - расширяет стандартный перечень проверок, которые выполняются при работе активного и пассивного сканера.
Backslash Powered Scanner - манипулируя всевозможными параметрами из запроса, расширение пытается выявить нестандартное поведение сервера. Такие аномалии могут помочь при обнаружении как простых уязвимостей типа error-based SQL-инъекций, так и сложных XSS-инъекций с обходом встроенного WAF.
AuthMatrix и Autorize - проверка на корректность логики распределения прав доступа в приложении.
J2EEScan - обнаруживает и тестирует различные J2EE (Java 2 Enterprise Edition) приложения на наличие известных уязвимостей.
OAUTHScan - обеспечивает автоматическую проверку безопасности приложений, которые реализуют стандарты OAUTHv2 и OpenID.
• Cheat Sheet:
Burp Suite Cheat Sheet.
Burp Suite Cheat Sheet V2.
Burp Suite Cheat Sheet V3.
Burp Suite Cheat Sheet V4.
Burp Suite Cheat Sheet V5.
Burp Suite Cheat Sheet V6.
• Книга: A Complete Guide to Burp Suite: Learn to Detect Application Vulnerabilities.
• Еще больше полезного материала: https://xn--r1a.website/burpsuite + Чат в описании.
Твой S.E. #Burp #Пентест #hack.
🖖🏻 Приветствую тебя user_name.
• Burp Suite — комбайн, который умеет работать как прокси, сканер уязвимостей, паук-краулер, репитер запросов или платформа для множества плагинов. Сканер разработала компания PortSwigger и выпустила в двух редакциях: Community (бесплатно) и Professional (400 долларов) (про корпоративную версию говорить не будем). Pro версия отличается наличием в комплекте большого количества плагинов для Burp Intruder, наличием автоматического сканера и отсутствием ограничений в BApp Store.• Имеется неплохой GUI с удобными вкладками, автоматические модули для подбора паролей, идентификаторов, фаззинга, кодировщики и раскодировщики данных в разных форматах. Обзоров Burp не делал только ленивый, так что сегодня я собрал для тебя небольшую подборку полезного материала, для изучения этого инструмента:
🧷 Скачать свежую и ломаную версию инструмента: https://xn--r1a.website/RalfHackerChannel/1174
• Обзор: https://habr.com/ru/post/328382/
• Полезный материал для изучения:
Burp Suite for Pentester: Web Scanner & Crawler
Burp Suite for Pentester – Fuzzing with Intruder (Part3)
Burp Suite for Pentester – Fuzzing with Intruder (Part2)
Burp Suite for Pentester – Fuzzing with Intruder (Part1)
Burp Suite for Pentester – XSS Validator
Burp Suite for Pentester – Configuring Proxy
Burp Suite for Pentester: Burp Collaborator
Burp Suite For Pentester: HackBar
Burp Suite for Pentester: Burp Sequencer
Burp Suite for Pentester: Turbo Intruder
Engagement Tools Tutorial in Burp suite
Payload Processing Rule in Burp suite (Part2)
Payload Processing Rule in Burp suite (Part1)
Beginners Guide to Burpsuite Payloads (Part2)
Beginners Guide to Burpsuite Payloads (Part1)
Burpsuite Encoder & Decoder Tutorial
Burp Suite for Pentester: Active Scan++
Burp Suite for Pentester: Software Vulnerability Scanner
Burp Suite for Pentester: Burp’s Project Management
Burp Suite for Pentester: Repeater
• Плагины (Список не претендует на полноту)
SQLiPy - поможет с автоматизацией SQL-инъекций.
ActiveScan++ - расширяет стандартный перечень проверок, которые выполняются при работе активного и пассивного сканера.
Backslash Powered Scanner - манипулируя всевозможными параметрами из запроса, расширение пытается выявить нестандартное поведение сервера. Такие аномалии могут помочь при обнаружении как простых уязвимостей типа error-based SQL-инъекций, так и сложных XSS-инъекций с обходом встроенного WAF.
AuthMatrix и Autorize - проверка на корректность логики распределения прав доступа в приложении.
J2EEScan - обнаруживает и тестирует различные J2EE (Java 2 Enterprise Edition) приложения на наличие известных уязвимостей.
OAUTHScan - обеспечивает автоматическую проверку безопасности приложений, которые реализуют стандарты OAUTHv2 и OpenID.
• Cheat Sheet:
Burp Suite Cheat Sheet.
Burp Suite Cheat Sheet V2.
Burp Suite Cheat Sheet V3.
Burp Suite Cheat Sheet V4.
Burp Suite Cheat Sheet V5.
Burp Suite Cheat Sheet V6.
• Книга: A Complete Guide to Burp Suite: Learn to Detect Application Vulnerabilities.
• Еще больше полезного материала: https://xn--r1a.website/burpsuite + Чат в описании.
Твой S.E. #Burp #Пентест #hack.
👨🏻💻 Прочитай и сделай: проводим сканирование сети самостоятельно.
• Решением подобных проблем может быть периодическое исследование периметра организации. Для решения задачи подходят сетевые сканеры, поисковики по интернету вещей, сканеры уязвимостей и услуги по анализу защищенности.
• Сегодня в статье рассмотрим виды и параметры сканирования, их преимущества и недостатки, инструменты, которые часто используются, и методы обработки результатов.
🧷 Читать статью: https://habr.com/ru/company/pt/blog/513776/
‼️ Другую полезную информацию, ты сможешь найти в нашем канале по хештегам #ИБ. Твой S.E.
🖖🏻 Приветствую тебя user_name.• В свете последних событий в мире много компаний перешли на удаленный режим работы. При этом для сохранения эффективности бизнес-процессов на сетевые периметры были вынесены приложения, которые не предназначены для прямого размещения на периметре, например внутрикорпоративные веб-приложения. Если между службами #ИТ и #ИБ нет тесной связи, возникают ситуации, когда на сетевом периметре появилось бизнес-приложение, о котором у службы ИБ нет информации.
