-
НАШИ КОНТАКТЫ:
1)Аккаунт в telegram:https://t.me/XShar22
2)Почта:info@ru-sfera.pw
Наш канал в telegram:https://t.me/ru_sfera
Наша группа VK:https://vk.com/rusfera
Ру-Сфера: Исследование защиты и обсуждение IT-безопасности
Основной чат
- Никто не разговаривает в данный момент.
-
@
X-Shar:
Идея есть, но готовая процентов на 70%, идея посвящена обходу АВ, но незнаю на сколько подойдет для конкурса, по следующим причинам:gesttototot сказал(а):
1. В сети в разных вариантах уже есть наработки, вот я хочу эти наработки объединить в один проект, в итоге будет около 80% стороннего кода и где-то 20% моего.
2.Проект будет написан на Си, вот незнаю сколько людей на нём кодит сейчас в части комерса малвари.
3.Нужно ещё статью подготовить, проект больше будет в исследовательских целях.
Но всё-равно как сделаю попробую выложить, не понравится и ладно, в целом ничего не теряю.)Потом на гитхаб выложу.))) -
G (Гость) guesttototot:X-Shar сказал(а):
1. На мой взгляд, 20% - тоже работа, все таки ты приложил руку, не знаю с чистого нуля ли там обязательно надо писать, но можно спросить у Тохи в ветке, ответит.
2. Это абсолютно не важно, прицел больше на пользу
3. Конкретно для того конкурса, достаточно развернутого ридми
Ну а с такой темой, уже и на призовое можно рассчитывать)) мой голос будет за тебя)) -
D @ DXZALEET:Ну штож ребятки, решил я тут попробовать накатать что то напоминающее чит для Раста и использованием DMA и Python. Интересно есть ли тут единомышленники? Может кто то хочет попробовать себя в подобном? Знания питона есть, работал с небольшим количеством библиотек. Писал спамеры, парсеры для вк. 19 лет. Желательно что бы Вы уже имели опыт работы с DMA или хотя бы с Rust-ом. Буду рад любым предложениям в лс форума.
-
Б (Гость) бюджетный:Привет! Аккаунт в временном блоке из-за ошибок ввода пароля. Скоро начну писать статью
-
O @ offsec:Я вот щас экспериментирую, пытаюсь отказаться от Stage payload'ов, но не хочет оно работать) SMB - Не получилось, TCP - не получилось, что интересно HTTP Работает нормально. Ничего не понимаю - как это. Посмотрел - порт не занят. Антивирус я думаю понятно что отключен. Может сталкивался кто?
-
O @ offsec:Судя по тому как я понял: На начальных этапах(эксплуатации) мне нужно другой тулзой провести начальный доступ(с помощью metasploit), потом, если нужно, я провожу tcp бекон с выключенным stag'ингом. Т.е что все работало то ли надо передавать payload через метерпретер/etc.. то ли надо забить и просто с включенным staged пейлоадом(хотя здесь проблема: Из за этого оно садится АВ как не в себе). Прикол. Ну в принципе, Коба она же как пост-экслуатейшен тул)
Малварь как искусство Фреймворк для тестирования антивирусов
Всем привет!
Изначально какой-то такой проект хотел выложить на конкурс проектов xss.is.
Но потом подумал, что все ожидают что-то, что можно использовать в комерсе, а тут просто исследование, но тем не менее может-быть интересно всем.)
Итак, основная цель любого вредоносного кода, это скрытие своих действий что-бы избежать детект.
Давайте подумаем что вирусописатель может сейчас сделать в ограниченной среде (Usermode), не будем брать в расчет эксплуатацию уязвимостей и возможность запуска например своих вредоносных драйверов, руткитов и т.д.
Мы в юзермоде и вырваться не можем от туда, в данной статье рассматривается такая среда.
Итак что мы можем сделать в своём зверьке ?
1)Скрытие от статического анализа:
Ну тут самое первое что можно сделать, скрыть все возможно подозрительные API винды, который использует зверёк.
Как варианты, это отключение CRT, хеширование функций и вызов их по хешу, хеширование...
ВАЖНО [КНИГА] Разработка драйверов для Windows
Всем привет, как-то я переводил эту книгу:Перевод книги Windows Kernel Programming
Но есть профессиональный перевод, которым хочу поделиться.)
В этой книге обсуждается множество вопросов, так как тема драйверов режима ядра чрезвычайно обширна. Тем не менее книгу следует рассматривать как вводный учебник в мир драйверов устройств режима ядра.
Некоторые из тем, которые в книге не рассматривались:
- Драйверы физических устройств.
- Сетевые драйверы и фильтры.
- WFP (Windows Filtering Platform).
- Более подробная информация о мини-фильтрах файловой системы.
