Fsecurity | HH

🔗Ссылка: https://research.checkpoint.com/2026/voidlink-the-cloud-native-malware-framework/

🔗Ссылка: https://opennet.ru/64641/

Привет! ⭐️ Первого января редтимерам сделали подарок на НГ и выпустили Sliver 1.6 🥳. Данная версия долго находилась на стадии разработки и не предполагалась для использования "на проде". Все последние релизы были на 1.5.* В основные изменения версии 1.6 можно отнести: *️⃣ Полностью переработанный CLI. Изменения очень понравились, особенно оценил фикс проблемы постоянных случайных выходов нажатием CTRL+C *️⃣ Возможности работы одновременно с несколькими имплантами *️⃣ Большое количество багфиксов и обновления зависимостей. *️⃣ Обновление криптографии на клиент-сервере и импланте Так как список изменений показан в виде 300+ пунктов, я решил структурировать их, особенно интересные выделил жирным. Статистика (посчитана нейросетью, похожа на правду): Багфиксы: ~120 Мажорные обновления: ~25 Обновления клиента/сервера: ~70 Обновления импланта: ~55 Обновления зависимостей: ~140 1️⃣ Общие изменения *️⃣ Добавлены профили HTTP *️⃣ Улучшена работа с логами *️⃣ На официальную вики добавлены туториалы по использованию *️⃣ Добавлена компиляция на Zig (Написано, что для кросс-компиляции, но я еще не смотрел подробно) *️⃣ Расширенная конфигурация sliver-extentions (В частности, наконец-то поддержка self-hosted armory, для хранения бофов в закрытом виде) *️⃣ Улучшена работа с криптографией (просмотр сертификатов, переделана генерация nonce) 2️⃣ Изменения импланта *️⃣ Добавлен стейджер RC4 *️⃣ Возможность создания импланта в виже службы Windows *️⃣ Добавлен враппер на системный вызов NtCreateThreadEx ( Один коммит с одной измененной строчкой, при этом сам вызов по-умолчанию не используется 👾 ) *️⃣ Создание процесса теперь работает в спрятанном окне, вместо совсем не подозрительного cmd.exe на весь рабочий стол ⌨️ *️⃣ Несколько важных фич, связанных с передачей трафика по DNS 3️⃣ Изменения клиента/сервера *️⃣ Улучшено взаимодействие с msf при создании стейджера *️⃣ Новая система консольного интерфейса (фреймворком так и осталась go cobra, но сам интерфейс очень сильно переделан) *️⃣ Улучшенная работа с профилями *️⃣ Добавлен листинг командной оболочки сливера *️⃣ Улучшен socks прокси (интерфейс клиента, автоудаление) *️⃣ Добавлена возможность мультиплеера через сеть Tailscale *️⃣ Добавлены команды по работы с файлами (head, tail, upload (директорий), grep) *️⃣ Поддержка запуска одной задачи для нескольких имплантов сразу *️⃣ Поддержка сторонних систем сборок импланта *️⃣ Добавлено редактирование прав доступа операторов

🔗Ссылка: https://habr.com/ru/articles/971226/

🔗Ссылка: https://github.com/projectdiscovery/cvemap

🔗Ссылка: https://habr.com/ru/articles/986012/

🔥 Готовы впитать в себя 1.1 квадриллион NTLMv1-хэшей? Google и Mandiant вывалили 8.6 ТБ предрасчитанных радужных таблиц - 1,122,334,455,667,788 паролей. 💀 NetNTLMv1: конец эпохи 💻 < $600 железа → < 12 часов → ключ в кармане. 🛠️Что нужно? - gsutil, DownThemAll, и много свободного места. 📦 https://console.cloud.google.com/storage/browser/net-ntlmv1-tables/tables;tab=objects?pageState=("StorageObjectListTable":("f":"%255B%255D"))&pli=1&prefix=&forceOnObjectsSortingFiltering=false

🔗Ссылка: https://habr.com/ru/companies/ruvds/articles/970086/

🔗Ссылка: https://habr.com/ru/companies/ru_mts/articles/905112/

Discord сервер 👆🏻Тут можно пообщаться и найти много полезной информации 🦈

Парни сделали LOLAI - нечто похожее на LOLBins / LOLBAS / LOLDrivers. LOLAI это база знаний которая описывает: Attack Vectors: How these agents can be weaponized Capabilities: What system access and permissions they have Detection: Artifacts, logs, and IOCs for blue teams MITRE ATT&CK Mapping: Aligned with industry frameworks 🖱🔜 lolai-project.github.io 🦔 THF Всегда поддерживаем хорошие идеи, колабы и порядочных и целеустремленных людей и товарищей по цеху. Максимальный репост друзья, дадим жизнь проекту‼️

🔗Ссылка: https://opennet.ru/64628/

🔗Ссылка: https://specterops.io/blog/2026/01/14/wait-why-is-my-webclient-started-sccm-hierarchy-takeover-via-ntlm-relay-to-ldap

ConfigManBearPig PowerShell collector for adding SCCM attack paths to BloodHound with OpenGraph. Blog: https://specterops.io/blog/2026/01/13/introducing-configmanbearpig-a-bloodhound-opengraph-collector-for-sccm

🔗Ссылка: https://www.securitylab.ru/news/568160.php

🔗Ссылка: https://github.com/seriotonctf/HackTheBox-AD-Machines

🔗Ссылка: https://github.com/mazen160/secrets-patterns-db/

Задача для собеседования №4 Праздники закончились и теперь можно немного размять мозги. Ниже представлен сценарий, который может встретиться в реальных проектах. Сценарий После сбора информации было обнаружено, что группа доменных пользователей имеет привилегии на запись в директорию групповой политики SMB SIGNING, сама политика устанавливает smb подпись на всех хостах принадлежащие OU WORKSTATION. В OU входит рабочая станция администратора I.IVANOV. Дополнительные условия - Есть доменная учетная запись пользователя. - На всех хостах в сети установлены последние обновления. - На директорию групповой политики установлено наследование. Цель - Получить привилегии доменного администратора. Решение будет опубликовано через пару дней. #Внутрянка #Задачи

Inside China’s Hosting Ecosystem: 18,000+ Malware C2 Servers Mapped Across Major ISPs Hunt.io проанализировали китайскую хостинг-инфраструктуру и залинковали 18 000+ активных C2-серверов с 48 провайдерами. 84% артефактов - C2, основной объём приходится на China Unicom, Alibaba Cloud и Tencent. Доминируют фреймворки Mozi, ARL, Cobalt Strike, Mirai, Vshell. В одних сетях сосуществуют commodity-малварь, фишинг и APT-активность, что очень интересно 🔍 🔗 https://hunt.io/blog/china-hosting-malware-c2-infrastructure 🦔 THF

🔗Ссылка: https://habr.com/ru/post/962214