Codeby

🚩 Новые задания на платформе HackerLab!

🕵️ Категория Форензика — Лиса

🌍 Категория Веб — Тихая касса

Приятного хакинга!

🧙‍♀️ Caido

Кроссплатформенный инструмент для аудита безопасности веб-приложений, ориентированный на простоту использования и гибкость. Предоставляет собой мощный набор функций для перехвата, анализа и модификации HTTP(S)-трафика в реальном времени, что делает его полезным среди специалистов по информационной безопасности и разработчиков (бесплатный аналог Burp Suite Pro).

🖥 Построен на основе клиент-серверной архитектуры. Может быть представлен в двух вариантах: CLI и Desktop. При использовании CLI необходимо обращаться к интерфейсу Caido через браузер. Приложение Desktop, в свою очередь, имеет ряд преимуществ перед CLI:
⏺️поддержка записи нескольких экземпляров Caido в одном месте.
⏺️запуск предварительно настроенных проектов.

Основные возможности Caido
🌟Sitemap — представление контента, к которому обращается пользователь через домены и поддомены при проксировании трафика через Caido, в виде иерархической древовидной структуры.
🌟Intercept — управление проксируемым трафиком, проверяя, изменяя, перенаправляя и отбрасывая запросы и ответы по мере их передачи между клиентом и сервером.
🌟Replay — создание, замена и отправка отдельных запросов. Каждый отправленный запрос и соответствующий ему ответ записываются, что позволяет сравнивать и определять, как конкретные изменения влияют на ответы.
🌟Automate — отправка множественных запросов программным способом (брутфорс, фаззинг).
🌟Match & Replace — создание правил, которые автоматически добавляют, удаляют или заменяют определённые значения в запросах и ответах при их прохождении через Caido.
🌟Workflows — создание многоэтапных процессов для выполнения определенных действий или преобразований, что позволяет автоматизировать задачи на постоянной или повторяющейся основе.

Кроме того, в инструменте присутствует быстрый и простой способ фильтрации запросов с помощью HTTPQL. Также программа поддерживает установку различных плагинов и пакетов, которые расширяют функциональные возможности Caido, обеспечивая высокую степень персонализации.

Инструменты безопасной разработки позволяют находить и устранять уязвимости на всех стадиях жизненного цикла приложения — от написания кода до его работы в продакшне ⬆️

Хотите не просто знать эти методики, а профессионально внедрять их на практике?

🟧10 ноября стартует новый курс от Академии Кодебай, созданный специалистами с опытом внедрения DevSecOps в крупнейших ИТ-компаниях.

После обучения вы сможете:
🟧Внедрять безопасные пайплайны
🟧Обеспечивать защиту контейнеров и Kubernetes
🟧Применять современные подходы, такие как Zero Trust.

Успейте записаться на первый поток со скидкой 10%
🟧 Узнать подробнее о курсе
🟧 @CodebyManagerBot

❗️ Velociraptor в руках злоумышленников

🔗 Атакующие стали использовать инструмент криминалистического анализа Velociraptor для развертывания Visual Studio Code для туннелирования C2.

👩‍💻 Как утверждает исследовательская группа Sophos Counter Threat Unit в своем отчете, в одном из инциденте злоумышленник использовал инструмент для загрузки и выполнения Visual Studio Code с вероятным намерением создать туннель к управляемому серверу злоумышленника управления и контроля (C2).

🦠 Хотя известно, что злоумышленники используют законные инструменты удаленного мониторинга и управления (RMM) в своих атаках, использование Velociraptor сигнализирует о тактической эволюции, когда программы реагирования на инциденты используются для получения плацдарма и минимизации необходимости развертывания собственного вредоносного ПО.

NanoDump - "швейцарский нож" для извлечения памяти процесса LSASS.

📕 Немного теории
🔺LSASS (Local Security Authority Subsystem Service) — системный сервис в Windows, который отвечает за проверку пользователей при входе, хранение и выдачу токенов, управление политиками безопасности и т. п.

Соответственно, в случае создания дампа LSASS, злоумышленники получают хэши паролей пользователей или даже пароли в открытом виде, токены и сессионные ключи, которые можно использовать для перехвата сессий;

🔺Дескриптор — ссылка или ключ, который операционная система даёт процессу, чтобы тот мог работать с каким-то объектом: файлом, сокетом, процессом, памятью. Дескриптор к процессу позволяет читать/писать его память, запускать действия от его имени.

Злоумышленники часто пытаются получить или скопировать дескриптор, который имеет нужные привилегии к LSASS, чтобы затем получить доступ к его памяти — без того чтобы напрямую запрашивать у системы высокие права.

Функции инструмента
1️⃣Разветвление процесса
Чтобы избежать открытия дескриптора LSASS с доступом PROCESS_VM_READ, можно использовать параметр --fork. В таком случае nanodump создаст дескриптор LSASS с доступом PROCESS_CREATE_PROCESS, а затем клонирует процесс. Далее у нового процесса будет снят дамп.

2️⃣Снимок процесса
Аналогично опции --fork, можно использовать --snapshot для создания снимка процесса LSASS с дескриптором доступа PROCESS_CREATE_PROCESS, затем будет создан снимок процесса с помощью PssNtCaptureSnapshot. Снимок будет автоматически освобождён после завершения.

3️⃣Дублирование дескриптора
Поскольку открытие дескриптора LSASS может быть обнаружено, nanodump может вместо этого искать существующие дескрипторы LSASS. Если такой дескриптор найден, он будет скопирован и использован для создания минидампа.

4️⃣Повышение привилегий дескриптора
Можно получить дескриптор LSASS с правами PROCESS_QUERY_LIMITED_INFORMATION, которые, скорее всего, будут в белом списке, и затем повысить привилегии этого дескриптора путём его дублирования.