- Другие общие средства разработки: таблицы хранения данных, AVL-деревья,битовые карты.
- Типы драйверов для конкретных технологий: HID (Human Interface Device), экран, звуковая карта, Bluetooth, хранение данных…
[Книга] Введение в разработку вредоносных программ
Причина создания этой книги статей по разработки скрытия вредоносных программ от средств защиты.
Я достаточно долго вёл форум ru-sfera.pw (ru-sfera.org), но в 2021 году решил его удалить, в силу понятных мне причин.
Но в конце 2022 года решил возобновить работу форума, потом я понял что на форуме есть достаточно много информации по созданию и скрытию вредоносных программ.
Я задумался, что не плохо-бы создать разделы с актуальным материалом и случайно обнаружил что есть курс maldev.
Посмотрев этот курс: Малварь как искусство - Курс по MalDev [PDF]
Который стоит кстати около 300 баксов, понял что 80% описанного там есть на форуме.)
Да может что-то устарело и что-то тяжело найти, но в целом информация видимо актуальная.
И я решил позаимствовать от туда темы, где-то сделать обзорный перевод, что-то добавить от себя.
В итоге появился раздел...
ВАЖНО Введение в разработку вредоносных программ (Оглавление)
В этой теме список статей по разработки малвари.
Т.к. статьи в виде обучающего цикла, решил сделать обновляемую тему со списком всех статей, если вы новичок то рекомендуется читать статьи в том порядке, как они здесь.
ru-sfera.pw
ru-sfera.pw
ru-sfera.pw
ru-sfera.pw
ru-sfera.pw
ru-sfera.pw
ru-sfera.pw
[URL...
Т.к. статьи в виде обучающего цикла, решил сделать обновляемую тему со списком всех статей, если вы новичок то рекомендуется читать статьи в том порядке, как они здесь.
Зачем изучать разработку вредоносных программ ?
Посмотрев этот курс:Малварь как искусство - Курс по MalDev [PDF] Который стоит кстати около 300 баксов, понял что 80% описанного там есть здесь на форуме.) Да может что-то устарело и что-то тяжело найти тут, но в целом инфа видимо актуальная. Вот я и решил позаимствовать от туда темы, где-то...
ВАЖНО - Важная тема по созданию payload и shell code
В цикле статей этого раздела:Введение в разработку вредоносных программ мы все озабочены как скрыть полезную нагрузку, как обойти антивирус и т.д. Все говорят про какую-то полезную нагрузку, вредоносный код и т.д. Но никто не сказал, что-это вообще такое, где эту нагрузку можно взять, как её...
Уроки - Разработка малвари - 2. Изучаем инструменты
В предыдущей части мы затронули, зачем вообще разрабатывать вредоносное ПО, рассмотрели жизненный цикл такого ПО и немного затронули выбор языка разработки. Предыдущая часть тут: Зачем изучать разработку вредоносных программ ? Перед началом путешествия по разработке вредоносного программного...
Уроки - Разработка малвари - 3. Так какой-же язык выбрать !?
Вообще в сети много холиваров на это тему. Многие представители старой школы отказываются признавать новые технологии и считают разработку малвари, как низкоуровневую разработку, т.е. что-то там на уровне драйверов системы, какое-то аппаратное взаимодействие низкоуровневое, например работа с...
Уроки - Разработка малвари - 4. Шпаргалка по архитектуре винды
Архитектура любой ОС, очень сложная система, так наскоком не изучишь. Тут на форуме есть целый раздел:Системное программирование и разработка Но т.к. разработка малвари - Это системная разработка, какое-то понимание этой самой архитектуры нужно иметь, поэтому данная шпаргалка даст небольшое...
Уроки - Разработка малвари - 5. Изучаем динамические библиотеки
В этой статье предлагаю рассмотреть создание динамических библиотек, в винде это всем наверное известные DLL.) И .exe, и .dll файлы считаются исполняемыми файлами, в формате PE, сам PE уже описан много где, нет не времени не желание описывать архитектуру, если интересно всё в сети есть и очень...
Уроки - Разработка малвари-6. Процессы Windows
В предыдущих версиях статей, было очень краткое ознакомление каких-то базовых вещей, без которых вообще проблематично вести разработку. Понятно что этого недостаточно, но какое-то направление может дать. Думаю это последняя статья, по теории и следующие статьи будут уже предметные, посвященные...
[URL...
Малварь как искусство Криптор исходного кода при помощи ChatGPT
Всем привет!
ИИ классное изобретение, оно несомненно станет частью нашей жизни.
Но к сожалению всё в нашей жизни двоично, вот приведу пример что можно сделать в темных делах, это просто игрушка, но игрушка с хорошем намеком.