• Решением подобных проблем может быть периодическое исследование периметра организации. Для решения задачи подходят сетевые сканеры, поисковики по интернету вещей, сканеры уязвимостей и услуги по анализу защищенности.
• Сегодня в статье рассмотрим виды и параметры сканирования, их преимущества и недостатки, инструменты, которые часто используются, и методы обработки результатов.
🧷 Читать статью: https://habr.com/ru/company/pt/blog/513776/
‼️ Другую полезную информацию, ты сможешь найти в нашем канале по хештегам #ИБ. Твой S.E.
📲 Оффлайн мессенджеры. Подборка.
События последних лет показывают, что отключение интернета в конкретной стране или городе — не вымышленная угроза, а вполне реализуемое действие. Это происходит с пугающей регулярностью в разных странах по всему миру.
🔥 Начинаем с FireChat:
• FireChat стал популярным у протестующих разных стран. Его использовали во время протестов в Ираке, Китае и некоторых других странах. В 2020 году, приложение было удалено из Google Play и теперь его можно скачать тут: https://firechat.en.uptodown.com/android
• Альтернативные способы передачи данных: по Bluetooth и Wi-Fi, радиус передачи данных 60-70 метров. В общем и целом, FireChat — это по настоящему работающее приложение для создания полносвязанной mesh-сети. НО, вся передаваемая информация, доступна всем узлам одновременно. Мессенджер просто отправляет твое сообщение всем узлам (и принимает все, что направляется другими узлами), доступным в локации.
• Решение довольно интересное, но одновременно с этим (на мой взгляд), целесообразность использования, будет иметь смысл при отсутствии других вариантов в плане обмена сообщениями.
✉️ Briar:
• В случае работы без интернета, Briar пытается связаться с ближайшими узлами, используя Bluetooth и Wi-Fi. Далее он запрашивает у них информацию о других узлах сети и может начать обмениваться с ними сообщениями. Если же доступ в интернет есть, Briar находит нужные контакты с помощью распределенной хеш-таблицы и позволяет установить с ними связь, используя сеть #Tor как транспорт.
• И в том и в другом случае Briar не полагается на сервер или централизованное хранилище данных, это полностью децентрализованное P2P-решение. Более подробное описание Briar, ты можешь найти тут: https://telegra.ph/Briar---revolyucionnyj-messendzher-01-24
📌 Аналогичные решения:
• berty • Meshenger • Rumble • Serval Mesh • Berkanan • Fireside • dimchat
Твой S.E. #Подборка
События последних лет показывают, что отключение интернета в конкретной стране или городе — не вымышленная угроза, а вполне реализуемое действие. Это происходит с пугающей регулярностью в разных странах по всему миру.
🖖🏻 Приветствую тебя user_name.
• Сегодня расскажу тебе немного про FireChat, Briar и другие аналогичные решения. В определенной ситуации, данная информация поможет тебе обмениваться данными с родными и близкими.🔥 Начинаем с FireChat:
• FireChat стал популярным у протестующих разных стран. Его использовали во время протестов в Ираке, Китае и некоторых других странах. В 2020 году, приложение было удалено из Google Play и теперь его можно скачать тут: https://firechat.en.uptodown.com/android
• Альтернативные способы передачи данных: по Bluetooth и Wi-Fi, радиус передачи данных 60-70 метров. В общем и целом, FireChat — это по настоящему работающее приложение для создания полносвязанной mesh-сети. НО, вся передаваемая информация, доступна всем узлам одновременно. Мессенджер просто отправляет твое сообщение всем узлам (и принимает все, что направляется другими узлами), доступным в локации.
• Решение довольно интересное, но одновременно с этим (на мой взгляд), целесообразность использования, будет иметь смысл при отсутствии других вариантов в плане обмена сообщениями.
✉️ Briar:
• В случае работы без интернета, Briar пытается связаться с ближайшими узлами, используя Bluetooth и Wi-Fi. Далее он запрашивает у них информацию о других узлах сети и может начать обмениваться с ними сообщениями. Если же доступ в интернет есть, Briar находит нужные контакты с помощью распределенной хеш-таблицы и позволяет установить с ними связь, используя сеть #Tor как транспорт.
• И в том и в другом случае Briar не полагается на сервер или централизованное хранилище данных, это полностью децентрализованное P2P-решение. Более подробное описание Briar, ты можешь найти тут: https://telegra.ph/Briar---revolyucionnyj-messendzher-01-24
📌 Аналогичные решения:
• berty • Meshenger • Rumble • Serval Mesh • Berkanan • Fireside • dimchat
Твой S.E. #Подборка
🧠 Социальная инженерия. Эффект доктора Фокса.
Жертва всегда сомневается в сопернике. На самом деле она сомневается в себе, в своих возможностях. Но в этом не признается. Даже самому себе.
• По заданию экспериментаторов, он грамотно подготовился к своей лекции: выписал из научных статей несколько научных терминов, а также целые фразы, которые потом употреблял, совершенно не сообразуясь с логикой и контекстом, проработал образ эксперта, в котором предстанет перед слушателями. Речь "доктора Фокса" была бессмысленной, но наукообразной и сопровождалась эмоциональными и невербальными маркерами авторитетности и хорошего отношения к аудитории.
• Актер умело располагал слушателей к себе и не выходил из образа эксперта. После лекции специалистов, выступивших ее слушателями, попросили оценить содержательность и полезность лекционного материала. Как ты уже догадался, эти оценки были весьма высокими.
• Эффектом доктора Фокса объясняется успех многих спикеров, которые несут наукообразную чушь, но делают это в доброжелательной, располагающей и экспертной манере. Многие лженаучные лекции, видеоролики, статьи и книги популярны во многом благодаря эффекту доктора Фокса.
• Подобно подставному актеру деятели лженауки выхватывают термины и целые фразы из научных источников, зачастую даже не понимая их смысла и искажая контекст их использования. Именно эффект доктора Фокса позволяет продавать воздух и различные лженаучные рецепты, вовлекать людей в тренинговые пирамиды.
