Очень интересный набор проектов от команды QeeqBox, для Red, Blue и Purple команд с отличным функционалом и удобным интерфейсом
[https://qeeqbox.com/]

1) ОSINT инструменты:
Social Analyzer [https://github.com/qeeqbox/social-analyzer] - API, CLI и веб-приложение для анализа и поиска профиля человека в более чем 1000 социальных сетях \ веб-сайтах. Он включает в себя различные модули анализа и обнаружения, и вы можете выбрать какие модули использовать в процессе расследования.

Osint [https://github.com/qeeqbox/osint] - инструменты и API OSINT на основе пакета python. Он включает различные модули OSINT (Ping, Traceroute, Scans, Archives, DNS, Scrape, Whois, Metadata) для проведения разведки цели, а также встроенную базу данных для отображения и визуализации некоторых результатов разведки.

2) Анализаторы угроз:
Mitre Visualizer [https://github.com/qeeqbox/mitre-visualizer] - интерактивный граф, визуализирующий матрицу MITRE
(https://qeeqbox.github.io/mitre-visualizer/)

Analyzer [https://github.com/qeeqbox/analyzer] - анализатор угроз внутри компании без взаимодействия с внешними ресурсами. Он анализирует, визуализирует и структурирует конфиденциальные файлы (вредоносные программы) или данные путем извлечения функций, артефактов и IoC с использованием различных модулей. Выходные данные этих модулей могут быть легко интегрированы в исследовательские платформы или платформы SOC.

Raven [https://github.com/qeeqbox/raven] - Карта киберугроз (Упрощенная, настраиваемая и отзывчивая. Она использует D3.js с TOPO JSON, имеет 247 стран, ~100,000 городов и может использоваться в изолированной среде без внешних поисков!

Seahorse [https://github.com/qeeqbox/seahorse] - система ELKFH (Elastic, Logstash, Kibana, Filebeat и Honeypot) для мониторинга инструментов безопасности, взаимодействующих с протоколами HTTP, HTTPS, SSH, RDP, VNC, Redis, MySQL, MONGO, SMB, LDAP.

3) Honeypots:
Chameleon [https://github.com/qeeqbox/chameleon] - 19 конфигурируемых ханипотов для мониторинга сетевого трафика, действий ботов и учетных данных (DNS, HTTP-прокси, HTTP, HTTPS, SSH, POP3, IMAP, STMP, RDP, VNC, SMB, SOCKS5, Redis, TELNET, Postgres, MySQL, MSSQL, Elastic и ldap)

Honeypots [https://github.com/qeeqbox/honeypots] - 23 различных ханипотов в одном пакете PyPI. Они просты в установке и настройке, для запуска honeypot требуется 1-2 секунды.

4) Docker-образы ОС:
Woodpecker [https://github.com/qeeqbox/woodpecker/] - пользовательский дистрибутив для удаленного тестирования на проникновение. Некоторые из оригинальных инструментов Woodpecker заменены на более новые (инициализаторы Tor и VPN). Этот конкретный вариант основан на Ubuntu и прост в обслуживании.

Docker Images [https://github.com/qeeqbox/docker-images] - пользовательские образы, ориентированные на безопасность, доступные через VNC, RDP или веб. Образы были настроены с минимальным графическим интерфейсом и различными настройками для поддержки удаленного доступа.

5) Песочницы:
URL Sandbox [https://github.com/qeeqbox/url-sandbox] - автоматизирует ежедневную задачу анализа URL или доменов внутри компании без взаимодействия с внешними ресурсами. Содержит модуль песочницы, который выполняет анализ в изолированной среде (настраиваемой).

Rhino [https://github.com/qeeqbox/rhino] - Agile Sandbox для анализа вредоносного ПО и поведенческого анализа. Настраивается, расширяется и может быть быстро изменен во время итерации анализа. Вдохновлен методологией Rhinoceros и Agile.

Фишинг обрел новое дыхание с развитием криминальных партнерских программ, предлагающих неопытным, но многочисленным молодым охотникам за удачей все необходимые инструменты для теневого «бизнеса». Пока воркеры заманивают людей на сайты-ловушки, хозяева партнерок наслаждаются жизнью, получая процент с каждой обманутой жертвы.

Подготовка к фишинговой атаке – один из самых важных этапов для мошенника, ведь чем более продумана твоя схема, тем дольше она просуществует, а время это деньги. Такую подготовку как правило можно заметить, но вот конечную цель понять возможно далеко не всегда. Например, вчера 7% от всех зарегистрированных доменов в зоне RU составили однотипные домены, состоящие из фиксированного количества рандомных букв и цифр: https://pastebin.com/dAv4iuwD.

Обычно такие технические домены регистрируют для редиректа трафика в середине цепочки SCAM-проектов, когда мошенники вкладывают деньги в точку входа (чаще всего это созвучные с целевым ресурсом домены, или домены, редирект на которые осуществляется с заранее оплаченной рекламы в поисковиках, соцсетях или у блогеров), и старательно защищают её от возможных «страйков», путем переадресации трафика на вредоносные ресурсы через цепь вот таких прокладок. Второй вариант – использование такого домена в качестве конечной точки, непосредственно фишингового сайта, на который пользователь попадет по уникальной ссылке либо через iframe, размещенный на другом ресурсе. Третий вариант – использование таких доменов для адресации командного центра ботнета.

В данном случае преждевременно говорить о том, станут ли эти домены частью новой волны рассылок с опросами за вознаграждение или проявят себя в процессе атак на пользователей интернет-магазинов или сервисов доставки еды, с фейковыми сайтами которых мы активно боролись в 2021 году. Время покажет. А пока мы передаем эту информацию нашим коллегам из антивирусных компаний, ведь основания для блокировки доменов на настоящий момент отсутствуют, но факт того, что они будут использоваться не для благих дел, выглядит вполне очевидным.
@In4security

​CVE-2022-0185

Имея права пользователя в системе, можно получить root.

Демонстрация работы есть на Github.

Подобная уязвимость работает во всех Ubuntu из-за того, что там по дефолту включены user namespaces, чего нет, к примеру, в Debian и RHEL, если не используются контейнеры.

Это уязвимость ядра Linux 5.1 и выше, так что все другие дистры с этим ядром тоже ей подвержены и обязательно нужно обновляться, если на хосте используются контейнеры. Если у вас Centos 7 или Ubuntu 18, можно не суетиться. Там более старые ядра.

Если обновление по какой-то причине невозможно, то user_namespaces Redhat советует отключить вот так:

# echo "user.max_user_namespaces=0" > /etc/sysctl.d/userns.conf
# sysctl -p /etc/sysctl.d/userns.conf

А Ubuntu так:

# sysctl -w kernel.unprivileged_userns_clone = 0

Примечательно, что код, содержащий эту уязвимость, добавлен около трех лет назад. Кто-то всё это время мог эксплуатировать уязвимость. А сколько их ещё таких там есть?

https://ubuntu.com/security/CVE-2022-0185
https://access.redhat.com/security/cve/CVE-2022-0185
https://bugzilla.redhat.com/show_bug.cgi?id=2040358

#infosec #pentesting #linux #cve #security #ubuntu #docker #devops