Fsecurity | HH

💻 Initial Access The Art of Getting In 🔗 Research Набор техник для получения первоначального доступа к AD инфраструктуре

The complete red team guide to Initial Access: Payload Development (DLL Sideloading, Shellcode Loaders, Syscalls), HTML Smuggling, Phishing (QR Code Quishing, Teams Phishing), AitM/MFA Bypass (Evilginx, Device Code Phishing), Password Spraying, Exploiting Public-Facing Applications, Vishing, Physical Access (Rubber Ducky, Bash Bunny), Supply Chain attacks with real-world APT case studies

Каждая техника в этом руководстве соответствует MITRE ATT&CK Tactic TA0001 Initial Access #windows #redteam #initial #phishing #ad ✈️ Whitehat Lab 💬Chat

Недавний кейс из нашей практики — отличный пример того, как атакующие комбинируют легитимные инструменты для устойчивого удалённого доступа. После получения повышенных привилегий на хосте злоумышленники установили Velociraptor, указав в server_urls свой C2-сервер. С этого момента дальнейшее управление системой осуществлялось уже через него. После базового Discovery они скачали Visual Studio Code (Insiders) и установили VS Code Tunnel в режиме Install as a service. Важно понимать, что под капотом это не «настоящий сервис», а запись в Run-ключе: HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run Далее — ещё немного Discovery, но уже через VS Code Server, и следующим шагом появляется Cloudflare Tunnel. Однако и этого атакующим оказалось недостаточно: финальным штрихом стал Zoho Assist в режиме Unattended Remote Session, позволяющий подключаться к системе без какого-либо подтверждения со стороны пользователя. Итог: четыре независимых канала удалённого доступа к одному хосту. При этом три из них — Velociraptor, VS Code Tunnel\Server и Zoho Assist — встречаются не так уж часто. Что здесь можно детектировать? — Velociraptor. Если вы его не используете, любое появление этого сервиса уже будет красным флагом. А если используете — контролируйте список допустимых серверов, так как обращения к посторонним server_urls выглядят крайне подозрительно. — VS Code Tunnel. Обращайте внимание на установку сервиса, будут примерно такие команды:

    code-insiders.exe tunnel --accept-server-license-terms service install
    code-tunnel.exe tunnel service uninstall 

Также смотрите на Run-ключ:

    key: Visual Studio Code - Insiders Tunnel
    value: ...\code-insiders.exe --verbose --cli-data-dir C:\Windows\system32\config\systemprofile\.vscode-insiders\cli tunnel service internal-run --log-to-file C:\Windows\system32\config\systemprofile\.vscode-insiders\cli\tunnel-service.log

И ещё обращайте внимание на активность от процессов VS Code Server, расположенных по пути .vscode\cli\servers\ или .vscode-insiders\cli\servers\. — Cloudflare Tunnel. При старте/остановке сервиса и запуске туннеля генерируется EventID: 1 в журнале Application (Source: Cloudflared) — это удобная точка для алертов. — Zoho Assist. Для его использования в режиме Unattended требуется запуск сервиса Zoho Assist – Unattended Support, реализованного в файле ...\ZohoMeeting\UnAttended\ZohoMeeting\ZohoURSService.exe.

👉🏻

🔗Ссылка: https://0xdbgman.github.io/posts/red-team-infrastructure-the-full-picture/

🔗Ссылка: https://jakobfriedl.github.io/blog/nim-c2-traffic/

🔗Ссылка: https://github.com/chainreactors/gogo

🔗Ссылка: https://labs.infoguard.ch/advisories/cve-2025-13176_eset-inspect_edr_local-privilege-escalation/

🔗Ссылка: https://github.com/kaifcodec/user-scanner

🔗Ссылка: https://www.securitylab.ru/news/569505.php?r=1

Когда на пентесте уложил прод заказчику (уже неделю чинят)

🔗Ссылка: https://darkoperator.github.io/mimikatz-missing-manual/

Форк популярного скрипта ldapdomaindump, но только работает с ADWS https://github.com/mverschu/adwsdomaindump #ad #pentest #redteam #recon

🔗Ссылка: https://sp4rk.medium.com/beyond-the-backdoor-how-contagious-interview-is-surgically-tampering-with-metamask-wallets-0314ae901d85

🔗 Ссылка: https://www.securitylab.ru/news/569432.php?r=1

🔗Ссылка: https://codeby.net/threads/bezopasnost-prevyshe-vsego-pravila-i-sposoby-dlya-uverennoi-zashchity-komp-yutera-ot-virusov.92174/

📔 ruDocs (ранее PS-Commands) Нашел крайне полезный, так еще и русскоязычный репозиторий

Большая база заметок по синтаксису PowerShell, командам Linux и инструментам DevOps на русском языке, собранная на пути от системного администратора Windows систем до DevOps инженера Репозиторий содержит набор PowerShell и Bash скриптов, а также коллекцию стеков Docker Compose и манифестов Kubernetes, которые поддерживаются в актуальном состояние и эксплуатируется в домашней лаборатории

😹 Repo 😹 PowerShell 😹 Linux 😹 DevOps 🔗 Web #linux #powershell #devops #docker #k8s ✈️ Whitehat Lab 💬Chat

Задача для собеседования №5 Очень простая задачка, на базовое понимания техник и их ограничений. Сценарий: В ходе выполнения работ было обнаружено что рабочая группа EVERYONE имеет права на изменение атрибута msDS-AllowedToActOnBehalfOfOtherIdentity на сервере TERM. Так же было установлено, что группа DOMAIN USERS имеет права на получение доступа на сервер TERM по протоколу RDP. Из реестра была получена информация о возможной сессии пользователя HD-ADMIN. После получения доступна на сервер TERM по протоколу RDP, была подтверждена активная сессия учетной записи HD-ADMIN, которая является ACCOUNT OPERATORS. Также была получена информация, что в группу локальных администраторов входит группа DOMAIN ADMINS и учетная запись компьютера TEST. В ходе получения дополнительной информации специалист установил, что хост TEST не доступен на сетевом уровне, а все члены группы DOMAIN ADMINS являются членами группы PROTECTED USERS . Дополнительные условия - На всех хостах в сети установлены последние обновления. - Есть возможность создавать объекты компьютер. - Уровень домена – 2016. Цель - Получить привилегии группы ACCOUNT OPERATORS. Так как задача простая решение будет опубликовано завтра. #Внутрянка #Задачи

👉🏻

🔗Ссылка: https://github.com/urbanadventurer/WhatWeb

Чтобы руками не выполнять различные запросы для поиска недостатков в инфраструктуре на базе 💻 Active Directory создан скрипт generator.py, который преобразует результаты Cypher запросов из 🐕 BloodHound в структурированные задачи для чек-листа Obsidian, позволяя автоматизировать процесс аудита безопасности 💻 Active Directory и отслеживать прогресс исправления уязвимостей

💻 Repo 🏃 PowerShell вариант Invoke-CheckListGenerator от Дмитрия Неверова, автора канала CyberSecrets:

Obsidian: за гранью заметок. Генератор чек-листа

#bloodhound #windows #ad ✈️ Whitehat Lab 💬Chat