• Эффект доктора Фокса будет иметь место, а слушатели воспримут даже откровенную чушь как поистине откровение, если:
• Напомню, что успешность "правильного" для Социального Инженера общения, зависит от актерского мастерства и умения выдавать себя за другого человека с помощью ранее украденных персональных данных. В межличностной коммуникации арсенал пополняется такими методами, как язык телодвижений, жалкий или грозный внешний вид, знакомая форма одежды и т.д. Однако самое главное правило — решительность действий атакующего. Рекомендую более подробно прочитать о данном методе. В сети крайне много полезной информации по этой теме, это позволит прокачать навыки #СИ. Твой S.E.
Жертва всегда сомневается в сопернике. На самом деле она сомневается в себе, в своих возможностях. Но в этом не признается. Даже самому себе.
🖖🏻 Приветствую тебя user_name.• На обучающую конференцию были приглашены специалисты – кандидаты медицинских и психологических наук. Перед ними выступал лектор по имени Мирон Л. Фокс, имеющий ученую степень PhD. Темой лекции доктора Фокса было "Применение математической теории игр в образовании по физике". На самом деле, роль доктора Фокса играл подставной актер.
• По заданию экспериментаторов, он грамотно подготовился к своей лекции: выписал из научных статей несколько научных терминов, а также целые фразы, которые потом употреблял, совершенно не сообразуясь с логикой и контекстом, проработал образ эксперта, в котором предстанет перед слушателями. Речь "доктора Фокса" была бессмысленной, но наукообразной и сопровождалась эмоциональными и невербальными маркерами авторитетности и хорошего отношения к аудитории.
• Актер умело располагал слушателей к себе и не выходил из образа эксперта. После лекции специалистов, выступивших ее слушателями, попросили оценить содержательность и полезность лекционного материала. Как ты уже догадался, эти оценки были весьма высокими.
• Эффектом доктора Фокса объясняется успех многих спикеров, которые несут наукообразную чушь, но делают это в доброжелательной, располагающей и экспертной манере. Многие лженаучные лекции, видеоролики, статьи и книги популярны во многом благодаря эффекту доктора Фокса.
• Подобно подставному актеру деятели лженауки выхватывают термины и целые фразы из научных источников, зачастую даже не понимая их смысла и искажая контекст их использования. Именно эффект доктора Фокса позволяет продавать воздух и различные лженаучные рецепты, вовлекать людей в тренинговые пирамиды.
• Эффект доктора Фокса будет иметь место, а слушатели воспримут даже откровенную чушь как поистине откровение, если:
• Правильно выстроен контекст. И само мероприятие подано авторитетно - как встреча с экспертом, как научная конференция, как сверхэффективный тренинг и пр.• В тексте выступающего присутствуют научные или наукообразные термины и целые умозаключения.• Выступающий ведет себя как эксперт: говорит уверенно, не суетится, выдает новую для слушателей информацию, подаваемую в онаученном виде.• Выступающий ведет себя доброжелательно, располагает слушателей к себе, к месту шутит, открыто сморит в глаза слушателей, улыбается и т.д.• Напомню, что успешность "правильного" для Социального Инженера общения, зависит от актерского мастерства и умения выдавать себя за другого человека с помощью ранее украденных персональных данных. В межличностной коммуникации арсенал пополняется такими методами, как язык телодвижений, жалкий или грозный внешний вид, знакомая форма одежды и т.д. Однако самое главное правило — решительность действий атакующего. Рекомендую более подробно прочитать о данном методе. В сети крайне много полезной информации по этой теме, это позволит прокачать навыки #СИ. Твой S.E.
🧩 S.E.Cheatsheet. Bloodhound.
• Для сбора информации используются LDAP или протоколы на основе SMB.
📌 LDAP, или Lightweight Directory Access Protocol, является открытым протоколом, используемым для хранения и получения данных из каталога с иерархической структурой. Обычно используемый для хранения информации об организации, ее активах и пользователях, LDAP является гибким решением для определения любого типа сущностей и их свойств. https://habr.com/ru/post/538662/
📌 SMB, или Server Message Block — это сетевой протокол прикладного уровня для удалённого доступа к файлам, принтерам и другим сетевым ресурсам, а также для межпроцессного взаимодействия. https://xn--r1a.website/Social_engineering/1970
• Интеграционный модуль CME позволяет загружать BloodHound на машину жертвы, запускать и получать собранные данные после выполнения, тем самым автоматизируя действия в системе и делая их менее заметными.
• Графическая оболочка BloodHound представляет собранные данные в виде графов, что позволяет найти кратчайший путь от машины атакующего до доменного администратора.
• Для графической оболочки используется Neo4j (графовая база данных), которая, в свою очередь, использует язык Cypher. Cypher достаточно сложный язык, поэтому я делюсь с тобой полезным ресурсом, который охватывает самые популярные и нужные запросы Cypher. Всё уже написано - можно брать и пользоваться: https://hausec.com/2019/09/09/bloodhound-cypher-cheatsheet/
📌 В дополнение:
Cheatsheet Bloodhound от SANS.
Password Analysis with BloodHound.
Deep Dive: Exploring an NTLM Brute Force Attack with Bloodhound.
ADExplorerSnapshot. AD Explorer snapshot ingestor for BloodHound.
ImproHound. Identify the attack paths in BloodHound breaking your AD tiering.
Аналог bloodhound. Собирает информацию в домене, заносит её в БД и показывает возможные пути атаки.
The Attack Path Management Manifesto: Методология анализа путей и атак в AD.
Твой S.E. #Bloodhound #Cheatsheet #Red_Team #Пентест
🖖🏻 Приветствую тебя user_name.• BloodHound — инструмент позволяющий провести продвинутую разведку внутри сети. Инструмент собирает данные о пользователях, ПК, группах и сессиях. Поставляется в виде скрипта на #PowerShell или бинарного файла.
• Для сбора информации используются LDAP или протоколы на основе SMB.
