现已上线！2025 年 Telegram 研究 — 年度关键洞察 
Fsecurity | HH
前往频道在 Telegram
Канал про ИБ Наш Discord: https://discord.gg/Eg8aDS7Hn7 Пожертвовать: > https://www.donationalerts.com/r/xackapb
显示更多2 013
订阅者
-224 小时
-67 天
-2230 天
帖子存档
2 013
Repost from Threat Hunting Father 🦔
+1
🪷 Lotus Wiper: уничтожение данных в атаке на энергетику
Исследователи Kaspersky GReAT описали новый вайпер, обнаруженный в цепочке атаки на энергетический сектор Венесуэлы.
⚙️
OhSyncNow.bat создаёт рабочую директорию в C:\lotus, отключает сервис UI0Detect и ожидает XML-триггер OHSync.xml в сетевой папке NETLOGON. Это сигнал одновременного запуска на всех машинах домена.
Интересненькие команды:
Финальный payload маскируется под компоненты HCL Domino: nstats.exe, nevent.exe, ndesign.exe. Файл nevent.exe хранит XOR-зашифрованный вайпер, nstats.exe его расшифровывает, результат сохраняется в ndesign.exe - это и есть Lotus Wiper. Работа вайпера: - удаляет все точки восстановления через SRRemoveRestorePoint - перезаписывает нулями каждый сектор физических дисков через DeviceIoControl - очищает USN-журналы томов - затирает файлы через FSCTL_SET_ZERO_DATA, переименовывает в случайный hex и удаляет через DeleteFileW / MoveFileExW 📌 Детекты: HEUR:Trojan.BAT.LotusWiper.gen, HEUR:Trojan.Win32.LotusWiper.gen 🔗 securelist.com/tr/lotus-wiper/119472 🦔THFnet user <имя> <случайный_пароль> /times:friday,01:00-02:00 /active:no reg add "HKLM\...\Winlogon" /v CachedLogonsCount /t REG_SZ /d 0 /f logoff <session_id> netsh interface set interface "<имя>" DISABLE(echo select volume=C & echo clean all) | diskpart robocopy <пустая_папка> <цель> /MIR /B /r:0 /w:0 fsutil file createnew <путь> <размер_в_байтах>
2 013
Repost from RedBlue Notes
🧛 ШОК! ЖЕСТЬ! БЛИН! 🧛
А вот и туториал по анализу защищённости веб-приложений.
Как обычно букв много, своего рода обзорная экскурсия по тому, что в какой момент тыкать, чтобы было больше понимания, что вообще происходит на каждом этапе.
Не просто "манки джоб" с тыканьем скриптиков по очереди, а с пониманием, почему сейчас надо крутануть анализатор шаблонизаторов на JSP-странице, а не в сотый раз искать Log4Shell там, где его быть не может.
Всё описанное применяется только на системах, где у тебя есть письменное разрешение на тестирование. Bug Bounty программы, лаборатории вроде HackTheBox и PortSwigger Web Security Academy, собственные стенды. Всё остальное это уже не пентест, а УК РФ, осторожнее 😇
Лайков хайпа накидайте пожалуйста, это лучшая инвестиция для нас. Вам не сложно, нам приятно 🍩
Подписывайтесь на канал
2 013
Всем хак 👋
Хочу поделиться подкастом с нашим участником Astral, сделанным также нашим участником сервера Fsecurity — Ph0en1x
Приятного просмотра 🍿
🔗 Ссылка:
https://youtu.be/N370AZVt7nc
2 013
Repost from 1N73LL1G3NC3
PhantomRPC: A new privilege escalation technique in Windows RPC
If you have a service like RDP that exposes an RPC server, there many system services running as SYSTEM connect to it as RPC clients. If that service is turned off (RDP is off by default), it seems that any other process in Windows can expose the same RPC server using the same endpoint.
Now all the RPC calls from that SYSTEM processes will come to this fake server and If the process that deployed the server has SeImpersonatePrivilege, it can escalate to SYSTEM by impersonate the RPC client.
In the white paper below, I describe five exploit paths you can abuse.
PhantomRPC (LPE 0-day)
A research repository where you can find all the resources for PhantomRPC research that allows local privilege escalation.
