Уже доступно! Исследование Telegram 2025 — ключевые инсайты года 
Fsecurity | HH
Открыть в Telegram
Канал про ИБ Наш Discord: https://discord.gg/Eg8aDS7Hn7 Пожертвовать: > https://www.donationalerts.com/r/xackapb
Больше2 020
Подписчики
+124 часа
+27 дней
-1430 день
Архив постов
2 020
Repost from Threat Hunting Father 🦔
+2
✍️ AdaptixC2: новый open-source C2 в руках атакующих
Unit 42 (Palo Alto Networks) зафиксировали использование AdaptixC2 в реальных атаках (май–сентябрь 2025).
Изначально задумывался как red team-фреймворк, но теперь активно используется злоумышленниками для постэксплуатации и скрытого контроля инфраструктуры.
🔗 Функционал:
• управление файлами/процессами, запуск программ;
• туннели (SOCKS4/5, port-forwarding);
• поддержка BOF (Beacon Object Files);
• агенты в форматах EXE/DLL/сервис/шеллкод (x86/x64);
• опции OpSec (KillDate, WorkingTime, обфускация);
• профили beacon-ов: HTTP, SMB (named pipes), TCP.
📌 Сценарии атак:
Fake HelpDesk (Teams + Quick Assist):
– фишинг через Teams, запуск Quick Assist;
– PowerShell-лоадер (
update.ps1) качает и расшифровывает шеллкод из Google Drive;
– инжект в память, persistence через ярлык в Startup.
AI-generated PowerShell + DLL hijack:
– скрипт с характерными “AI-следами” (verbose комменты, ✔️ в выводе);
– загрузка Base64 шеллкода, VirtualProtect → GetDelegateForFunctionPointer;
– DLL hijack (APPDATA\...\Templates\msimg32.dll), Run-ключ Updater.
🕵️ Постэксплуатация:
whoami, ipconfig, nltest → C2-сервер → дальнейший lateral movement.
В одном кейсе AdaptixC2 применялся совместно с Fog ransomware.
⚠️ Вывод:
AdaptixC2 — свежий пример того, как open-source фреймворки быстро становятся оружием. Модульность + AI-сгенерированные загрузчики = повышенная скорость адаптации и обхода защит.
🔗 https://unit42.paloaltonetworks.com/adaptixc2-post-exploitation-framework/
🔗https://t.me/AdaptixFramework
🦔 THF2 020
Repost from Detection is easy
Всем привет! 💻✌️
Коллеги из bi.zone уведомили о новых техниках Fluffy Wolf
Давайте вспомним как это было в прошлогоднем отчете. Хакеры использовали схему фишинга
RAR (с паролем) -> COM. Примечательно, что пароль был указан в имени архива, возможно использовалось для обхода антифишинга
🔭 Обнаружение:
🔤 в двух кампаниях злоумышленники используют раширение com, вместо exe, можем этим воспользоваться для хантинга
🔤 можем похантить имена файлов с "парол|pass"
🔤 создать правило обнаружения таких файлов
ProviderName="Microsoft-Windows-Sysmon" and EventId = 11 and TargetFilename contains "\Users\" and (Image contains "парол" or Image contains "pass")
ProviderName="Microsoft-Windows-Sysmon" and EventId = 11 and TargetFilename contains "\Users\" and (Image endswith ".com")2 020
Repost from Blue (h/c)at Café
2 020
Repost from Threat Hunting Father 🦔
📝 Kaspersky — Notes of a Cyber Inspector
Отчёт строго структурирован: 3 кластера APT, у каждого — MITRE-разметка, цепочки, инструменты, артефакты.
Авторы показывают, как из разрозненных атакующих сформировались три кластера угроз.
📌 Кластер I — хактивистские и финмотивированные группы с общим TTP-набором:
Twelve, BlackJack, Crypt Ghouls, Head Mare, C.A.S.
📌 Кластер II — APT с более сложной тактикой и инструментами:
Awaken Likho, Angry Likho, Mythic Likho, Librarian Likho, Cloud Atlas, GOFFEE, XDSpy.
📌 Кластер III — изолированные хактивисты:
Bo Team, Cyberpartisans.
🎯 Зачем читать: внутри — MITRE по каждой APT, сценарные графы, конфиги (UltraVNC), живые команды (reverse-SSH/SMB), загрузчики (.NET/CHM/PS), и редкие вещи типа XML-модульных ответов C2. Это не обзор — это reference для охоты и ретроспективной проверки.
🔗https://securelist.ru/three-hacktivist-apt-clusters-tools-and-ttps/113316
🔗https://media.kaspersky.com/landgo/Kaspersky/Report_Notes_of_Cyber_inspector.pdf
🦔 THF
2 020
Repost from Ralf Hacker Channel
Real-time analysis of LOLDrivers against Microsoft's HVCI blocklist
https://byovd-watchdog.pwnfuzz.com/
Хороший ресурс)
#drivers #lpe #windows #lol
2 020
Repost from purple shift
В больших AD-лесах админы часто «забывают» или ошибочно настраивают списки контроля доступа (ACL), не желая заморачиваться с чётким разделением и выдачей прав. В таких списках могут оставаться широкие разрешения для Everyone/Authenticated Users/Domain Computers, причём с расширенными правами на чувствительные объекты.
Это не мелочь: именно список DACL в nTSecurityDescriptor определяет, кто и что может делать с объектом. Но есть проблема: такие списки прав указаны для каждого отдельного субъекта (нет одной таблички), GUID’ы прав нечитабельны, а определения дескрипторов безопасности (SDDL) тяжело смотреть глазами.
Наш эксперт Александр Родченко написал утилиту ParseJsonWithSDDLs для решения этой проблемы. Основная идея: показать, какими правами обладают «все», то есть достаточно большой и потенциально неограниченный круг субъектов (анонимы, аутентифицированные пользователи, все ПК и т.д). Другими словами, утилита отвечает на вопрос: «Есть ли у нас в домене какие-то объекты, с которыми может сделать что-то любой пользователь?»
Функционал, реализованный в программе:
— парсит SDDL из nTSecurityDescriptor, вычленяет «широкие» ACE и показывает их в удобном виде (читаемые имена субъектов и объектов, декодированные GUID расширенных прав);
— умеет сама выгрузить весь лес и трасты в JSON (LDAP paging + SecurityDescriptorFlagControl для DACL), если у вас нет готовых экспортов ваших доменов; в некотором роде это работа SharpHound с опцией "вместе с DACL", но в данном случае автор сам реализовал это в коде;
— даёт HTML-сводку и при желании CSV для дальнейшей аналитики/хантинга.
Что даёт использование утилиты?
Это закрывает типовой класс конфиг-дефектов, про которые Microsoft годами пишет в своих рекомендациях по безопасности AD. Прогоны такой утилитой часто приносят «бесплатные» находки перед аудитами и пентестами. Примеры находок приведены на скриншотах выше:
(1) объект, который может изменить любой ПК — и никто не не знает, для чего это нужно; у клиента это был объект, относящийся к системе корпоративной печати,
(2) очень странный объект групповой политики — это заявка на повышение привилегий в домене,
(3) очень неправильно настроенные разрешения создавать общие папки: на самом деле, дали возможность создать объект-корень FTRoot (новый namespace) и создать под ним любые FTDfs-объекты — ссылки (на любой сервер) и их Target-списки.
Утилиту можно скачать в репозитории автора на Гитхабе — там же оставляйте отзывы и предложения по улучшению программы:
https://github.com/gam4er/DACLPlayground/tree/master