Особенно если появятся аналоги ChatGPT заточенные на создание вредоносного софта, а ждать думаю этого момента осталось не долго.
Как известно защитные средства заточены на сигнатурный анализ, не важно детект это по поведению, детект по сигнатурам, детект в облаке.
Всё это так или иначе правила...)
До сех-пор вирусописатели делали скрытие кода, не меняя исходники программы, ну например шифрование кода, запуски в памяти и т.д.
Такие вирусы стали детектиться очень быстро, поэтому собственно и эпидемий нет...)
А теперь представим, что появится вирус, который действительно будет мутировать, программа будет усложняться в каждой эволюции, задетектить это существующими правилами...
Информация Фантастические руткиты: И где их найти (часть 1)
Введение
В этой серии блогов мы рассмотрим тему руткитов - как они создаются, а также основы анализа драйверов ядра - в частности, на платформе Windows.
В этой первой части мы рассмотрим примеры реализации базовой функциональности руткитов, основы разработки драйверов ядра, а также основы Windows Internals, необходимые для понимания внутренней работы руткитов.
В следующей части мы остановимся на некоторых "наглядных" примерах руткитов и их анализе, на том, каково их назначение и как работает их функциональность.
Что такое руткит? Руткит - это тип вредоносного ПО, которое ускользает от обнаружения путем вмешательства в работу ОС и прячется глубоко внутри нее, как правило, в пространстве ядра. Термин "rootkit" заимствован из терминологии Unix, где "root" - это самый привилегированный пользователь в системе.
Такие примеры, как...
Информация Халява за помощь в раскрутке ресурса
Всем привет!
На форуме маленькая активность, вероятно потому-что мало кто знает про форум.
Для раскрутки предлагаю тем-кто ведёт какой-то блог по информационной безопасности, IT, или схожий форум разместить ссылку на форум.
Также возможен вариант, если вы просто пользователь какого-то сайта, но есть возможность не прибегая к спаму разместить ссылку...)
Разумеется не бесплатно, в общем за хорошие ссылки и если у вас есть возможно написать обзор про форум плачу 500 - 1000 рублей за ссылку.
В зависимости от сайта.)
Но сразу хочу сказать, что цель этого всего привлечения живых посетителей сюда, т.е. не интересны ссылки с сайтов, на которые никто не заходит, или в местах где они не видны вообще.
Если вам интересно, пишите мне в личку, выкладывайте в личку сайты на которые можете разместить, если они подходят, я оплачиваю, вы размещаете...)
Ещё-раз условия:
1)Сайты/блоги/каналы и т.д. айти или схожей...
На заметку Зачем нужен typeof в Си ?
Интересно было зачем нужен этот typeof, как-то не разу не использовал.)
Вот что ответил ИИ, рекомендую почитать, кто кодить в Си.
На самом деле не плохая штука.)
Ключевое слово typeof в языке программирования C используется для определения типа данных переменной или выражения. Оно особенно полезно в следующих случаях:
- Обобщенное программирование: Позволяет писать код, который может работать с различными типами данных, не зная их заранее. Это удобно, например, при написании макросов или функций, работающих с различными типами данных.
- Безопасность типов: Помогает обеспечить, что операции выполняются с переменными правильных типов, что предотвращает ошибки, связанные с неправильным использованием типов данных.
- Упрощение кода: Используя typeof, можно избегать повторения длинных или сложных имен типов, что делает код более читаемым и легким для поддержки.
- Адаптивность кода: При изменении типа...
Информация [PDF] Азиатские АРТ-группировки. Тактики, техники и процедуры
5 историй, которые легли в основу 370 страниц отчета. Материал можно рассматривать как библиотеку знаний об основных подходах, используемых азиатскими APT-группировками при взломе какой-либо инфраструктуры. Отчет также содержит подробную информацию о тактиках, техниках и процедурах (TTPs) злоумышленника, основанную на методологии MITRE ATT&CK.
Источник: "Лаборатория Касперского"
Ссылка на чтиво:
Уроки Обход AMSI при помощи хардварных точек останова
AMSI (Antimalware Scan Interface) — это интерфейс, предоставляемый Microsoft, который позволяет приложениям и службам отправлять данные на сканирование антивирусными решениями, установленными на системе. С AMSI разработчики могут лучше интегрироваться с антивирусными решениями и обеспечивать более высокий уровень безопасности для своих пользователей.
Обход AMSI с использованием хардверных брейкпоинтов:
Хардверные точки останова — это механизм, который позволяет отладчикам "останавливать" выполнение программы при обращении к определенной области памяти. Это может быть полезно при исследовании, как программа или система взаимодействует с конкретными данными.
В этой статье давайте попробуем перехватить функцию AmsiScanBuffer и изменить в обработчике исключения входные данные в эту функцию, тем самым в антивирусные системы будут попадать не вредоносный код для сканирования, а мусор.)...
