disasm.me channel

Тут на гитхабе разворачивается очередная дРаМа. Если вкратце: есть в экосистеме питона такой проект, nose. Это такие батарейки для unittest либы из стандартного питона, упрощающие написание тестов. Либа старая, ещё от 2.7 питона. В какой-то момент пришел некий товарищ mdmintz, утащил 2/3 кода nose, назвал это pynose, поменял лицензию и выложил на гитхаб. На этот проект завязалась ещё несколько проектов, и вот 31 января какой-то чувак обнаружил, что mdmintz, когда утаскивал код потерял забыл про лицензию - у оригинального проекта это LGPL, а у товарища - почему-то MIT. Там оно недельку поварилось, и mdmintz закрыл issue. Три дня назад какой-то ещё чувак это внезапно обнаружил и поднял бучу - у нас в репах дистрибутивов лежит пакет с проблемами с лицензированием - а это нехорошо. В конце концов это привело к тому, что pynose начали выпиливать из дистрибутивов, в частности, из nix'а (bleeding edge, все дела ;)). Это, внезапно, вызвало массовые разломы сборки разного произвольного софта, люди пошли набегать в оригинальный issue, связанный с проблемами лицензирования, и там началось неистовое бомбометание. Собственно, за ним сейчас можно наблюдать практически в прямом эфире.

Нашел интересный простой троян на PyPI под названием "transformars", позиционируется как drop-in replacement для популярной ML-библиотеки "transformers". Он расшифровывает блоб через random.seed + random.getrandbits, затем десериализует этот блоб с помощью pickle. Внутри скрывается XMRig, майнер криптовалюты Monero. Зарепортил админам PyPI. Stay Safe. @disasm_me_ch

CVE-2024-6387 - regreSSHion: Remote Unauthenticated Code Execution Vulnerability in OpenSSH server Debian Security Зарепортили, Qualyz Threat Research Unit, новость от них Уязвимость в openssh, занесённая коммитом, который рефакторил систему логирования. Под угрозой версии, начиная с 8.5.p1 исключительно до 9.8p1 (вышла 7 часов назад) . Проверить, какая у вас сейчас версия: sshd -V На всякий случай сделал инструкцию по установке 9.8p1 на Debian-based (Debian, Ubuntu, Mint, ...):

apt-get update
apt-get install build-essential zlib1g-dev libssl-dev libpam0g-dev libselinux1-dev
wget https://github.com/openssh/openssh-portable/archive/refs/tags/V_9_8_P1.tar.gz
tar -xzf V_9_8_P1.tar.gz
cd openssh-portable-V_9_8_P1
./configure
make
make install
mv /usr/sbin/sshd /usr/sbin/sshd.bak
ln -s /usr/local/sbin/sshd /usr/sbin/sshd
systemctl restart sshd

На примере сервера pypi-quarantine из этой статьи: До: OpenSSH_8.9p1 Ubuntu-3ubuntu0.6, OpenSSL 3.0.2 15 Mar 2022 После: OpenSSH_9.8p1, OpenSSL 3.0.2 15 Mar 2022 Баннер по nc: SSH-2.0-OpenSSH_9.8

Что-то злоумышленники мельчают хотя возможно это исследователи :) webhook.site собирает информацию о пользователях, посетивших сгенерированную ссылку (работает как известный requestbin). Только есть одна особенность - на webhook.site можно зайти на панель по пути /#!/view/<uuid>/ и посмотреть переходы. Первый переход осуществлён из Франции через 3 минуты после публикации пакета, принадлежит некому исследовательскому центру 😼 В хорошем случае они готовят ресёрч об опасности скачивания пакеты с PyPI. 100% понимания, 0% осуждения. Тем не менее, репорт отправлен, так как это Unwanted Behaviour и тайпсквоттинг под pytorch

Сейчас никого не удивить шортсами с мемами, озвученными text-to-speech программами. Однако. Кто-то додумался брать англоязычные видео, с помощью нейронок переозвучивать их, попутно убирая голос оригинального автора, затем выкладывать на ютуб. Оригинал против нейроперевода. Это позволяет выпускать тонны обзоров, не тратя особо времени на подготовку материала: за 4 месяца таким образом тот канал выпустил уже 217 видео. Ну и конечно никакого указания автора оригинальных видео, зато присутствуют реферальные ссылки на рекламируемый товар в локальных маркетплейсах. Нейро-мошенничество зашло очень далеко 😺

🧐 Особенности чтения карантина Microsoft Defender А те, кто хотят и могут, делают это, помимо всего прочего, с использованием скрипта defender-dump.py. В описании к скрипту авторы честно указали, что работают с единственным типом записей — file. Однако при ближайшем рассмотрении оказывается, что типов записей несколько больше. Декодируем по описанной в скрипте схеме файлы из папки:

C:\ProgramData\Microsoft\Windows Defender\Quarantine\Entries

Как минимум можно встретить записи типов regkey, runkey, regkeyvalue и service, причем одному событию детектирования может соответствовать несколько записей одновременно (что соответствует записям EVTX канала Microsoft-Windows-Windows Defender/Operational c кодом 1117, где в одном событии фигурирует достаточно много путей). В большинстве случаев все достаточно прозрачно — обнаруживаемые записи, имеющие отличный от file тип, соответствуют фрагментам реестра и иногда позволяют выявить закрепление ВПО:

HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSI HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN\\netcat runkey 3F005C0043003A005C00770069006E0064006F00 C:\Windows\System32\nc.exe file 7305273EFC20E59A96E8AAFA2068ABD47693F773

Файлы карантинов описываются соответствующими ID и располагаются в папках:

C:\ProgramData\Microsoft\Windows Defender\Quarantine\ResourceData\<Первый байт ID>\<ID>

Такие файлы практически всегда соответствуют записям типа file, и извлечь содержимое карантина можно согласно схеме, описанной в вышеупомянутом скрипте: после расшифрования RC4 два смещения вычитываются из структуры, и фрагмент буфера можно смело сохранять в качестве трофея. Однако из любого правила существуют исключения — при ближайшем рассмотрении оказывается, что, в частности, для записей типа service: 1️⃣ ID начинается с «волшебного слова» 0x0000000014000A40, после обнаружения которого можно найти настоящий ID. 2️⃣ Схема декодирования карантина перестает работать — значением параметра, определяющего максимальный размер извлекаемого фрагмента, часто оказывается число, многократно превышающее размер самого буфера. В таких случаях стоит игнорировать прочитанные смещения и рассматривать в качестве извлекаемого карантина весь декодированный буфер, который имеет магическое число REGF и оказывается фрагментом реестра. Разобрать фрагмент, как правило, уже не составляет труда. @ptescalator

Экспертный центр Позитива, в котором состою и я, начал вести свой канал с интересными заметками по реверсу, инструментам и расследованию инцидентов. Там публикуется годнота, советую подписаться 😼

👀 VMware Workstation Pro и VMware Fusion стали бесплатными для личного пользования, об этом гласит пост в блоге компании. Из подводных камней - Broadcom спрятала скачивание за портал поддержки, и вам нужно подтверждать право на скачивание (product entitlements). Из мемного - люди с реддита уже расковыряли сайт и нашли листинг директорий, где есть продукты VMware, в том числе и Workstation Pro. Проверил последний инсталлятор на свежей системе - похоже что ограничений у Personal Use перед коммерческой лицензией нет ☺️

Дополнительные детали: 🟢 Развёрнут на vps с конфигом 2 cores / 4GB RAM, так что надеюсь, что будет работать без лагов: как минимум у меня тяжелые вещи pandas, scikit-learn обрабатываются околомоментально 🟢 Хостится в Москве, чтобы избежать дополнительные накладные расходы по сети. Но если нам забанят pypi.org (через него резолверы проектов получают списки релизов пакетов), то быстро перенесу на другую локацию. Но я сомневаюсь, что такое произойдет 🟢 Сервис не проксирует через себя сами файлы релизов, он оставляет оригинальный CDN files.pythonhosted.org. Если настанет момент, когда заблочат даже CDN, то видимо придётся ещё и файлами барыжить :)

Набросал зеркало, которое берёт на себя заботы по карантину зависимостей Python Package Index. Зеркало предоставляет стандартный интерфейс, с которым умеет работать pip/pipx/uv/poetry/... Инструкция для настройки доступна здесь. Как работает? Зеркало не возвращает ссылку на скачивание тех проектов, которые попадают под условия карантина -> резолвер зависимостей работает с актуальными на момент границы карантина проектами -> зависимости не ломаются в рамках нефиксированных зависимостей. Срок карантина задаётся прямо в урле, работает с датами по ISO 8601 Time Intervals и абсолютными датами: Карантин на 2 недели: pip install some-package --index-url https://pypi-quarantine.disasm.me/P14D/simple/ Отсечь все релизы 2024-го года: pip install some-package --index-url https://pypi-quarantine.disasm.me/2023-12-31/simple/ Когда это может быть полезно: 🟢 Сбор старых проектов. Некоторые опенсорс-проекты не указывают хотя бы минорную версию зависимостей, из-за чего для проекта 2019 года могут подтянуться релизы зависимостей, где требуемый функционал уже пару лет как депрекейтнут и выпилен; 🟢Настройка простенького карантина на месяц, чтобы не попасться на протрояненный пакет в рамках очередного фиша разработчиков; 🟢(Внезапно) Решение вузовских лаб 🤬 и прогон ноутбуков на Kaggle. Библиотеки по ml часто ломают свои зависимости, и приходится страдать либо с установкой библиотек, актуальных на даты создания лаб, либо адаптацией лабы под новые реалии. Буду рад фидбеку :) Из занятного - реализовал и запустил этот сервер ещё до новости с Docker Hub, тестил первые дни на предмет потенциальных проблем и зависимостями - всё работает без проблем.