📌 LDAP, или Lightweight Directory Access Protocol, является открытым протоколом, используемым для хранения и получения данных из каталога с иерархической структурой. Обычно используемый для хранения информации об организации, ее активах и пользователях, LDAP является гибким решением для определения любого типа сущностей и их свойств. https://habr.com/ru/post/538662/
📌 SMB, или Server Message Block — это сетевой протокол прикладного уровня для удалённого доступа к файлам, принтерам и другим сетевым ресурсам, а также для межпроцессного взаимодействия. https://xn--r1a.website/Social_engineering/1970
• Интеграционный модуль CME позволяет загружать BloodHound на машину жертвы, запускать и получать собранные данные после выполнения, тем самым автоматизируя действия в системе и делая их менее заметными.
• Графическая оболочка BloodHound представляет собранные данные в виде графов, что позволяет найти кратчайший путь от машины атакующего до доменного администратора.
• Для графической оболочки используется Neo4j (графовая база данных), которая, в свою очередь, использует язык Cypher. Cypher достаточно сложный язык, поэтому я делюсь с тобой полезным ресурсом, который охватывает самые популярные и нужные запросы Cypher. Всё уже написано - можно брать и пользоваться: https://hausec.com/2019/09/09/bloodhound-cypher-cheatsheet/
📌 В дополнение:
Cheatsheet Bloodhound от SANS.
Password Analysis with BloodHound.
Deep Dive: Exploring an NTLM Brute Force Attack with Bloodhound.
ADExplorerSnapshot. AD Explorer snapshot ingestor for BloodHound.
ImproHound. Identify the attack paths in BloodHound breaking your AD tiering.
Аналог bloodhound. Собирает информацию в домене, заносит её в БД и показывает возможные пути атаки.
The Attack Path Management Manifesto: Методология анализа путей и атак в AD.
Твой S.E. #Bloodhound #Cheatsheet #Red_Team #Пентест
🔎 Форензика. Полезный софт для извлечения данных из памяти.
• Анализ оперативной памяти часто используется, когда у тебя был физический доступ к ПК и получилось сделать слепок оперативной памяти. По слепку можно определить, какие приложения запускались во время этого сеанса, потому что, пока человек не выключил или не перезагрузил компьютер, в оперативной памяти хранится интересующая нас информация (например, данные процессов).
• Для анализа дампов памяти существует много приложений, которые на слуху у всех, кто хоть раз имел дело с задачами на форензику: например Volatility и Autopsy. Крупные решения вроде Autopsy буду хороши тем, что позволяют выполнить анализ слепка одной кнопкой, однако цена за это — большое время работы программы.
• Сегодня ты узнаешь о других инструментах, благодаря которым ты можешь работать с памятью системы и получить интересующую информацию:
• dof — извлекает и помогает интерпретировать криминалистические артефакты из Docker-контейнеров. Отображает историю сборки образа, монтирует файловую систему контейнера в заданном месте, распределяет артефакты по временной шкале и так далее;
• Crowd Inspect утилита для получения информации о сетевых процессах, перечислении двоичных файлов, связанных с каждым процессом. Создает запросы к VirusTotal и другим онлайн-средствам анализа вредоносных программ и служб репутации;
• Volatility 3 — фреймворк для исследования дампов оперативной памяти. Поддерживает 18 различных версий операционных систем, умеет работать с дампами ядра Virtualbox и снапшотами VMware;
• LiME — загружаемый модуль ядра (LKM) для захвата данных из памяти устройств под управлением Linux, в том числе и Android-смартфонов;
• Encryption Analyzer утилита для анализа защищенных паролем и зашифрованных файлов, анализирует сложность шифрования отчетов и варианты дешифрования для каждого файла;
• nTimetools — инструментарий для работы с временными метками в Windows. Позволяет проверять метки в файловой системе NTFS с точностью до 100 наносекунд;
• RecuperaBit — утилита для криминалистической реконструкции файловой системы и восстановления файлов. Поддерживает только NTFS;
• MemProcFS — утилита для простого доступа к физической памяти, как к файлам виртуальной файловой системы;
• Sleuth Kit — библиотека для низкоуровневого исследования образов дисков, файловых систем и поиска улик;
• Bmap-tools — инструмент для копирования файлов с использованием создания карты блоков (bmap);
• AVML — портативный инструмент для сбора данных из энергонезависимой памяти Linux-систем;
• INDXParse — тулкит для извлечения артефактов NTFS;
• File Identifier — онлайн анализ типа файлов (более 2000);
• MetaExtractor — утилита для извеления мета-информации из офисных документов и pdf;
• CapAnalysis — утилита просморта PCAP.
📌 В дополнение. Инструменты для анализа электронной почты:
• EDB Viewer — утилита для просмотра файлов EDB Outlook без сервера Exchange;
• MBOX Viewer — утилита для просмотра электронных писем и вложений MBOX;
• OST Viewer — утилита для просмотра файлов OST Outlook без сервера Exchange;
• PST Viewer — утилита для просмотра файлов PST Outlook без сервера Exchange;
• Mail Viewer — утилита для просмотра файлов Outlook Express, Windows Mail/Windows Live Mail, базы данных сообщений Mozilla Thunderbird и отдельных файлов EML.
📌 Лабы по форензике можно найти тут:
• https://xn--r1a.website/Social_engineering/1944
• https://xn--r1a.website/Social_engineering/1762
Твой S.E. #Форензика
🖖🏻 Приветствую тебя user_name.• Задачи на форензику в #CTF могут делиться на несколько типов: анализ жесткого диска, анализ оперативной памяти и дампов трафика.
• Анализ оперативной памяти часто используется, когда у тебя был физический доступ к ПК и получилось сделать слепок оперативной памяти. По слепку можно определить, какие приложения запускались во время этого сеанса, потому что, пока человек не выключил или не перезагрузил компьютер, в оперативной памяти хранится интересующая нас информация (например, данные процессов).
• Полезную информацию еще можно найти в файлах подкачки (pagefile.sys) и гибернации (hiberfil.sys). Для *nix-based-систем стоит поискать в swap-разделе. — https://habr.com/ru/company/group-ib/blog/512728/• Для анализа дампов памяти существует много приложений, которые на слуху у всех, кто хоть раз имел дело с задачами на форензику: например Volatility и Autopsy. Крупные решения вроде Autopsy буду хороши тем, что позволяют выполнить анализ слепка одной кнопкой, однако цена за это — большое время работы программы.