Новость Вредоносная реклама Notepad++ в Google
Специалисты
обнаружили в Google новую кампанию по распространению вредоносной рекламы. Кампания была нацелена на пользователей, желающих загрузить текстовый редактор Notepad++, и оставалась незамеченной несколько месяцев.
Исследователям не удалось получить итоговую полезную нагрузку, но в Malwarebytes считают, что это был Cobalt Strike, который предшествовал развертыванию вымогательского ПО.
В рекламе злоумышленники продвигали URL-адреса, которые явно не были связаны с Notepad++, но использовали вводящие в заблуждение заголовки в своих объявлениях. Так как заголовки намного крупнее и более заметны, чем URL-адреса, многие люди, скорее всего, не замечали подвоха.
Если жертва кликала по любому из объявлений мошенников, срабатывал редирект, который проверял...
Исследователям не удалось получить итоговую полезную нагрузку, но в Malwarebytes считают, что это был Cobalt Strike, который предшествовал развертыванию вымогательского ПО.
В рекламе злоумышленники продвигали URL-адреса, которые явно не были связаны с Notepad++, но использовали вводящие в заблуждение заголовки в своих объявлениях. Так как заголовки намного крупнее и более заметны, чем URL-адреса, многие люди, скорее всего, не замечали подвоха.
Если жертва кликала по любому из объявлений мошенников, срабатывал редирект, который проверял...
Эксклюзив Картинки от ChatGPT
Всем привет!
ИИ научился создавать и обрабатывать картинки, пока это в бета версии openAI, но прикольно...
ИИ научился создавать и обрабатывать картинки, пока это в бета версии openAI, но прикольно...
Эксклюзив RUSFERA RUST DMA
Всем привет!
На повестке дня 2 хорошие новости.
1: Наш форум занимает 4 и 3 места в гугл и яндекс по запросу DMA чит.
2: В честь этого, я решил в тестовом режиме выпустить релиз своего чита, тк многие спрашивали меня про это.
Цены в месяц на данный момент: 500р в месяц (цена намного ниже рынка, по той причине, что чит работает в тестовом режиме и иногда ведет себя нестабильно).
По вопросам пишите в личные сообщения форума (отвечаю исключительно там).
Покупателям будет выдана уникальная роль (пока я её не придумал, но она будет
).
Половина средств от меня уйдет на развитие и поддержку форума.
Информация о банах:
На данный момент чит полностью Undetected, по скольку использует только external функции.
DMA КАРТУ ВЫ ДОКУПАЕТЕ ОТДЕЛЬНО, Я ПРОДАЮ ТОЛЬКО СОФТ!!!!!
Функционал:
На повестке дня 2 хорошие новости.
1: Наш форум занимает 4 и 3 места в гугл и яндекс по запросу DMA чит.
2: В честь этого, я решил в тестовом режиме выпустить релиз своего чита, тк многие спрашивали меня про это.
Цены в месяц на данный момент: 500р в месяц (цена намного ниже рынка, по той причине, что чит работает в тестовом режиме и иногда ведет себя нестабильно).
По вопросам пишите в личные сообщения форума (отвечаю исключительно там).
Покупателям будет выдана уникальная роль (пока я её не придумал, но она будет
).Половина средств от меня уйдет на развитие и поддержку форума.
Информация о банах:
На данный момент чит полностью Undetected, по скольку использует только external функции.
DMA КАРТУ ВЫ ДОКУПАЕТЕ ОТДЕЛЬНО, Я ПРОДАЮ ТОЛЬКО СОФТ!!!!!
Функционал:
Создание DMA чита для игры RUST. Часть 2.
Гайд по геймхакингу: Добавление флагов в Culling ESP
Приветствую, форумчане!
В этой статье, мы рассмотрим, как добавить флаги в Culling ESP, чтобы убрать излишние элементы и оставить только игроков и ботов.
Основные шаги:
Код на C++:
Приветствую, форумчане!
В этой статье, мы рассмотрим, как добавить флаги в Culling ESP, чтобы убрать излишние элементы и оставить только игроков и ботов.
Основные шаги:
- Основные шаги:
- Получить OcclusionCulling_Typeinfo
- Получить staticfields
- Получить OcclusionCulling instance
- Получить DebugSettings
- Включить Culling ESP
- Прописать слои
Код на C++:
C++:
if (globals::PlayerESP)
{
uint64_t occlusionCulling = threads::read<uint64_t>(globals::game_assembly + 54013888); //OcclusionCulling_Typeinfo > scripts.json
uint64_t otherCulling = threads::read<uint64_t>(occlusionCulling + 0xb8);
uintptr_t singletonPointer =...Inception #7
Скачать можно тут: