🔐 Best EDR Of The Market (BEOTM).

• Endpoint Detection and Response (EDR) — класс решений для обнаружения и изучения вредоносной активности на конечных точках: подключенных к сети рабочих станциях, серверах, iot и т.д.

• В отличие от антивирусов, задача которых — бороться с типовыми и массовыми угрозами, EDR-решения ориентированы на выявление целевых атак и сложных угроз. При этом EDR не может полностью заменить антивирусы, поскольку эти две технологии решают разные задачи.

• Если у Вас есть желание потренироваться обходить детекты EDR, то этот репозиторий станет отличным средством: https://github.com/Xacone/BestEdrOfTheMarket

- NT-Level API Hooking;
- Kernel32/Base API Hooking;
- Active Response w/ YARA rules or simple patterns;
- IAT Hooking;
- Threads Call Stack Monitoring (Stacked parameters + Unbacked addresses);
- Heap Regions Analysis;
- Direct Syscalls Detection;
- Indirect Syscalls Detection;
- AMSI/ETW Patching Mitigation.

• А еще в блоге автора есть очень много полезной информации и описание всех техник, которые перечислены выше:

- Часть 1;
- Часть 2.

#EDR

• Пока CrowdStrike рассылает подарочные карты на доставку еды в Uber Eats в размере 10 долларов, страховщики из Parametrix посчитали, что сумма ущерба компаний входящих в Fortune 500, составляет 5,4 млрд долларов.

• Убытки, которые страховые компании смогут компенсировать пострадавшим организациям, скорее всего, составят от 540 млн до 1,08 млрд долларов. По словам генерального директора Parametrix, сбой в работе системы, вероятно, станет "крупнейшим событием, которое мы когда-либо видели в сфере киберстрахования". По его оценкам, финансовые потери во всем мире от сбоя могут достичь около 15 млрд долларов.

• Стоит отметить, что CrowdStrike ранее оценивалась примерно в $83 млрд. После инцидента она потеряла около 22% своей рыночной стоимости.

➡ Источник.

#CrowdStrike #Новости

🎉 С Днем Системного Администратора!

• Мало кто знает, что история этого праздника начинается с Теда Кекатоса — системного администратора из Чикаго. В 1999 году он увидел в журнале рекламное фото, на котором за установку принтеров благодарные офисные работники дарили сисадмину торты и фрукты. Теду стало обидно, что за 20 лет работы на этой должности ему таких почестей никогда не оказывали, хотя он их явно заслуживал.

• Кекатос решил создать специальный день, посвященный профессии системного администратора. Первый такой день, устроенный Кекатосом, пришелся на пятницу 28 июля 2000 года. Это был просто пикник на природе на окраине Чикаго, в котором приняли участие члены небольшой софтверной компании. С тех пор праздник принято отмечать в последнюю пятницу июля.

• К слову, в США этот праздник назвали Днем благодарности системному администратору (System Administrator Appreciation Day), а отмечают его не только системные администраторы, но и обычные пользователи, так или иначе связанные с IT.

#Разное

👾 PKfail.

• Исследователи компании Binarly, обнаружили проблему на более чем 800 продуктах, выпущенных компаниями Acer, Dell, Fujitsu, Gigabyte, HP, Intel, Lenovo и Supermicro. Проблема позволяет злоумышленникам обойти защиту Secure Boot и установить вредоносное ПО.

• Эксперты сообщают, что уязвимые устройства используют криптографические тестовые «мастер-ключи» для Secure Boot, также известные как Platform Key, созданные компанией American Megatrends International (AMI). Такие ключи помечены как «DO NOT TRUST» и предполагалось, что производители должны заменить их собственными, сгенерированными безопасно ключами.

• Очевидно, что ключи AMI вообще не предназначались для использования в производственных системах, и AMI предоставляла их клиентам и потенциальным покупателям для тестирования. Однако еще в 2022 году некто, опубликовал в публичном репозитории GitHub Platform Key (его приватную часть в зашифрованном виде). При этом зашифрованный файл оказался защищен паролем всего из четырех символов, то есть взлом пароля и извлечение данных были тривиальной задачей.