• Сегодня ты узнаешь о других инструментах, благодаря которым ты можешь работать с памятью системы и получить интересующую информацию:
• dof — извлекает и помогает интерпретировать криминалистические артефакты из Docker-контейнеров. Отображает историю сборки образа, монтирует файловую систему контейнера в заданном месте, распределяет артефакты по временной шкале и так далее;
• Crowd Inspect утилита для получения информации о сетевых процессах, перечислении двоичных файлов, связанных с каждым процессом. Создает запросы к VirusTotal и другим онлайн-средствам анализа вредоносных программ и служб репутации;
• Volatility 3 — фреймворк для исследования дампов оперативной памяти. Поддерживает 18 различных версий операционных систем, умеет работать с дампами ядра Virtualbox и снапшотами VMware;
• LiME — загружаемый модуль ядра (LKM) для захвата данных из памяти устройств под управлением Linux, в том числе и Android-смартфонов;
• Encryption Analyzer утилита для анализа защищенных паролем и зашифрованных файлов, анализирует сложность шифрования отчетов и варианты дешифрования для каждого файла;
• nTimetools — инструментарий для работы с временными метками в Windows. Позволяет проверять метки в файловой системе NTFS с точностью до 100 наносекунд;
• RecuperaBit — утилита для криминалистической реконструкции файловой системы и восстановления файлов. Поддерживает только NTFS;
• MemProcFS — утилита для простого доступа к физической памяти, как к файлам виртуальной файловой системы;
• Sleuth Kit — библиотека для низкоуровневого исследования образов дисков, файловых систем и поиска улик;
• Bmap-tools — инструмент для копирования файлов с использованием создания карты блоков (bmap);
• AVML — портативный инструмент для сбора данных из энергонезависимой памяти Linux-систем;
• INDXParse — тулкит для извлечения артефактов NTFS;
• File Identifier — онлайн анализ типа файлов (более 2000);
• MetaExtractor — утилита для извеления мета-информации из офисных документов и pdf;
• CapAnalysis — утилита просморта PCAP.
📌 В дополнение. Инструменты для анализа электронной почты:
• EDB Viewer — утилита для просмотра файлов EDB Outlook без сервера Exchange;
• MBOX Viewer — утилита для просмотра электронных писем и вложений MBOX;
• OST Viewer — утилита для просмотра файлов OST Outlook без сервера Exchange;
• PST Viewer — утилита для просмотра файлов PST Outlook без сервера Exchange;
• Mail Viewer — утилита для просмотра файлов Outlook Express, Windows Mail/Windows Live Mail, базы данных сообщений Mozilla Thunderbird и отдельных файлов EML.
📌 Лабы по форензике можно найти тут:
• https://xn--r1a.website/Social_engineering/1944
• https://xn--r1a.website/Social_engineering/1762
Твой S.E. #Форензика
Forwarded from SecAtor
В даркнет началась торговля утекшими в результате киберинцидента базами данных с личными данными абонентов T-Mobile. Ранее об этих рисках Генеральная прокуратура штата Нью-Йорк (NY OAG) уже предупреждала потенциальных жертв, а сейчас прокуратора уже выявила такие факты
Информация об августовском взломе T-Mobile появилась после того, как злоумышленник сам выставил на хакерском форуме объявление о продаже базы данных со 100 миллионами клиентов T-Mobile. Американский оператор заявил о компрометации 54 миллионов клиентов. Напомним, что украденные в ходе инцидента данные включают номера социального страхования, номера телефонов, имена, адреса, даты рождения, предоплаченные PIN-коды T-Mobile и информацию о документах, удостоверяющих личность.
Под угрозой мошеннических действий оказалась и финансовая безопасность абонентов, поэтому многие из жертв прибегли к использованию служб кредитного мониторинга, чтобы получать оповещения в течение 24 часов о новых изменениях, таких как крупные покупки, новые учетные записи или счета.
Все бы ничего, если не подтвержденный объем утечки, которая затронула более 54 миллионов клиентов T-Mobile, а также наступивших последствий. Безусловно, это отразилось и на сегменте онлайн-мошенничества, возросшего более чем на 70% по сравнению с потерями, о которых сообщалось в 2020 году. Так, согласно FTC США, американцы в 2021 году понесли ущерб в размере более 5,8 миллиардов долларов.
Сопоставимым с американским инцидентом и его последствиями можно считать и недавнюю утечку сервиса Яндекс.Еда. В конце февраля в свободном доступе появился архив с тремя SQL-дампами, суммарно содержащими 49,5 млн. строк с данными пользователей сервиса, телефонными номерами, информацией о совершенных заказах (с 19.06.2021 по 04.02.2022). Теперь клиенты Яндекса станут и клиентами дакрнет-маркета со всеми вытекающими последствиями (мошенничество, развод, пробив и бесконечная реклама).
Разбираться в любом случае компетентным органам как с утечкой, так и с последствиями.
Информация об августовском взломе T-Mobile появилась после того, как злоумышленник сам выставил на хакерском форуме объявление о продаже базы данных со 100 миллионами клиентов T-Mobile. Американский оператор заявил о компрометации 54 миллионов клиентов. Напомним, что украденные в ходе инцидента данные включают номера социального страхования, номера телефонов, имена, адреса, даты рождения, предоплаченные PIN-коды T-Mobile и информацию о документах, удостоверяющих личность.
Под угрозой мошеннических действий оказалась и финансовая безопасность абонентов, поэтому многие из жертв прибегли к использованию служб кредитного мониторинга, чтобы получать оповещения в течение 24 часов о новых изменениях, таких как крупные покупки, новые учетные записи или счета.
Все бы ничего, если не подтвержденный объем утечки, которая затронула более 54 миллионов клиентов T-Mobile, а также наступивших последствий. Безусловно, это отразилось и на сегменте онлайн-мошенничества, возросшего более чем на 70% по сравнению с потерями, о которых сообщалось в 2020 году. Так, согласно FTC США, американцы в 2021 году понесли ущерб в размере более 5,8 миллиардов долларов.
