Ру-Сфера: Исследование защиты и обсуждение IT-безопасности

Малварь как искусство Фреймворк для тестирования антивирусов

  • 2 701
  • 12
1701614939222.png


Всем привет!

Изначально какой-то такой проект хотел выложить на конкурс проектов xss.is.

Но потом подумал, что все ожидают что-то, что можно использовать в комерсе, а тут просто исследование, но тем не менее может-быть интересно всем.)

Итак, основная цель любого вредоносного кода, это скрытие своих действий что-бы избежать детект.

Давайте подумаем что вирусописатель может сейчас сделать в ограниченной среде (Usermode), не будем брать в расчет эксплуатацию уязвимостей и возможность запуска например своих вредоносных драйверов, руткитов и т.д.

Мы в юзермоде и вырваться не можем от туда, в данной статье рассматривается такая среда.

Итак что мы можем сделать в своём зверьке ?


1)Скрытие от статического анализа:

Ну тут самое первое что можно сделать, скрыть все возможно подозрительные API винды, который использует зверёк.
Как варианты, это отключение CRT, хеширование функций и вызов их по хешу, хеширование...

ВАЖНО [КНИГА] Разработка драйверов для Windows

  • 2 155
  • 1
1697104372490.png


Всем привет, как-то я переводил эту книгу:Перевод книги Windows Kernel Programming

Но есть профессиональный перевод, которым хочу поделиться.)

В этой книге обсуждается множество вопросов, так как тема драйверов режима ядра чрезвычайно обширна. Тем не менее книгу следует рассматривать как вводный учебник в мир драйверов устройств режима ядра.

Некоторые из тем, которые в книге не рассматривались:
  • Драйверы физических устройств.
  • Сетевые драйверы и фильтры.
  • WFP (Windows Filtering Platform).
  • Более подробная информация о мини-фильтрах файловой системы.
  • Другие общие средства разработки: таблицы хранения данных, AVL-деревья,битовые карты.
  • Типы драйверов для конкретных технологий: HID (Human Interface Device), экран, звуковая карта, Bluetooth, хранение данных…
...

[Книга] Введение в разработку вредоносных программ

  • 2 121
  • 4
1697051652223.png


Причина создания этой книги статей по разработки скрытия вредоносных программ от средств защиты.

Я достаточно долго вёл форум ru-sfera.pw (ru-sfera.org), но в 2021 году решил его удалить, в силу понятных мне причин.

Но в конце 2022 года решил возобновить работу форума, потом я понял что на форуме есть достаточно много информации по созданию и скрытию вредоносных программ.

Я задумался, что не плохо-бы создать разделы с актуальным материалом и случайно обнаружил что есть курс maldev.

Посмотрев этот курс: Малварь как искусство - Курс по MalDev [PDF]

Который стоит кстати около 300 баксов, понял что 80% описанного там есть на форуме.)

Да может что-то устарело и что-то тяжело найти, но в целом информация видимо актуальная.

И я решил позаимствовать от туда темы, где-то сделать обзорный перевод, что-то добавить от себя.

В итоге появился раздел...

ВАЖНО Введение в разработку вредоносных программ (Оглавление)

  • 3 018
  • 2
В этой теме список статей по разработки малвари.

Т.к. статьи в виде обучающего цикла, решил сделать обновляемую тему со списком всех статей, если вы новичок то рекомендуется читать статьи в том порядке, как они здесь.








[URL...

Новость СДЭК схлопнулся)

  • 38
  • 0
1716911478166.png


25 мая в работе логистического оператора СДЭК сбой, из-за которого сайт компании перестал работать, а прием и выдача посылок были приостановлены. На момент 28 мая технический сбой продолжается. СМИ и представители СДЭКа , что виной тому могли стать вирус-шифровальщик и хакерская атака. В СДЭКе продолжают предпринимать необходимые действия по восстановлению работоспособности сервисов.

В X(Twitter)-аккаунте хакерской группировки Head Mare несколько сообщений. В них злоумышленники утверждают, что им удалось получить доступ к базе данным СДЭКа и превратить все файлы на серверах в «мусор». Также хакеры говорят, что последняя...

Информация Чит/трейнер своими руками. Хакер. Часть 3

  • 38
  • 1
1716902997380.png


Долгожданная третья часть автора приватный статей с Хакера:



В этой статье я попробую показать, как создать собственный чит, который будет противостоять используемым в играх античит‑системам. Для этого нам понадобится поупражняться в реверсе и познакомиться с устройством игр, написанных на Unity.