• Утечка ключа оставалась практически незамеченной до января 2023 года, пока исследователи Binarly не обнаружили тот же ключ при расследовании инцидента, связанного с атакой на цепочку поставок, и не заинтересовались проблемой.

• Стоит отметить, что похожие проблемы уже возникали не раз. К примеру, первый похожий инцидент произошел еще в 2016 году, когда в устройствах Lenovo был обнаружен другой Platform Key, поставляемый AMI с отметкой «DO NO TRUST», что привело к возникновению проблемы CVE-2016-5242.

• Второй инцидент был связан с утечкой приватных ключей Intel Boot Guard, затронувший ряд производителей. Так, в прошлом году вымогательская группировка Money Message слила исходный код прошивки MSI, используемой в материнских платах компании. В коде содержались приватные ключи подписи образов для 57 продуктов MSI и приватные ключи Intel Boot Guard для еще 116 продуктов.

• Как предупреждают исследователи, эксплуатация PKfail позволит злоумышленникам, имеющим доступ к уязвимым устройствам и приватной части Platform Key, обойти Secure Boot, манипулируя базами данных Key Exchange Key, Signature Database и Forbidden Signature Database.

• Скомпрометировав всю цепочку, от прошивки до операционной системы, атакующие смогут подписать свой вредоносный код и развернуть на машине UEFI-малварь, подобную CosmicStrand и BlackLotus.

➡️ Источник.

#Новости #PKfail

📚 Бесплатная онлайн книга для пентестеров.

• По ссылке ниже Вы найдете по-настоящему полезную и актуальную информацию для пентестеров. Советы, методы, инструменты, примеры различных техник и множество другой информации, которая поможет Вам в изучении различных аспектов пентеста:

➡ https://book.hacktricks.xyz/

#Пентест

Доброе утро... 🫠

#Понедельник #Юмор

🎶 Формату MP3 исполнилось 29 лет.

• Ровно 29 лет назад, в июле 1995 года, представители немецкого Института интегральных микросхем Фраунгофера (сокращенно Fraunhofer IIS, FIIS) приняли важное решение: использовать расширение .mp3 для обозначения нового стандарта кодирования данных. Дату этого события и принято считать днем рождения MP3.

• Формат был создан для передачи аудиофайлов по медленным сетям коммуникаций, изначально — телефонным. В 1995 году существовали и другие стандарты, но с их помощью звуковые файлы нельзя было сжимать настолько же эффективно, как это позволял делать MP3.

• В 1977 году молодой ученый Карлхайнц Бранденбург из института Эрлангена-Нюрнберга им. Фридриха-Александра (Friedrich Alexander Universität, или FAU) занялся поиском методов сжатия аудио. Через пять лет его научный руководитель попросил помочь запатентовать технологию передачи музыкальных данных через телефонные линии. Сейчас это звучит странно, но в патентном бюро им отказали, объяснив отказ невозможностью реализации технологии.

• Еще через три года институт, где работал ученый, получил мощные компьютеры. И у исследователей, которые имели доступ к этим машинам, появилась возможность проводить сложные вычисления, включая эксперименты со звуком. Бранденбург достиг определенных успехов в сжатии звука и в итоге получил патент на свое изобретение.

• По рассказам самого Бранденбурга, он экспериментировал с одной и той же песней — «Tom's Diner» Сюзанны Веги. Это была его любимая композиция, которая осталась таковой даже после прослушивания трека около 1000 раз. В итоге удалось найти приемлемый способ сжатия аудио, выбросив все то, что человеческое ухо просто не способно воспринять. Качество от этого страдает не сильно, а вот файл на выходе получается очень небольшим в сравнении с результатами других способов сжатия.

• В 1992 году технология MPEG Layer 3 все еще не была популярной. Тем не менее, ее подготовили к коммерческому использованию, она также стала стандартом ISO. На тот момент в ходу был MPEG Layer 2, который считали отличной технологией. Бизнес не рассматривал MP3 как перспективную альтернативу существующим решениям.

• Для того, чтобы решить эту проблему и обратить внимание пользователей на новый стандарт, создатель MP3 с коллегами решил провести эксперимент по передаче аудиофайла по интернету. Технология передачи была разработана, и эксперимент прошел удачно. В опыте приняла участие компания Telos Systems из Кливленда.