Сопоставимым с американским инцидентом и его последствиями можно считать и недавнюю утечку сервиса Яндекс.Еда. В конце февраля в свободном доступе появился архив с тремя SQL-дампами, суммарно содержащими 49,5 млн. строк с данными пользователей сервиса, телефонными номерами, информацией о совершенных заказах (с 19.06.2021 по 04.02.2022). Теперь клиенты Яндекса станут и клиентами дакрнет-маркета со всеми вытекающими последствиями (мошенничество, развод, пробив и бесконечная реклама).
Разбираться в любом случае компетентным органам как с утечкой, так и с последствиями.
New York State Attorney General
CONSUMER ALERT: Attorney General James Warns Consumers Impacted by T-Mobile Data Breach of Potential Identity Theft
Click to read more.
🔌 Mesh-Сети.
Mesh-сеть — это распределенная, одноранговая, самоорганизующаяся сеть с ячеистой топологией. На английском Mesh означает «ячейка». Mesh-сети отличаются от привычных централизованных сетей тем, что в них все узлы равноправны, каждый узел является и провайдером, и роутером, и мостом.
• Если в сети всего два узла, они просто обменивались данными друг с другом. Когда появлялся третий участник, который находился в зоне доступности только одного из двух других узлов, сеть автоматически перестраивалась так, чтобы все узлы могли получить доступ друг к другу, используя один из узлов как маршрутизатор. В дальнейшем могли появиться другие узлы, связи между ними становились сложнее, маршруты удлинялись, появлялись альтернативные маршруты, сеть росла географически, покрывая все большие пространства.
• В 2004 году на свет появилась беспроводная mesh-сеть
• Роутеры объединяются в сеть и образуют так называемый остров, все узлы в котором обмениваются данными друг с другом. Острова объединяются с помощью суперузлов (supernode), которые могут быть соединены между собой с помощью проводных и беспроводных технологий. Таким же образом организован выход в интернет.
• Идея mesh-сетей, которые бы не требовали специального оборудования для подключения друг к другу, появилась почти сразу после начала распространения оснащенных Wi-Fi ноутбуков. Однако, как и в случае с экспериментами начала девяностых, такие сети не вышли за границы исследовательских лабораторий и военных полигонов, а обычные пользователи начали обозначать термином ad hoc всего лишь прямое соединение двух ноутбуков, один из которых играл роль точки доступа и обеспечивал выход в интернет.
• То же самое произошло и со смартфонами. Все мы знаем, насколько легко превратить смартфон на #Android в точку доступа и знаем как связать множество смартфонов в самоорганизующуюся сеть.
📌 Какие преимущества у Mesh-Сети?
📌 Какие недостатки у Mesh-Сети?
‼️ Надеюсь, что данная информация была полезной и ты узнал что-то новое. Твой S.E. #Сети
Mesh-сеть — это распределенная, одноранговая, самоорганизующаяся сеть с ячеистой топологией. На английском Mesh означает «ячейка». Mesh-сети отличаются от привычных централизованных сетей тем, что в них все узлы равноправны, каждый узел является и провайдером, и роутером, и мостом.
🖖🏻 Приветствую тебя user_name.
• В начале 1990-х Чарльз Перкинс из Sun Microsystems и Чай Кеон То из Кембриджского университета, независимо друг от друга начали работу над новым типом компьютерных сетей, которые вместо привычной инфраструктуры интернета использовали бы прямое беспроводное соединение между участниками, а сами участники могли бы одновременно выполнять роль отправителя, адресата и маршрутизатора данных.• Если в сети всего два узла, они просто обменивались данными друг с другом. Когда появлялся третий участник, который находился в зоне доступности только одного из двух других узлов, сеть автоматически перестраивалась так, чтобы все узлы могли получить доступ друг к другу, используя один из узлов как маршрутизатор. В дальнейшем могли появиться другие узлы, связи между ними становились сложнее, маршруты удлинялись, появлялись альтернативные маршруты, сеть росла географически, покрывая все большие пространства.
• В 2004 году на свет появилась беспроводная mesh-сеть
guifi.net, развернутая на территории Каталонии, входящей в состав Испании. Сегодня guifi.net состоит из 37350 узлов и покрывает территорию в 71 тысячу километров, а подключение к ней не стоит абсолютно ничего, за исключением цены Wi-Fi-роутера с модифицированной прошивкой DD-WRT.• Роутеры объединяются в сеть и образуют так называемый остров, все узлы в котором обмениваются данными друг с другом. Острова объединяются с помощью суперузлов (supernode), которые могут быть соединены между собой с помощью проводных и беспроводных технологий. Таким же образом организован выход в интернет.
• Идея mesh-сетей, которые бы не требовали специального оборудования для подключения друг к другу, появилась почти сразу после начала распространения оснащенных Wi-Fi ноутбуков. Однако, как и в случае с экспериментами начала девяностых, такие сети не вышли за границы исследовательских лабораторий и военных полигонов, а обычные пользователи начали обозначать термином ad hoc всего лишь прямое соединение двух ноутбуков, один из которых играл роль точки доступа и обеспечивал выход в интернет.
• То же самое произошло и со смартфонами. Все мы знаем, насколько легко превратить смартфон на #Android в точку доступа и знаем как связать множество смартфонов в самоорганизующуюся сеть.
📌 Какие преимущества у Mesh-Сети?
• Невозможно контролировать трафик и узлы, обслуживающие сеть, потому что там нет единого центра для получения IP-адресов (DHCP), все маршруты распределенные и динамические, и DNS также может быть децентрализован;• Mesh-сеть опционально анонимна и всегда приватна. Весь трафик шифруется по умолчанию. Нет централизованных логов сессий пользователей и активности узлов.• Трафик невозможно приоритезировать. Network Neutrality — закон, который прописан в коде.• Сеть невозможно заблокировать или закрыть, потому что она соединяется по принципу «каждый с каждым», что создает большое количество связей. Обрыв одного или нескольких соединений не нарушит функционирование сети в целом.• Если произошло стихийное бедствие, то с помощью Меш-сети можно быстро построить сеть на месте происшествия для связи.📌 Какие недостатки у Mesh-Сети?