АНТИЧИТ​

Итак, античит — это некая программа, которая мешает игрокам в онлайновые игры получать нечестное преимущество за счет использования стороннего ПО. Не буду пытаться объяснить это на абстрактном примере, лучше давай сразу перейдем к практике. По дороге все поймешь...

Информация Вымогатель ShrinkLocker

  • 86
  • 3
Специалисты «Лаборатории Касперского» рассказали, что корпоративные устройства атакует новый вымогатель , использующий для шифрования легитимную функцию Windows — BitLocker. Среди целей малвари — промышленные и фармацевтические компании, а также государственные учреждения. Атаки были обнаружены в Мексике, Индонезии и Иордании.

Отчет компании гласит, что для своих атак злоумышленники создали вредоносный скрипт на VBScript (языке, который используется для автоматизации задач на компьютерах под управлением Windows). Этот скрипт проверяет, какая версия Windows установлена на устройстве, и в соответствии с ней активирует BitLocker. При этом малварь способна заражать как новые, так и старые версии ОС — вплоть до Windows Server 2008.

Скрипт изменяет параметры загрузки ОС, а затем пытается зашифровать разделы жесткого диска с помощью BitLocker. Также создается новый загрузочный раздел, чтобы позднее иметь...

Малварь как искусство Повышение привилегий через StorSvc (CVE-2024-26238)

  • 87
  • 1
Одна из последний критичных уязвимостей винды:

Предлагаю рассмотреть как можно проэксплуатировать.)

StorSvc — это служба, которая работает от имени NT AUTHORITY\SYSTEM и пытается загрузить отсутствующую библиотеку SprintCSP.dll при вызове локального метода SvcRebootToFlashingMode через RPC.

Описание RPC-метод StorSvc.dll!SvcRebootToFlashingMode вызывает StorSvc.dll!InitResetPhone, который также вызывает StorSvc.dll!ResetPhoneWorkerCallback, пытающийся загрузить SprintCSP.dll, как показано на изображении ниже:

1716734936416.png

Поскольку эта DLL отсутствует, она загружается в соответствии с порядком поиска DLL, и мы можем воспользоваться этим поведением, поместив вредоносную DLL в папку, доступную для записи, которая...

Малварь как искусство MutationGate - Новый подход работы с сисколами

  • 102
  • 0
1716538434687.png


Перевод:

Мотивация​

Учитывая, что встроенные хуки являются основным методом обнаружения, используемым продуктами EDR, обход их является для меня интересной темой.

Что касается обхода встроенных хуков, установленных EDR, уже существует довольно много доступных подходов. Хотя некоторые из ранних подходов очень легко обнаруживаются, существуют и несколько зрелых подходов.
Тем не менее, я считаю, что было бы очень интересно найти новый подход к обходу хуков, надеюсь, это принесет некоторые улучшения или преимущества.

Встроенный хук​

Продукты EDR (Endpoint Detection and Response) часто размещают встроенные хуки на NTAPI, которые обычно используются в вредоносном ПО, таких как NtAllocateVirtualMemory, NtUnmapViewOfSection, NtWriteVirtualMemory и других. Это связано с тем, что NTAPI является мостом...

На заметку Почему я больше не использую современный C++

  • 136
  • 1

1716475136925.png

Оригинал:

Современный C++: что это и как он появился?​

В течение последнего десятилетия с приходом стандарта C++11, а перед этим — предваряющих его спецификации TR1 и библиотеки Boost, — в сообществе C++-разработчиков наблюдался массовый переход на новый стиль программирования, так называемый современный C++.

Этот переход подразумевал введение в оборот таких приемов как ключевое слово auto, замыкания (лямбда-выражения), вариативные шаблоны и многое другое. C++ оказался благодатной почвой для экспериментов, и на свет появилось несколько библиотек, написанных в новом стиле. Те, кто смог разобраться в новых идиомах вроде SFINAE, диспетчеризации тегов, CRTP, генератора типов, безопасного bool и т.д., или хотя бы научился их...

Информация Бабушкин-2024

  • 261
  • 4
1715944124297.png


Ничего не меняется в нашем мире...

Можно долго наблюдать за огнём, водой и тем как "разрабатывают" отечественные антивирусы.Dmeh-Smeh-Smeh!!!