5️⃣Дублирование дескриптора через Seclogon
Можно обмануть процесс seclogon, заставив его открыть дескриптор LSASS и дублировать его до закрытия с помощью блокировок файлов. Для доступа к этой функциональности используйте флаг --seclogon-duplicate.

Выше перечислены лишь некоторые функции утилиты, более подробно с остальными возможностями можно ознакомиться здесь.

🔺Примеры использования

nanodump --fork --write C:\lsass.dmp

nanodump --seclogon-leak-remote C:\Windows\notepad.exe --fork --valid

nanodump --seclogon-leak-local --fork --valid --write C:\Windows\Temp\lsass.dmp

⚠️ Скрытые угрозы ресурсов EXE: шелл-код внутри PE-файла

Мы привыкли, что ресурсы PE-файла — это иконки, строки и меню. Но что, если стандартная секция .rsrc — это идеальное укрытие для шелл-кода, одобренное самим Microsoft?

В новой статье разбираем:
▪️Ошибку Microsoft, из-за которой весь софт вынужден использовать стандартные имена секций
▪️Как шелл-код маскируется под картинки, шрифты и другие ресурсы
▪️Два рабочих метода вызова шелл-кода из ресурсов

📍 Читайте подробнее!

#malware #shellcode #exploitation

📄 Вредоносные PDF-редактор похищают учетные данные пользователей

💻 Вредоносное ПО TamperedChef, замаскированное под поддельные PDF-редакторы, похищает учетные данные и файлы Cookie.

ℹ️ В основе кампании лежит использование нескольких фальшивых сайтов для продвижения установщика бесплатного PDF-редактора AppSuite PDF Editor, который после установки и запуска выводит на экран пользователю предложение согласиться с условиями обслуживания и политикой конфиденциальности программного обеспечения.

🪟 Однако в фоновом режиме программа установки скрытно запрашивает у внешнего сервера удаление PDF-редактора, одновременно настраивая сохранение на хосте, внося изменения в реестр Windows, чтобы обеспечить автоматический запуск загруженного исполняемого файла после перезагрузки. Ключ реестра содержит параметр --cm arguments для передачи инструкций исполняемому файлу

💻 Чаще всего злоумышленники используют инструмент AppSuite PDF Editor, И, как утверждает компания G FATA, является бэкдором, который активно скачивают пользователи.

❄
️ Существенное похолодание в Чувашии ожидается с 25 сентября. Днем столбики термометров будут показывать 10-12 градусов, а по ночам опустятся до нулевой отметки. Если холода задержатся до конца месяца, то и отопительный сезон не за горами.

IEEE 802.1X - стандарт контроля доступа к сети. Используется для аутентификации и авторизации устройств при их подключении к локальной сети (проводной или беспроводной).

❓Причина появления
До появления стандарта 802.1X любое устройство, подключившееся к порту коммутатора или точке Wi-Fi, автоматически получало доступ в сеть. Это позволяло злоумышленнику подключиться физически (через Ethernet-розетку) или по Wi-Fi и получить доступ к ресурсам внутренней сети без аутентификации.
Кроме того, стандарт является универсальным в области аутентификации и поддерживает интеграцию с уже существующими системами аутентификации.

🛜Участники аутентификации
🔺Supplicant (Клиент) — устройство, запрашивающее доступ к сети (ПК, ноутбук, IP-телефон и т.д.).
🔺Authenticator (Аутентификатор) — сетевое устройство, которое обеспечивает связь клиента с сервером аутентификации по протоколу 802.1х и, в случае успешной авторизации ― доступ к сети (обычно коммутатор или точка доступа).
🔺Authentication Server (Сервер аутентификации) — сервер, который проверяет учетные данные (обычно RADIUS-сервер, например FreeRADIUS).

Механизм аутентификации
1️⃣ Инициализация. Клиент подключается к порту аутентификатора. Тот фиксирует новое соединение и переводит логический порт в состояние uncontrolled. В этом режиме через порт разрешается только служебный обмен по протоколу 802.1X, а весь остальной трафик блокируется.

2️⃣ Инициация. Аутентификатор ждёт сигнала на начало процедуры (EAPOL-Start) от клиента. После получения он отправляет клиенту запрос EAP-Request/Identity. Клиент отвечает EAP-Response с идентификатором (например, логином). Это сообщение аутентификатор инкапсулирует в RADIUS Access-Request и пересылает серверу аутентификации.

3️⃣ Обмен EAP-сообщениями. Сервер аутентификации и клиент согласовывают, какой именно метод EAP будет использован для проверки подлинности.

4️⃣ Аутентификация. Процесс проверки зависит от выбранного EAP-метода. В результате сервер либо одобряет подключение, либо отклоняет его. Результат передаётся аутентификатору. При успешной проверке порт клиента переводится в состояние controlled, и далее через него разрешается обычная передача данных.

Стоит остановить внимание на протокол EAP, который является каркасом аутентификации в 802.1X и используется для выбора метода аутентификации. Существует несколько разновидностей данного протокола, рассмотрим лишь некоторые из них.

🔺EAP-MD5 - считается небезопасным, так как можно перехватить MD5-Challenge-Response и подобрать пароль пользователя.
🔺EAP-PEAP - отсутствует проверка подлинности сертификата клиента. В случае если в настройках не установлена проверка сертификата, соединение установится без него.
🔺EAP-TLS - двусторонняя проверка сертификата, сложнее в реализации, но все равно сохраняется проблема из пункта выше.

‼️В следующей статье поговорим о возможных методах обхода стандарта 802.1X и способах защиты.