Исследование защиты

Малварь как искусство Фреймворк для тестирования антивирусов

  • 3 065
  • 12
1701614939222.png


Всем привет!

Изначально какой-то такой проект хотел выложить на конкурс проектов xss.is.

Но потом подумал, что все ожидают что-то, что можно использовать в комерсе, а тут просто исследование, но тем не менее может-быть интересно всем.)

Итак, основная цель любого вредоносного кода, это скрытие своих действий что-бы избежать детект.

Давайте подумаем что вирусописатель может сейчас сделать в ограниченной среде (Usermode), не будем брать в расчет эксплуатацию уязвимостей и возможность запуска например своих вредоносных драйверов, руткитов и т.д.

Мы в юзермоде и вырваться не можем от туда, в данной статье рассматривается такая среда.

Итак что мы можем сделать в своём зверьке ?


1)Скрытие от статического анализа:

Ну тут самое первое что можно сделать, скрыть все возможно подозрительные API винды, который использует зверёк.
Как варианты, это отключение CRT, хеширование функций и вызов их по хешу, хеширование...

Информация Особенности малвари в Андроид 13-14

  • 105
  • 0
1718476037727.png


Вообще я тут создал тему:На заметку - «Настройки с ограниченным доступом» в Android 13 и 14

Но решил раскрыть тему настроек, вообще сама по себе система Андроид хорошо защищена, но важно соблюдать так-сказать "Гигиену" и не давать приложением критичные права, а также не включать лишнее, например отладку по USB, рутовать и т.д.

Думаю это понятно, но давайте разбираться на примерах.

Вообще какие угрозы с вашим мобильником могут быть:

1)Мобилу украли, или потеряли, что тут может-быть - Это конечно утечка данных, особенно если используете банковские приложения, это может-быть очень критично.

Что делать ?

Скажу что современные ОС Андроид 13-14 имеют шифрование всего накопителя, именно поэтому если поставить хороший пароль, кроме биометрии, хотя-бы 12 значный, его уже тяжеловато...

На заметку «Настройки с ограниченным доступом» в Android 13 и 14

  • 168
  • 4
1718455789522.png


В операционной системе Android с каждой новой версией появляются дополнительные механизмы для защиты пользователей от вредоносного программного обеспечения. Например, в Android 13 такой новинкой стали «Настройки с ограниченным доступом». В этом посте мы поговорим о том, что представляет собой данный механизм, от чего он призван защищать и насколько успешно справляется с этой защитой (спойлер: не очень).

Что такое «Настройки с ограниченным доступом»​

Как работают «Настройки с ограниченным доступом»? Допустим, вы устанавливаете приложение из стороннего источника — то есть загружаете откуда-то APK-файл и запускаете его установку. Предположим, что этому приложению для работы требуется доступ к определенным функциям, которые Google считает особенно опасными (и не зря, но об этом позже). В этом случае приложение попросит вас включить для него нужные функции в настройках операционной системы.

Однако в...

ОБНОВЛЕНИЕ БРУТФОРСЕРА "IPCAMBRUTER v3.4.2.1661" FULL VERSION!

  • 219
  • 1


617 копия.png


IPCAM BRUTER v3.4.2.1661 FULL VERSION !
----------------------------------------------------------------------------------------​
Привет всем! Друзья, представляю вашему вниманию обновление обещанной сборки "IPCamBruter v3.4.2.1661 full" из серии бесплатных!​
Что нового в этой сборке? В данную сборку внесены следующие улучщения:​
1) Устранена проблема с долгой загрузкой IP-адресов после сканирования, теперь адреса грузятся мгновенно, без задержки!​
2) Добавлена возможность сканировать любые порты в (Dahua Terminal) точно так же как и в (Hikvision Terminal).​
3) Добавлена возможность использовать почти все параметры...​

Безопасность WiFi в 2024 году

  • 223
  • 0
1717763491884.png


Перевод:

Вообще я-бы настоятельно рекомендовал прочитать этот цикл статей на хабре:




Введение​

Лучше начать с очевидного: WiFi сети не безопасны. В моем опыте я никогда не сталкивался с сетью, которая не была бы уязвима хотя бы к одной из общедоступных эксплойтов.
В этой статье мы сосредоточимся на выявлении большинства уязвимостей протокола 802.11, которые затрагивают как 2.4GHz, так и 5GHz WiFi сети.