СМИ: разработчики из ПГУ создали антивирус, который использует ИИ и не требует обновлений​


Разработчики из Пензенского государственного университета разработали первый российский антивирус, который основан на машинном обучении и не требует обновлений, сообщили «Известиям» представители вуза.

«В настоящий момент у нас готова версия программы для Windows. Она способна определять такой вредоносный софт, как троянские вирусы (которые проникают в ПК под видом легитимного ПО), руткиты (софт, собирающий персональные данные) и ПО, незаконно использующее ресурсы компьютера», — сообщил лидер проекта Даниил Мишин.

Главное отличие разработки от существующих продуктов в том, что антивирус устанавливается на компьютер и не требует наличия постоянного подключения к...

Малварь как искусство Атаки с использованием планировщика заданий в среде Windows

  • 294
  • 3
1715870339219.png


Перевод:

Планировщик задач является одной из самых популярных техник атак, используемых злоумышленниками для установления постоянного присутствия на компьютере жертвы. Исследовательская команда Qualys изучила различные способы, которые могут использоваться злоумышленниками для сокрытия запланированных задач.

В этой статье мы описываем три новых метода скрытия и удаления запланированных задач в среде Microsoft Windows.

Злоумышленники часто используют функциональность планировщика задач в среде Microsoft Windows, чтобы облегчить начальное или регулярное выполнение вредоносного кода при запуске системы или по расписанию для сохранения присутствия.

Недавно исследователи безопасности Microsoft...

Малварь как искусство MemoryModule - Загрузка DLL из ОЗУ

  • 283
  • 2
1715586834252.png


Всем привет!

Когда-то давно писал свой загрузчик DLL, но сейчас на гитхабе наткнулся на более взрослый загрузчик:

Для чего это может-быть нужно:

Стандартные функции Windows API для загрузки внешних библиотек в программу (LoadLibrary, LoadLibraryEx) работают только с файлами на файловой системе. Поэтому невозможно загрузить DLL прямо из памяти.

Но иногда нужно загрузить dll из памяти, вот зачем:

1. Например есть у вас какая-то модульная архитектура, к примеру какой-то ботнет с различным функционалом, вот поставляться-же сам ботнет может просто загрузчиком, а в зависимости от задания на управляющим сервере, качать нужную зашифрованную DLL и запускать её в памяти.

2. Таким образом можно делать криптования длл.

Вот как пользоваться кодом выше, вот...

Информация Невероятная уязвимость в Chrome

  • 391
  • 0
1715509875599.png


Google экстренно выпустил очередное обновление безопасности для своего браузера Chrome.

Причиной стало обнаружение критической уязвимости с активной эксплуатацией в реальных атаках.

Уязвимость получила идентификатор CVE-2024-4671 и классифицируется как ошибка использования памяти после освобождения (use-after-free) в компоненте, ответственном за визуализацию веб-контента.
Эта опасная уязвимость позволяет злоумышленникам выполнять произвольный код в контексте браузера и полностью скомпрометировать систему.

Сведения об уязвимости были переданы в Google анонимным экспертом по кибербезопасности 7 мая 2024 года. Пользователям срочно рекомендуется обновить Chrome до версии 124.0.6367.201/.202 для Windows и macOS и до версии 124.0.6367.201 для Linux.

Google подтвердил существование эксплойта для этой уязвимости, но не раскрыл детали его использования в атаках или информацию о злоумышленниках.

С начала года компания уже...

На заметку Детали реализации CFG в Windows 11

  • 293
  • 0
1715508645356.png


Перевод:

CFG в контексте Windows означает Control Flow Guard. Это функция безопасности, предназначенная для предотвращения атак, основанных на нарушении управления потоком выполнения программы.

Как работает Control Flow Guard:
  • Регистрация допустимых точек вызова: При компиляции программы компилятор анализирует код и создает список всех допустимых точек вызова функций (адресов, по которым допустимо передавать управление). Этот список включается в исполняемые файлы и загружаемые модули.
  • Проверка во время выполнения: Когда программа выполняется, операционная система использует этот список для проверки корректности адресов передачи управления перед их выполнением. Если программа пытается выполнить переход на адрес, который не находится в списке разрешенных точек вызова, CFG блокирует такой вызов и предотвращает возможное выполнение вредоносного...