• Но, как оказалось, все это были мелочи. Настоящий успех пришел позже, после того как разработчики выложили кодировщик в сеть. Он позволял закодировать в MP3 аудио продолжительностью всего в минуту. Но один из энтузиастов, скачавших кодировщик, смог взломать утилиту и получил возможность сжимать аудио любой длины.

• После этого MP3 очень быстро стал востребованным форматом, поскольку он позволял интернет-сообществу передавать композиции по dial-up. Затем появился Napster, а вместе с ним — так называемое цифровое пиратство. Музыканты стали распространять свои записи по сети, любители музыки беспрепятственно обменивались любой музыкой в любом объеме, сколько позволяла сеть. В 2001 году Стив Джобс представил iPod, который был способен хранить рекордные 1000 музыкальных композиций.

• После музыкальная индустрия стала бороться со свободным обменом музыкой, что спровоцировало рост популярности стриминговых музыкальных сервисов. И все это стало возможным благодаря изобретению Карлхайнца Бранденбурга и его коллег.

#Разное

😈 Teensy 2.0 Bad USB.

• BadUSB — это целое семейство атак на USB-порт, при которых подключаемое устройство выдает себя за другой девайс, например:

- HID-устройство (клавиатура или мышка);
- Ethernet — сетевая карта;
- Mass storage (съемный накопитель).

• Реализовать такую хакерскую железку можно и на одноплатниках (вроде Raspberry Pi), но это все равно что перевозить ноутбук на фуре. Есть "браться меньшие" не такие известные, но не менее "злые" и опасные в руках из плеч. По сути, для выполнения HID-атаки нам необходим микроконтроллер, USB-порт и минимальная электронная обвязка, что бы это всё работало.

• Хорошая альтернатива — семейство плат Teensy, совместимых с Arduino. С ними также можно использовать Arduino IDE. Например, плата Teensy LC размером 17х35 мм. оснащена процессорным ядром ARM Cortex-M0+ и 64 кб. памяти.

• В данной статье мы рассмотрим процесс создания устройства Bad USB с использованием платы на базе Arduino - Teensy 2.0. Разберемся с созданием и программированием этого маленького, но мощного устройства, способного провести атаку на компьютерную систему, обойти защитные механизмы и получить несанкционированный доступ к данным.

➡ https://teletype.in/@e1tex/teensybadusb

#Пентест #Arduino

👨‍💻 HDMI-кабель для кражи данных.

• Группа исследователей из Уругвая обнаружила новый способ, позволяющий хакерам использовать искусственный интеллект для слежки за изображением на мониторе ПК. Данный метод основан на перехвате электромагнитного излучения от HDMI-кабеля, соединяющего системный блок и монитор.

• Ранее подобная слежка была гораздо проще благодаря использованию аналоговых сигналов. Перехватить цифровой сигнал намного сложнее, однако, как показывают исследования, вполне возможно.

• Исследователи из Уругвая разработали ИИ-модель, которая способна реконструировать цифровые сигналы из перехваченного излучения на расстоянии нескольких метров. Используя подобные методы, хакеры смогут следить за экраном пользователя, когда тот вводит зашифрованные сообщения, пин-код от банковской карты или другую личную информацию. Более того, данный метод позволяет перехватывать сигналы даже за пределами здания, если использовать специальные антенны.

• В ходе тестирования процесса перехвата исследователи использовали ИИ для распознавания текста на восстановленном изображении и сравнивали его с оригинальным изображением на экране. Результаты показали, что около 30% символов были интерпретированы неверно. Однако команда утверждает, что этот уровень ошибок слишком низок и разработанное решение позволяет человеку прочитать большую часть текста.

• Исследователи считают, что рядовым пользователям домашних компьютеров или малому бизнесу не стоит беспокоиться. Вероятнее всего, подобные атаки уже происходят, но только в промышленных или государственных структурах.

• Демонстрация метода: https://youtu.be/ig3NWg_Yzag

• Вся необходимая информация есть в этом репо: https://github.com/emidan19/deep-tempest

➡️ Источник.

#Новости #Разное

🪟 31 год Windows NT 3.1.

