Fsecurity | HH

Иногда можно долго читать пост о том как будет полезно поставить очередной аддон в браузер или в BurpSuite. В этот раз я бы даже читать не стал, а сразу бы поставил. Нет сомнений что оно может случайно найти что-то крутое и полезное. В моем случае с браузерным аддоном такое случалось не раз и не два 💁‍♂️ PS: не забывайте поглядывать за съеденной памятью тачки в процессе работы 🥲

Discord сервер 👆🏻Тут можно пообщаться и найти много полезной информации 🦈

🔗Ссылка: https://www.securitylab.ru/news/557310.php

Молниеносный инструмент обнаружения пассивных поддоменов для специалистов по безопасности и охотников за ошибками. 🔗Ссылка: https://github.com/duty1g/subcat

🔗Ссылка: https://www.securitylab.ru/news/557272.php

🔗Ссылка: https://www.securitylab.ru/news/557276.php

🔗Ссылка: https://habr.com/ru/companies/pt/articles/889692/

В версии 0.3 также будет контроль состояния сессии (в графе Sleep) При завершении агента, либо метке Inactive, счеткик Last будет отображать дату и время последней активности. Параметры "No response" можно настроить в клиенте)

Discord сервер 👆🏻Тут можно пообщаться и найти много полезной информации 🦈

Metarget - это фреймворк, обеспечивающий автоматическое создание уязвимых инфраструктур. 🔗Ссылка: https://github.com/Metarget/metarget/

👮‍♀Восстановление паролей из перехваченного трафика Kerberos👮‍♀ Внезапная заметка, которая может помочь вам незаметно получить учетные данные доменного пользователя без необходимости взаимодействия с контроллером домена💻 Представьте, что вы получили доступ к какому-то сетевому устройству (пусть это будет, например, PfSense), и у вас получилось его встроенными (или не совсем) средствами записать трафик, в котором вы позже нашли успешную Kerberos аутентификацию. Выглядеть она будет так, как показано на первом скриншоте😅 Для восстановления пароля пользователя нас интересует этап преаутентификации (AS-REQ), где передаётся зашифрованная секретом пользователя метка времени, которая и подвергнется атаке (а секрет считается из пароля этого пользователя). Для осуществления атаки подготавливаем среду. В качестве ОС я использую Kali, а средство, которое нам даст требуемые артефакты, — известное ПО для сетевой форензики NetworkMiner. Первым делом устанавливаем ПО на нашу ОС. Так как NetworkMiner разработан под Windows, для его запуска на Kali используем mono, который также нужно установить:

sudo apt install -y mono-devel

wget https://www.netresec.com/?download=NetworkMiner -O ./networkminer.zip

unzip networkminer.zip

mono NetworkMiner_2-9/NetworkMiner.exe --noupdatecheck

После того, как мы успешно запустили NetworkMiner, импортируем туда файл с трафиком. Важно: NetworkMiner не умеет обрабатывать файлы с расширением .pcapng, поэтому перед импортом файла убедитесь, что он сконвертирован в нужный формат. Сделать это можно следующим образом:

tshark -F pcap -r traffic.pcapng -w traffic.pcap 

После успешного открытия файла идём во вкладку Credentials, где видим извлеченные хэши в удобном для копирования формате (второй скриншот). Мы будем взламывать именно PreAuth-данные (krb5pa), поэтому правой кнопкой нажимаем на хэш в NetworkMiner и копируем его в буфер обмена. Далее дело за малым: записать его в файл и натравить HashCat или JtR для атаки:

echo '$krb5pa$18$william.dupond$CATCORP.LOCAL$CATCORP.LOCALwilliam.dupond$fc8b...' > pa.hash

sudo john --wordlist=/usr/share/wordlists/rockyou.txt pa.hash

Результат успешной атаки можно наблюдать на третьем скриншоте. И это далеко не единственный случай, когда BlueTeam инструменты помогают красным командам достичь своих целей👽

Подхватил у @byteoflife идею этого поста и хочу поделиться про довольно популярную технику фингерпринтинга - Favicon Hashing 😸 Цель данной техники заключается в идентификации веб страниц и приложений на основе их значка favicon, в случае если актор использует весьма заметный favicon или не поменял его при деплое C2, то можно попробовать найти его в различных поисковых системах по типу Censys, FOFA 🦅 Для снятия хэша favicon можно использовать данный ресурс: https://faviconhasher.codejavu.tech/ А касательно поста вот и сам favicon hash (FOFA) 😏

icon_hash="-1049861794"

FOFA выдал 20 результатов, с 4 уникальными значениями 🔫 Детектнутые домены и IP 🪨 144[.]91[.]79[.]54 144[.]91[.]92[.]251 partagerapide[.]com horusprotector[.]help @s0ld13r_ch

🔗Ссылка: https://habr.com/ru/articles/886274/

🔗Ссылка: https://www.securitylab.ru/news/557239.php

🔗Ссылка: https://habr.com/ru/articles/762786/

нашел и решил написать про небольшую фичу в BitrixVM: https://telegra.ph/bitrixvm-lpe-iz-korobki-02-21

🔗Ссылка: https://www.securitylab.ru/news/557237.php

🔗Ссылка: https://habr.com/ru/companies/ddosguard/articles/888908/

🔗Ссылка: https://habr.com/ru/articles/888304/

👉🏻