Информация Бесплатный премиум чит на любую игру

  • 722
  • 0
1713693410757.png


Аналитики обнаружили нового вредоноса, связанного с инфостилером Redline, который маскируется под демо-версии читерского софта. Интересно, что авторы малвари предлагают пользователям полную бесплатную копию этого «читерского ПО», если те сумеют убедить своих друзей тоже установить его (на самом деле, распространяя малварь).

Исследователи рассказывают, что новый инфостилер использует байт-код Lua, чтобы избежать обнаружения, что позволяет ему внедряться в легитимные процессы, а также использовать преимущества JIT-компиляции.

Эксперты связывают этот стилер с Redline, поскольку он использует управляющий сервер, который ранее ассоциировали с этим вредоносом. Однако издание , отмечает...

Информация О том как можно угнать аккаунт в Telegram

  • 611
  • 0
1713691278532.png


Специалисты центра мониторинга внешних цифровых угроз Solar AURA из ГК «Солар» крупную сеть, состоящую более чем из 300 сайтов с изображениями и мемами, созданную для кражи аккаунтов в Telegram. На картинку с такого сайта можно было легко «наткнуться» в поисковой выдаче, а дальнейший переход по ней был чреват потерей аккаунта.

По данным исследователей, сеть появилась в декабре 2023 года и состоит из однотипных сайтов с сотнями тысяч изображений и описаний к ним. Изображения здесь объединены по тематикам. Так, удалось обнаружить сайты, посвященные аниме, фанфикам, мемам, корейским сериалам, порнографии и даже пицце.

1713691128498.png


Отмечается, что мошенники уделяют значительное внимание вопросам поисковой оптимизации. То есть вероятность наткнуться на один из таких вредоносных сайтов весьма высока, особенно, если...

На заметку BlackhatRussia.com [На сайте закладки, осторожно]

  • 927
  • 8
1713087307110.png


Всем привет!

Наткнулся на сайт (Осторожно, там закладки):
Код:
https://blackhatrussia.com/

Там типо можно скачать всякие ратники, крипторы и прочие хакерские утилиты.

Предлагает скачать самораспоковывающийся архив, а при распаковки запускакется exe файл, так-что осторожно.)

Программа ОБНОВЛЕНИЕ БРУТФОРСЕРА IPCAMBRUTER v3.4.2

  • 4 705
  • 67
44444.png


ОБНОВЛЕНИЕ IPCAMBRUTER V3.4.2 2024!

В ДАННУЮ СБОРКУ ВКЛЮЧЕНЫ СЛЕДУЮЩИЕ ИЗМЕНЕНИЯ:

1 ). Снято ограничение на использование мин-кол ip-адресов, в предыдущей сборке, нельзя было использовать минимальное количество IP, ниже чем 60- IP !
2 ). Максимально снижена нагрузка на процессор, так же снижено потребление памяти.
3 ). В предыдущей версии, при работе с терминалом, был баг, результаты грузились сразу в оба брутфорсера, ошибка исправлена!
4 ). Улучшена работа с терминалом, налажен генератор рандомных IP диапазонов, теперь генерирует более актуальные IP
5 ). Также улучшено сканирование портов в сканере « Masscan GUI » теперь сканер работает более шустро!
6 ). Для брута (IP камер Hikvision) добавлен новый, дополнительный порт "8200" !
7 ). Для бруфорсера (IP камер Hikvision) в терминал добавлена возможность исользовать параметры в командах,
8 ). На панель (терминала Hikvision)...

Новость Бэкдор в OpenSource для доступа к SSH

  • 846
  • 0
1711978886347.png


Уязвимость в xz Utils была построена по схеме supply chain attack, атака на цепочку поставок. Для её реализации злоумышленнику (или их группе) пришлось два года втираться в доверие к сообществу открытого программного обеспечения, чтобы получить права мейнтейнера и внедрить нужный код. Бэкдор обнаружила не лаборатория безопасности в результате тщательного анализа, а разработчик, который замедление работы компьютера.

Пакет — набор утилит для сжатия данных для Unix-подобных операционных систем и, начиная с пятой ветки, Microsoft Windows. Разработку ведёт коллектив Tukaani Project.

Утилита известна. Одни из наиболее популярных дистрибутивов Linux — Debian и Ubuntu, Fedora, Slackware, Arch Linux — использовали или до сих пор включают в себя xz Utils.

Однако это не значит, что разработка xz Utils...
Верх Низ