• Первоначальный запуск Mesh-сети очень сложен;• Эффективная работа достигается когда в сети много участников;• Из-за отсутствия привычных пользователям ресурсов Mesh сеть может отпугивать новичков;• Негарантированная ширина канала;• Негарантированное качество связи.‼️ Надеюсь, что данная информация была полезной и ты узнал что-то новое. Твой S.E. #Сети
📦 Готовая лаборатория для анализа уязвимостей Active Directory.
• Будет полезно не только тем кто готовится к экзамену, но и всем кому интересна тема пентеста AD. Благодаря GOAD, ты можешь получить полезные знания и применить их на практике. Всю необходимую информацию, можно найти тут: https://github.com/Orange-Cyberdefense/GOAD
📌 В дополнение, обязательно ознакомься с различными лабами и огромной подборкой различных статей и инструментов:
• https://xn--r1a.website/Social_engineering/2035
• https://cybersecuritynews.com/active-directory-checklist/
• https://github.com/theyoge/AD-Pentesting-Tools
Твой S.E. #Пентест #AD #OSCP
🖖🏻 Приветствую тебя user_name.• Многим известно, что Offensive Security внесли небольшие изменения в экзамен OSCP. Теперь для сдачи экзамена, нам нужно будет ковыряться в Active Directory (сломать домен). Сегодня ты узнаешь о достаточно полезном репозитории, который представляет из себя уязвимою лабораторию для анализа уязвимостей в среде #AD.
• Будет полезно не только тем кто готовится к экзамену, но и всем кому интересна тема пентеста AD. Благодаря GOAD, ты можешь получить полезные знания и применить их на практике. Всю необходимую информацию, можно найти тут: https://github.com/Orange-Cyberdefense/GOAD
📌 В дополнение, обязательно ознакомься с различными лабами и огромной подборкой различных статей и инструментов:
• https://xn--r1a.website/Social_engineering/2035
• https://cybersecuritynews.com/active-directory-checklist/
• https://github.com/theyoge/AD-Pentesting-Tools
Твой S.E. #Пентест #AD #OSCP
🔖 S.E.Заметка. The Book of Secret Knowledge.
• Руководства, инструменты, статьи, различные шпаргалки, блоги, лайфхаки и многое другое: https://github.com/trimstray/the-book-of-secret-knowledge
‼️ Дополнительную информацию ты можешь найти по хештегам: #Пентест #Red_Team и #Blue_Team. Твой S.E.
🖖🏻 Приветствую тебя user_name.
• Сегодня делюсь с тобой очень полезным репо, в котором собрано огромное количество информации на любой вкус. Информация будет полезна всем читателям нашего сообщества и не только.• Руководства, инструменты, статьи, различные шпаргалки, блоги, лайфхаки и многое другое: https://github.com/trimstray/the-book-of-secret-knowledge
‼️ Дополнительную информацию ты можешь найти по хештегам: #Пентест #Red_Team и #Blue_Team. Твой S.E.
📦 Готовые образы VM для быстрого развертывания и экспериментов.
• Free VirtualBox Images от разработчиков VirtualBox.
• Коллекция готовых VM от Oracle.
• Абсолютно любые конфигурации VM на базе Linux и Open Sources.
• Образа VMware cо старыми версиями Windows (98, 2000, XP)
• VM на iOS и MacOS:
https://getutm.app
https://mac.getutm.app
Образы:
https://mac.getutm.app/gallery/
https://github.com/utmapp/vm-downloads/releases
Твой S.E.
🖖🏻 Приветствую тебя user_name.• Сегодня подобрал для тебя список хранилищ с готовыми образами для виртуальных машин VirtualBox и VMWare. Очень удобно для быстрого развертывания в качестве стендов для экспериментов.
• Free VirtualBox Images от разработчиков VirtualBox.
• Коллекция готовых VM от Oracle.
• Абсолютно любые конфигурации VM на базе Linux и Open Sources.
• Образа VMware cо старыми версиями Windows (98, 2000, XP)
• VM на iOS и MacOS:
https://getutm.app
https://mac.getutm.app
Образы:
https://mac.getutm.app/gallery/
https://github.com/utmapp/vm-downloads/releases
Твой S.E.
🧠 Социальная инженерия.
• Высокий IQ мало препятствует обману, поскольку методы СИ бьют по шаблонам поведения, глубинным страхам и выработанным под давлением микросоциума приспособительным рефлексам. Чтобы развитый блок критического восприятия жертвы не мешал атаке, его просто перегружают потоком данных, переключая на анализ второстепенной информации, или используют фактор срочности, чтобы отключить вовсе и заставить действовать необдуманно. Все это похоже на DDoS-атаку ключевых узлов нейросети.
• Один из базовых приемов СИ — создание дефицита времени. Срочные решения сложно принимать именно потому, что приходится действовать в условиях нехватки достоверной информации. В таких ситуациях некогда советоваться и проверять все сообщенные атакующим данные, поэтому жертва начинает действовать, руководствуясь сильными чувствами: желанием помочь, стремлением получить признание или поскорее отделаться от неожиданной проблемы. Также часто удается сыграть на жажде легкой наживы, страхе потерять деньги, работу, результаты труда или репутацию.
• Жертве могут сказать в лоб, что ситуация срочная, или позволить ей самостоятельно прийти к такому выводу. Второе эффективнее, так как для человека это будет собственная мысль, которая не вызывает сомнений. Именно на нее он будет опираться в своих минимальных рассуждениях, все больше проникаясь доверием к услышанной легенде.
• Актерское мастерство, опыт и уверенность в себе. От актерского мастерства атакующего и его умения выдавать себя за другого человека с помощью ранее украденных персональных данных. При личной беседе арсенал пополняется такими методами, как язык телодвижений, жалкий или грозный внешний вид, знакомая форма одежды, демонстрация статусных аксессуаров и т.д. Однако самое главное правило — решительность действий атакующего.
