Codeby

💬 В новой статье мы подготовили сравнительный обзор двух мощных инструментов для OSINT-исследований: Venator System и Trace Labs OSINT VM. Эти платформы помогут как новичкам, так и опытным исследователям быстро собирать и анализировать данные из открытых источников. Venator System — мониторинг брендов, анализ угроз или проверка утечек данных. 🔸 Поддержка интеграции с популярными платформами (Shodan, Hunter.io, HaveIBeenPwned). 🔸 Инструменты автоматизации: создание отчётов, визуализация данных и уведомления о новых упоминаниях. Trace Labs OSINT VM — кибераудиты, поиск утечек и решение реальных кейсов по поиску информации. 🔸 Полностью готовое виртуальное окружение с набором предустановленных инструментов (Maltego, Recon-ng, SpiderFoot, theHarvester). 🔸 Большое количество документации для быстрого старта и погружения. Чем они отличаются? 🔸 Venator System подойдёт тем, кто ищет простой и автоматизированный инструмент с минимальной настройкой. 🔸 Trace Labs OSINT VM будет полезен для глубоких расследований, где требуется широкий набор утилит и гибкость в работе. В статье мы детально рассказали о сильных и слабых сторонах каждой системы, а также разобрали примеры их использования в реальных задачах. Какой инструмент вы бы выбрали для своих OSINT-исследований? ➡️Читайте полный обзор и делитесь своим мнением в комментариях! ➡️Узнайте о множестве других инструментах и методах здесь.

🐳 Основные Уязвимости Docker

Docker — мощная платформа для контейнеризации, но она также имеет уязвимости, которые могут быть использованы злоумышленниками. В этой статье мы рассмотрим основные уязвимости Docker и способы защиты от них, а также приведём команды для практического применения.

1️⃣ Привилегированные Контейнеры Опасность: Контейнеры с флагом --privileged получают доступ к устройствам и ядру ОС, что может привести к эскалации привилегий. ➡️ Не используйте --privileged. ➡️ Для доступа к устройствам используйте флаг --device.

docker run --device=/dev/sda1 -it ubuntu

2️⃣ Уязвимости в Образах Опасность: Использование устаревших или уязвимых образов может стать вектором атак. ➡️ Используйте официальные и обновляемые образы. ➡️ Регулярно сканируйте образы с помощью Trivy.

trivy image my-image:latest

3️⃣ Сетевая Безопасность Опасность: Открытые порты и неправильные настройки могут привести к атаке. ➡️ Ограничьте сетевые настройки и используйте фильтрацию трафика через флаг -p.

docker run -p 8080:80 my-web-app

4️⃣ Изоляция Контейнеров Опасность: Плохая изоляция может привести к утечке данных или эскалации привилегий. ➡️ Используйте SELinux или AppArmor для изоляции. ➡️ Включите Docker Content Trust для работы с подписанными образами.

docker run --security-opt label:type:docker_t my-image

5️⃣ Защита Docker Daemon Опасность: Несанкционированный доступ к Docker Daemon может дать злоумышленнику права root. ➡️ Ограничьте доступ к Docker Daemon. ➡️ Защитите сокет docker.sock.

chmod 660 /var/run/docker.sock
chown root:docker /var/run/docker.sock

Кодебай, привет! Напоминаем, на каких курсах начинается обучение в феврале 😎 ⭐️ 9 февраля 19:00 (мск) — БЕСПЛАТНЫЙ ВЕБИНАР по OSINT с Екатериной Тьюринг. Регистрация здесь. Старт 10 февраля: 🌟 Курс «OSINT: технология боевой разведки» — полностью обновленный курс по лучшим практикам OSINT. 🌟 Курс «Специалист центра мониторинга инцидентов информационной безопасности (SOC)» — как организовать мониторинг безопасности IT сегмента предприятия, какие процессы внедрить и как это сделать? Запись до 13 февраля: 🌟 Курс «Введение в Реверс инжиниринг» 🌟 Курс «Реверсивный инжиниринг ПО под ОС Windows» Cтарт 17 февраля: 🌟 Курс «Основы Linux» — администрирование и работа со смежным ПО. 🔔 Запишитесь у нашего менеджера @Codeby_Academy 🚀 или узнайте подробности на сайте!

Современные киберугрозы становятся всё изощрённее, и кампания J-magic — очередное подтверждение этому. Злоумышленники используют уязвимости маршрутизаторов Juniper Networks, чтобы с помощью так называемых "магических пакетов" перехватывать контроль над устройствами. 📌 Цели: промышленность, энергетика, IT и полупроводники. 📍 География: атаки в США, Европе, Азии и Южной Америке. 🔍 Используется скрытный бэкдор cd00r для запуска вредоносного кода без записи в логи. Почему под ударом маршрутизаторы? 🔸 Редкие перезагрузки и отсутствие современных средств защиты делают их идеальной целью. 🔸 Успешная атака обеспечивает полный доступ к сети для дальнейших операций. Подробнее о методах атаки, её последствиях и сходстве с другими угрозами, такими как SEASPY, читайте в статье.

Обход обнаружения EDR с помощью использования аппаратных точек останова на уровне процессора. Согласно отчету специалистов Praetorian, этот метод позволяет злоумышленникам управлять телеметрией в пользовательской среде без изменения кода ядра, что представляет собой серьёзную проблему для традиционных средств защиты. 🧑‍💻 Роль ETW в EDR ⏺️Современные EDR в значительной степени полагаются на ETW — средство отслеживания на уровне ядра, которое регистрирует события как в пользовательском режиме, так и в режиме ядра. ⏺️ETW предоставляет важную информацию о действиях системы, таких как выделение памяти, управление потоками и асинхронные вызовы процедур. Платформы EDR используют эти журналы для обнаружения вредоносных действий и реагирования на них в режиме реального времени. ⏺️Однако зависимость ETW от конкретных триггеров событий делает его уязвимым для злоумышленников, стремящихся обойти обнаружение. 💻 Использование аппаратных точек останова Аппаратные точки останова используют регистры отладки на уровне процессора для отслеживания определённых адресов памяти или инструкций. По словам специалистов они вызывают исключения, когда по отслеживаемому адресу происходят такие операции, как чтение, запись или выполнение. В отличие от программных точек останова, которые изменяют код в памяти, аппаратные работают на аппаратном уровне, что затрудняет их обнаружение. Традиционно приложения пользовательского режима устанавливают аппаратные точки останова с помощью API, таких как SetThreadContext, которые переходят в режим ядра для обновления регистров отладки. Однако эти операции генерируют события ETW, которые могут отслеживать EDR. Для обхода данных ограничений, злоумышленники используют альтернативные методы, такие как NtContinue, которые обновляют контексты потоков, включая регистры отладки, без запуска регистрации ETW. 📈 Пример Злоумышленник устанавливает точку останова в функции AmsiScanBuffer или NtTraceEvent. При вызове этих функций она вызывает исключение, обрабатываемое векторным обработчиком исключений. Затем обработчик может управлять ходом выполнения или изменять возвращаемые значения, не оставляя заметных следов в журналах ETW.

🔍 Куратор курса "OSINT: Технология боевой разведки", Екатерина Тьюринг, расскажет, как находить нужную информацию в Интернете и не нарушать закон. Бесплатный ВЕБИНАР по OSINT с Екатериной Тьюринг: ➡️9 февраля в 19:00 (мск) пройдет урок "Как безопасно искать информацию в открытых источниках?". Регистрация здесь. 🔸Каким профессиям нужна технология боевой разведки? 🔸Применение Федерального закона №152 🔸Лайфкахи для начинающих осинтеров 🔸"Вредные советы" — и многое другое! 🚀 По всем вопросам пишите @Codeby_Academy

NetAlertX — это инструмент для мониторинга сетей, разработанный для быстрого выявления злоумышленников в вашей Wi-Fi и LAN сетях. Программа сканирует подключённые к сети устройства, уведомляя пользователей о появлении новых или критических изменениях. 🔥 Характеристики: ⏺️Запланированные и нерегламентированные сетевые проверки: можно сканировать свою сеть на наличие новых устройств, изменений портов, IP-адресов, отключений и многого другого. ⏺️Более 80 Служб Уведомлений: позволяет оповещать в приложении, по электронной почте, в Telegram, Pushover и в других сервисах через Apprise об обнаруженных изменениях. ⏺️Визуализация сети и настройка пользовательского интерфейса: удобная визуализация сети и подробные параметры настройки пользовательского интерфейса. Также инструмент способен генерировать подробные отчеты. ⏺️Мультисетевая видимость: обеспечивает межсетевую видимость устройств разных производителей. ⏺️Легко интегрируется в умный дом: синхронизирует состояние и атрибуты устройства с экземпляром Home Assistant для расширенной автоматизации рабочих процессов. 💻Установка и использование:

git clone https://github.com/jokob-sk/NetAlertX
cd NetAlertX/install
sudo bash install.debian.sh

Для последующих запусков можно использовать команду:

sudo bash start.debian.sh

После установки программа будет доступна по адресу http://localhost:20211. Перейдя по ссылке, пользователь, перемещаясь по левому боковому меню, может получить информацию о количестве устройств подключенных к сети, топологии сети с детальным описанием, доступ к различным сетевым сканерам и многое другое. 💱 Кроме того, NetAlertx имеет надежную систему плагинов, которая позволяет сторонним скриптам передавать события в пользовательский интерфейс и отправлять уведомления, а также выполнять такие функции, как создание динамического пользовательского интерфейса, фильтрацию значений и импорт объектов в базу данных.

🩸Стань мастером поиска email-адресов с EmailCrawlr EmailCrawlr — это инструмент для поиска email-адресов на веб-сайтах. Он сканирует страницы и извлекает все открытые адреса. Всё, что вам нужно сделать, — это дать команду, и EmailCrawlr начнёт свою работу. 🩸 Как эффективно использовать EmailCrawlr? 1️⃣ Для получения релевантных результатов важно настроить параметры поиска, указав ключевые слова, которые соответствуют интересующей нише. 2️⃣ Использование фильтров по домену, региону и другим критериям позволяет сузить результаты поиска, что особенно полезно при поиске в определённых отраслях. 3️⃣ EmailCrawlr позволяет проверять найденные email-адреса на работоспособность, что экономит время и усилия. 4️⃣ Важно помнить о правовых аспектах, таких как GDPR, при использовании найденных данных. ➕Преимущества EmailCrawlr 1️⃣ Полностью автоматизирует сбор email-адресов, устраняя необходимость в ручном поиске. 2️⃣ Значительно сокращает время на нахождение нужных контактов, позволяя быстрее получать результаты. 3️⃣ С помощью фильтров и проверки валидности EmailCrawlr обеспечивает высокую точность найденных адресов. 4️⃣ Быстро находит рабочие email-адреса, что делает его идеальным инструментом для бизнес-целей. 5️⃣ Благодаря возможности собирать актуальные и проверенные контакты, EmailCrawlr становится важным помощником в улучшении бизнес-коммуникаций.

🚩 Новые задания на платформе Codeby Games! ⚙️ Категория Реверс-инжиниринг — Мипсаинатор 🖼 Категория Стеганография — Мем 🎢 Категория Разное — Вотермарки Приятного хакинга!

SASE: Защита сети без заморочек

Secure Access Service Edge — суперкомплексное решение, которое объединяет в себе облачную безопасность и SD-WAN, чтобы защитить вашу сеть и данные без лишних сложностей.

❓Что такое SASE? Представьте себе швейцарский нож для защиты сети: SD-WAN — это умный мост для подключения всех офисов, облачная безопасность — защита данных и приложений, а Zero Trust — проверка каждого пользователя на входе. Всё это в одном сервисе, который работает как магия, без беспокойства о локальных фаерволах и VPN. 📌Как SASE решает проблемы? 1️⃣ Удалёнка? Легко! SASE обеспечит вам безопасное подключение к корпоративной сети через облако. 2️⃣ Простота подключения Подключение офисов и пользователей без сложных настроек и дорогих выделенных линий — просто и быстро. 3️⃣ Облачная защита Всё защищено в облаке и адаптируется под нужды бизнеса. ✖️Пример команд в терминале 1️⃣Проверка сети (SD-WAN):

ping <IP-адрес>

2️⃣ Добавление правила на firewall:

sudo ufw deny from <IP-адрес> to any port 80

3️⃣ Проверка сертификатов для Zero Trust:

openssl s_client -connect <сервер>:443

Вы когда-нибудь попадали на Linux-сервер с ограниченными правами и задавались вопросом, как получить пароль от root? В новой статье мы разберём основные техники повышения привилегий, включая: Эксплойты ядра 🔸 Как использовать уязвимость Dirty COW для получения root-доступа. 🔸 Пример пошагового выполнения эксплойта. Ошибки в конфигурации 🔸 Использование файлов с установленным SUID. 🔸 Редактирование /etc/passwd для добавления учетной записи root. Эксплуатация сервисов 🔸 Получение доступа через Docker, Apache или MySQL. 🔸 Манипуляции с файлами конфигурации внутри контейнеров. Инструменты автоматизации : LinEnum, LinPEAS и другие утилиты для быстрого анализа системы. Статья полезна как для новичков, так и для опытных специалистов по кибербезопасности. Разберём каждый шаг и покажем, как находить слабые места в системе. ➡️ Читать статью полностью ➡️ Узнать всё об OS Linux можно за 3 месяца на нашем курсе с 17 февраля. Подробности здесь или у нашего менеджера @Codeby_Academy 🚀

🔓 Age — это простой, современный и безопасный инструмент для шифрования файлов и библиотека, написанная на Go. Поддерживает шифрование для нескольких получателей и обеспечивает защиту с использованием паролей и SSH-ключей. ⬇️ Установка и использование: На дистрибутивы Ubuntu и Debian установка происходит с помощью пакетного менеджера:

apt install age

1️⃣ Сгенерируем файл с закрытым и открытым ключом.

age-keygen -o key.txt

Затем, используя флаг -o, обозначаем название конечного файла и указываем ему расширение .age, а через -r передаем публичный ключ и в конце команды указываем входной файл, который необходимо зашифровать:

age -o 1.txt.age -r age19sshphwjgzxfrf7vees2w0jjzud8yuhagszaua5qtjkcqswmjquseftt5t 1.txt

При дешифровании используется файл с закрытым ключом:

age -d -i key.txt 1.txt.age > 1.txt

2️⃣ Использование парольной фразы. Для этого нам достаточно применить флаг -p. Парольная фраза будет запрашиваться интерактивно в терминале.

age -o 1.txt.age -p 1.txt

Для дешифрования просто указываем флаг -d, зашифрованный файл и конечный.

age -d 1.txt.age > 1.txt

3️⃣ Шифрование для нескольких получателей. Файлы можно зашифровать для нескольких получателей, используя -r. Благодаря этому, обладая секретным ключом, каждый получатель сможет расшифровать файл:

age -o 1.txt.age -r age19sshphwjgzxfrf7vees2w0jjzud8yuhagszaua5qtjkcqswmjquseftt5t \
    -r age1muklnc9kjypktglzpgalc78g67spdt9wvtkv8vyu03ewpdaypv3qdsye0x

Соответственно дешифрование теперь будет доступно двум получателям через разные файлы с секретными ключами.

age -d -i key.txt 1.txt.age > 1.txt 
age -d -i key1.txt 1.txt.age > 1.txt

🐧 LinPEAS — это скрипт, который ищет возможные пути повышения привилегий на хостах Linux/Unix*/MacOS. Использует синтаксис /bin/sh, поэтому может работать в любой среде, поддерживающей sh. Различия между linpeas_fat.sh, linpeas.sh и linpeas_small.sh: ⏺️linpeas_fat.sh: содержит все проверки, даже сторонние приложения в формате base64. ⏺️linpeas.sh — linPEAS по умолчанию. Содержит все проверки, но встроен только сторонний linux exploit suggester. ⏺️linpeas_small.sh: содержит только самые важные проверки, благодаря чему уменьшается его размер. Использование: 1️⃣. Можно воспользоваться командой sudo apt install peass. Она установит все вариации linPEAS и winPEAS. 2️⃣. Далее для использования просто вводим в консоль команду linpeas и нас перемещает в директорию со скачанными скриптами. 3️⃣. Выбираем нужный нам, исходя из целей и запускаем ./linpeas.sh По умолчанию linPEAS ничего не записывает на диск и не пытается войти в систему под именем другого пользователя, используя su и выполняется около 4 минут. 🎨 Цветовая легенда: ➖ Красный/жёлтый: используется для обозначения конфигураций, которые приводят к сбою; ➖ Красный: обозначение подозрительных конфигураций, которые могут привести к повышению привилегий; ➖ Зелёный: обозначение общих конфигураций; ➖ Голубой: пользователи с оболочкой; ➖ Синий: пользователи без оболочки и подключённые устройства; ➖ Пурпурный: текущее имя пользователя. 🚩 Интересные флаги: -a: проверка процессов в течение 1 минуты, поиск паролей для каждого пользователя, используя 2000 самых популярных паролей; -e: дополнительное перечисление, которое по умолчанию не выполняется; -r: поиск сотен ключей API различных платформ в файловой системе; -s: обход некоторых проверок, требующих времени без записи на диск; -P: пароль, который будет использоваться с sudo -l и для подбора паролей других пользователей; -D: вывод информации о проверках, которые ничего не выявили, и о времени, затраченном на каждую проверку; -d/-p/-i/-t: обнаружение локальных сетей и сканирование портов.

💬 На арену вышел вредоносный чат-бот GhostGPT, предназначенный для создания вредоносного ПО и фишинговых писем. Он легко доступен через Telegram и уже привлёк внимание тысяч злоумышленников. Чем опасен GhostGPT и как он работает? Читайте ключевые факты в карточках.

🔍 Куратор курса "OSINT: Технология боевой разведки", Екатерина Тьюринг, расскажет, как находить нужную информацию в Интернете и не нарушать закон. Смотреть видео здесь. 🚀 По всем вопросам пишите @Codeby_Academy

💻 winPEAS — инструмент с открытым исходным кодом, использующийся для поиска всех возможных путей повышения привилегий на хостах Windows. ⚙️ Цветовая легенда, использующаяся инструментом: ⏺️Красный: для обозначения особых привилегий над объектом или различные мисконфиги; ⏺️Зеленый: обозначение включенных средств защиты или правильные настройки; ⏺️Голубой: указывает на активных пользователей; ⏺️Синий: указывает на отключённых пользователей; ⏺️Желтый: выделяет ссылки. ⁉️ Как пользоваться? 1. Загружаем последнюю версию WinPEAS из официального репозитория GitHub; 2. Переносим утилиту на целевую машину с Windows; 3. Запускаем .\winPEASx64.exe и ждём результатов в течение нескольких минут; 4. После завершения сканирования программа генерирует подробный отчёт, в котором указываются потенциальные возможности повышения привилегий. По умолчанию выполняется поиск только по некоторым именам файлов, которые могут содержать учетные данные, но используя параметр searchall поиск будет производится по всему списку. 🔎 winPEAS проверяет: ⏺️Системную информацию; ⏺️Информацию о пользователях; ⏺️Информацию о процессах, сервисах, приложениях; ⏺️Сетевую информацию; ⏺️Учетные данные Windows; ⏺️Информация о браузерах; ⏺️Интересные файлы и реестр; ⏺️Информацию о событиях.

GPOHunter - анализатор безопасности групповых политик Active Directory. Предназначен для анализа и выявления неправильных настроек безопасности в объектах групповой политики Active Directory. Автоматизирует проверки безопасности и предоставляет подробные отчёты о потенциальных уязвимостях. 🛡 Реализует следующие проверки безопасности: ⏺️Определяет параметр «ClearTextPassword = 1» в групповых политиках, который позволяет хранить пароли в незашифрованном виде. ⏺️Определяет зашифрованные пароли и изучает различные файлы GPP, такие как Groups.xml, Services.xml и другие. Эти пароли зашифрованы с помощью известного ключа и могут быть легко расшифрованы с помощью общедоступной информации. ⏺️Определяет групповые политики, которые включают NetNTLMv1, уязвимые для ретрансляционных атак и взлома паролей с помощью радужных таблиц. 💻 Установка:

git clone https://github.com/PShlyundin/GPOHunter
cd ./GPOHunter
pip install -r requirements.txt

💻 Использование:

python gpo_analyzer_cli.py -u USERNAME -p PASSWORD -d DOMAIN -dc DC_HOST

🚩 Опции: -H: NTLM хеш для альтернативной аутентификации -o: путь к выходному файлу -f: формат вывода (json, csv, html) -v: подробный вывод --show-xml: показывать XML-содержимое файлов GPO

SOC — инвестиция, а не расходы. Все о Security Operation Center читайте в карточках. ➡️Как организовать мониторинг безопасности IT сегмента предприятия, какие процессы внедрить и как это сделать — узнайте на курсе «Специалист центра мониторинга инцидентов информационной безопасности». 🚀 По всем вопросам пишите @Codeby_Academy

Стилер маскируется под PoC-эксплойт для LDAPNightmare (CVE-2024-49113). ❗️ В рамках "Patch Tuesday" от Microsoft в декабре 2024 года были устранены две уязвимости в протоколе LDAP. Обе были признаны очень серьёзными из-за широкого использования LDAP в средах Windows: ⏺️CVE-2024-49112: уязвимость удаленного выполнения кода (RCE), которой могут воспользоваться злоумышленники, отправляя специально составленные запросы LDAP. ⏺️CVE-2024-49113: уязвимость типа «отказ в обслуживании» (DoS), которая может быть использована для сбоя службы LDAP. 💱 Злоумышленники создали вредоносный репозиторий, демонстрирующий доказательство концепции CVE-2024-49113. Вероятно, он является ответвлением от исходного репозитория, но исходные файлы Python были заменены исполняемым файлом poc.exe, который был упакован с помощью UPX. Хотя на первый взгляд репозиторий выглядит нормально, наличие исполняемого файла вызывает подозрения из-за его неожиданного присутствия в проекте на Python. ✏️ Когда пользователь запускает файл, в папку %Temp% помещается и выполняется сценарий PowerShell. Это создаёт запланированное задание, которое, в свою очередь, выполняет закодированный сценарий, который загружает другой скрипт с Pastebin. Далее он собирает общедоступный IP-адрес компьютера жертвы и загружает его с помощью FTP. Затем следующая информация собирается и сжимается с помощью ZIP, после чего загружается на внешний FTP-сервер с использованием жестко заданных учетных данных. 🛡 Для защиты от попадания в такие ситуации следует быть осторожным с репозиториями у которых мало stars, forks, contributors. Так же необходимо просматривать историю коммитов и изменения в репозитории на признаки вредоносной активности.

🔒 Новый уровень безопасности в эпоху удалённой работы Zero Trust Network Access (ZTNA) — это подход к защите корпоративных данных, где "доверие нужно заслужить". Забудьте о привычных VPN, которые дают доступ ко всей сети. С ZTNA пользователи получают только те права, которые необходимы для работы, а каждый запрос тщательно проверяется. Почему ZTNA лучше VPN? 🔸 Меньше рисков: доступ предоставляется только к нужным приложениям, а не ко всей сети. 🔸 Защита от внутренних угроз: каждый пользователь и устройство проходят верификацию на каждом этапе. 🔸 Гибкость: ZTNA идеально подходит для облачных и гибридных инфраструктур. Как это работает? ZTNA легко развернуть с помощью таких решений, как Tailscale: 1️⃣ Установите Tailscale на сервер:

bash  
curl -fsSL https://tailscale.com/install.sh | sh  

2️⃣ Авторизуйтесь и получите защищённый IP. 3️⃣ Подключайтесь к ресурсам безопасно и быстро. ZTNA — это будущее сетевой безопасности, особенно для компаний с удалёнными сотрудниками и распределённой инфраструктурой. ➡️Читайте подробнее о ZTNA и его преимуществах здесь.