• 31 год назад (27 июля 1993 года) корпорация Microsoft представила публике принципиально новую системную платформу для серверов и рабочих станций — Windows NT 3.1.

• Разработчики взяли пример с Джорджа Лукаса: тот запустил в прокат свою легендарную киновселенную сразу с 4-го эпизода, Microsoft — с 3-го, с тем расчетом, чтобы номер версии перекликался с популярной у пользователей «настольной» версией Windows. И хотя интерфейс этих двух ОС был очень похож, Windows 3.1 являлась консервативной 16-разрядной системой, опиравшейся на платформу MS-DOS, в то время как NT изначально ориентировалась на 32-разрядную архитектуру.

• Microsoft выпустила NT 3.1 в двух модификациях: базовую для рабочих станций и Advanced Server — для серверов. Поскольку ОС разрабатывалась с прицелом на корпоративный рынок, она изначально проектировалась не только как многозадачная, но и как многопользовательская система с возможностью аудита событий, связанных с безопасностью.

• Именно в Windows NT 3.1 впервые появилась поддержка принципиально новой на тот момент файловой системы NTFS, хотя «родной» для нее по-прежнему считалась FAT. Здесь же впервые появился диспетчер загрузки под названием NTLDR.

• Для совместимости с «настольными» версиями Windows новая платформа поддерживала расширенную 32-разрядную модификацию Windows API, получившую название Win32, хотя о полной совместимости речи тогда не шло из-за существенных различий в архитектуре «настольной» и «корпоративной» версий.

• Несмотря на то, что интерфейс Windows 3.1 и в Windows NT был практически полностью идентичен внешне, для NT его переписали заново. Над разработкой Windows NT 3.1 трудилось 250 программистов, исходники ОС состояли из 5,6 млн. строк кода, и за последний год перед релизом команда выявила и устранила более 30 000 ошибок. Стоимость разработки системы оценивалась в 150 млн. долларов. Для упрощения портируемости ОС на различные аппаратные платформы большинство компонентов, включая ядро NT, были написаны на языке Си. Графическую подсистему и компоненты, отвечающие за работу в сети, написали на С++ с использованием Ассемблера (для модулей, требующих прямого доступа к оборудованию).

• Лицензия для рабочей станции стоила 495 долларов, версия Advanced Server — 1495 долларов. Изначально предполагалось, что итоговая стоимость серверной версии составит 2995 долларов, а первоначальная сумма станет своего рода «рекламной акцией» в течение первых 6 месяцев продаж, но в итоге Microsoft так и не подняла цену. Помимо английского, Windows NT была доступна на голландском, французском, немецком, японском, испанском и шведском языках, версия для рабочих станций была также локализована на датском, финском, итальянском, норвежском и португальском языках. Поддержки русского языка в этой версии NT не имелось. До 1994 года, когда была выпущена Windows NT 3.5, Microsoft продала более 300 000 копий первой версии Windows NT.

• Windows NT 3.1 — это система — долгожитель: ее поддержка была полностью прекращена только 31 декабря 2000 года, а отдельные компоненты этой ОС до сих пор можно отыскать в других версиях Windows, базирующихся на платформе NT, включая современные Windows 10 и 11.

#Разное

👾 CVEMap.

• У Project Discovery есть очень объемная коллекция opensource инструментов, которая является ценным дополнением к стандартному набору утилит Kali Linux. Эти тулзы не только повысят глубину анализа в рамках веб-пентеста, но и могут предложить функции для сканирования портов, фаззинга, исследования уязвимостей и других узкоспециализированных задач: https://github.com/orgs/projectdiscovery/repositories?type=all

• Все инструменты я описывать не буду, эту информацию можете найти по ссылке выше, но хотелось бы затронуть относительно новую тулзу — CVEMap. Её создали для быстрого и удобного поиска по всем известным базам данных уязвимостей. Тулза объединяет данные из нескольких известных источников и умеет возвращать наличие PoC. Если заинтересовались и хотите более подробно изучить данный инструмент, то переходите по нужной ссылке:

- Особенности;
- Установка;
- Пример использования;
- Сообщество в Discord.

➡️ https://github.com/projectdiscovery/cvemap

#Пентест