Твой S.E. #СИ
🖖🏻 Приветствую тебя user_name.• С точки зрения психологии атака методами социальной инженерии всегда идет в обход аналитических инструментов разума. #СИ действует преимущественно на уровне эмоций, именно поэтому приемы СИ часто завершаются успехом даже в том случае, когда интеллект атакующего заметно ниже, чем у жертвы.
• Высокий IQ мало препятствует обману, поскольку методы СИ бьют по шаблонам поведения, глубинным страхам и выработанным под давлением микросоциума приспособительным рефлексам. Чтобы развитый блок критического восприятия жертвы не мешал атаке, его просто перегружают потоком данных, переключая на анализ второстепенной информации, или используют фактор срочности, чтобы отключить вовсе и заставить действовать необдуманно. Все это похоже на DDoS-атаку ключевых узлов нейросети.
• Один из базовых приемов СИ — создание дефицита времени. Срочные решения сложно принимать именно потому, что приходится действовать в условиях нехватки достоверной информации. В таких ситуациях некогда советоваться и проверять все сообщенные атакующим данные, поэтому жертва начинает действовать, руководствуясь сильными чувствами: желанием помочь, стремлением получить признание или поскорее отделаться от неожиданной проблемы. Также часто удается сыграть на жажде легкой наживы, страхе потерять деньги, работу, результаты труда или репутацию.
• Жертве могут сказать в лоб, что ситуация срочная, или позволить ей самостоятельно прийти к такому выводу. Второе эффективнее, так как для человека это будет собственная мысль, которая не вызывает сомнений. Именно на нее он будет опираться в своих минимальных рассуждениях, все больше проникаясь доверием к услышанной легенде.
• Актерское мастерство, опыт и уверенность в себе. От актерского мастерства атакующего и его умения выдавать себя за другого человека с помощью ранее украденных персональных данных. При личной беседе арсенал пополняется такими методами, как язык телодвижений, жалкий или грозный внешний вид, знакомая форма одежды, демонстрация статусных аксессуаров и т.д. Однако самое главное правило — решительность действий атакующего.
Твой S.E. #СИ
🧠 Социальная инженерия. Искусство обмана.
• Давай разберем один из самых простых примеров. Мы можем получить данные других сотрудников и просто позвонить уровнем выше, представившись одним из них. При этом можно играть в авторитета, а можно просто задать пару невинных вопросов и получить немного ценной информации. Или же продвинуться дальше, к следующему более знающему сотруднику, используя тот факт, что в компаниях принято помогать друг другу, а не включать паранойю на вопросы о ряде важных данных. Даже при наличии жесткой инструкции есть шансы, что эмоции всегда перевесят.
• Если вы думаете, что таким атакам подвержены только некомпетентные сотрудники, то откройте книгу «Искусство обмана», где ещё во вступлении #Митник рассказывает о том, как представился ведущим разработчиком проекта и заставил системного администратора (человека, который прекрасно понимал, что конкретно он делает) дать привилегированный доступ к системе.
• Давайте вернемся к девушке на ресепшене. Представьте что она отошла от рабочего места на 30 секунд, что мы успеем сделать за такое время, если будем стоять возле её рабочего места?
• Тут на самом деле сотни вариантов, от применения психологических приемов, которые помогают в межличностной коммуникации до идей с методом "Дорожного яблока" (причем оставить на ресепшене можно не только USB-флешку, но и например аналоги O•MG keylogger cable)
• Для развития навыков социальной инженерии, читайте материал по хештегам #СИ #Профайлинг и #НЛП. Обязательно прочитайте книгу "Искусство обмана" Кевина Митника и следите за нашим каналом. Твой S.E.
🖖🏻 Приветствую тебя user_name.
• В большинстве компаний, каждый сотрудник имеет свой уровень компетентности в вопросах безопасности и соответствующий уровень доступа. Некоторые сотрудники (например, девушки с ресепшна) не имеют доступа к информации, которая представляет определенную ценность для атакующего, то есть даже компрометация аккаунта такого сотрудника и получение всех известных им данных не нанесёт компании значительного ущерба. Но полученные данные могут использоваться для перехода на следующую ступень уже внутри защищённой зоны.• Давай разберем один из самых простых примеров. Мы можем получить данные других сотрудников и просто позвонить уровнем выше, представившись одним из них. При этом можно играть в авторитета, а можно просто задать пару невинных вопросов и получить немного ценной информации. Или же продвинуться дальше, к следующему более знающему сотруднику, используя тот факт, что в компаниях принято помогать друг другу, а не включать паранойю на вопросы о ряде важных данных. Даже при наличии жесткой инструкции есть шансы, что эмоции всегда перевесят.
• Если вы думаете, что таким атакам подвержены только некомпетентные сотрудники, то откройте книгу «Искусство обмана», где ещё во вступлении #Митник рассказывает о том, как представился ведущим разработчиком проекта и заставил системного администратора (человека, который прекрасно понимал, что конкретно он делает) дать привилегированный доступ к системе.
• Давайте вернемся к девушке на ресепшене. Представьте что она отошла от рабочего места на 30 секунд, что мы успеем сделать за такое время, если будем стоять возле её рабочего места?
• Сесть за её ПК и установить определенный софт? Нет, не хватит времени, прав, нас могут заметить и т.д. • Украсть документы со стола или отправить себе все письма? Нас заметят. • А может наклеить стикер с номером левой техподдержки или пригласить её на свидание? За свидание не судят, зато оно даст вам кучу данных про иерархию в компании и личные дела сотрудников.• Тут на самом деле сотни вариантов, от применения психологических приемов, которые помогают в межличностной коммуникации до идей с методом "Дорожного яблока" (причем оставить на ресепшене можно не только USB-флешку, но и например аналоги O•MG keylogger cable)
• Для развития навыков социальной инженерии, читайте материал по хештегам #СИ #Профайлинг и #НЛП. Обязательно прочитайте книгу "Искусство обмана" Кевина Митника и следите за нашим каналом. Твой S.E.
🔥3