Инструменты, которые мы будем использовать (Необходим также Линукс):​

  • -...

Информация Чит/трейнер своими руками. Хакер. Часть 3

  • 391
  • 1
1716902997380.png


Долгожданная третья часть автора приватных статей с Хакера:



В этой статье я попробую показать, как создать собственный чит, который будет противостоять используемым в играх античит‑системам. Для этого нам понадобится поупражняться в реверсе и познакомиться с устройством игр, написанных на Unity.

АНТИЧИТ​

Итак, античит — это некая программа, которая мешает игрокам в онлайновые игры получать нечестное преимущество за счет использования стороннего ПО. Не буду пытаться объяснить это на абстрактном примере, лучше давай сразу перейдем к практике. По дороге все поймешь...

Малварь как искусство Повышение привилегий через StorSvc (CVE-2024-26238)

  • 348
  • 1
Одна из последний критичных уязвимостей винды:

Предлагаю рассмотреть как можно проэксплуатировать.)

StorSvc — это служба, которая работает от имени NT AUTHORITY\SYSTEM и пытается загрузить отсутствующую библиотеку SprintCSP.dll при вызове локального метода SvcRebootToFlashingMode через RPC.

Описание RPC-метод StorSvc.dll!SvcRebootToFlashingMode вызывает StorSvc.dll!InitResetPhone, который также вызывает StorSvc.dll!ResetPhoneWorkerCallback, пытающийся загрузить SprintCSP.dll, как показано на изображении ниже:

1716734936416.png

Поскольку эта DLL отсутствует, она загружается в соответствии с порядком поиска DLL, и мы можем воспользоваться этим поведением, поместив вредоносную DLL в папку, доступную для записи, которая...

Малварь как искусство MutationGate - Новый подход работы с сисколами

  • 371
  • 0
1716538434687.png


Перевод:

Мотивация​

Учитывая, что встроенные хуки являются основным методом обнаружения, используемым продуктами EDR, обход их является для меня интересной темой.

Что касается обхода встроенных хуков, установленных EDR, уже существует довольно много доступных подходов. Хотя некоторые из ранних подходов очень легко обнаруживаются, существуют и несколько зрелых подходов.
Тем не менее, я считаю, что было бы очень интересно найти новый подход к обходу хуков, надеюсь, это принесет некоторые улучшения или преимущества.

Встроенный хук​

Продукты EDR (Endpoint Detection and Response) часто размещают встроенные хуки на NTAPI, которые обычно используются в вредоносном ПО, таких как NtAllocateVirtualMemory, NtUnmapViewOfSection, NtWriteVirtualMemory и других. Это связано с тем, что NTAPI является мостом...

Информация Бабушкин-2024

  • 537
  • 4
1715944124297.png


Ничего не меняется в нашем мире...

Можно долго наблюдать за огнём, водой и тем как "разрабатывают" отечественные антивирусы.Dmeh-Smeh-Smeh!!!

СМИ: разработчики из ПГУ создали антивирус, который использует ИИ и не требует обновлений​


Разработчики из Пензенского государственного университета разработали первый российский антивирус, который основан на машинном обучении и не требует обновлений, сообщили «Известиям» представители вуза.

«В настоящий момент у нас готова версия программы для Windows. Она способна определять такой вредоносный софт, как троянские вирусы (которые проникают в ПК под видом легитимного ПО), руткиты (софт, собирающий персональные данные) и ПО, незаконно использующее ресурсы компьютера», — сообщил лидер проекта Даниил Мишин.

Главное отличие разработки от существующих продуктов в том, что антивирус устанавливается на компьютер и не требует наличия постоянного подключения к...

Малварь как искусство Атаки с использованием планировщика заданий в среде Windows

  • 537
  • 3
1715870339219.png


Перевод:

Планировщик задач является одной из самых популярных техник атак, используемых злоумышленниками для установления постоянного присутствия на компьютере жертвы. Исследовательская команда Qualys изучила различные способы, которые могут использоваться злоумышленниками для сокрытия запланированных задач.

В этой статье мы описываем три новых метода скрытия и удаления запланированных задач в среде Microsoft Windows.

Злоумышленники часто используют функциональность планировщика задач в среде Microsoft Windows, чтобы облегчить начальное или регулярное выполнение вредоносного кода при запуске системы или по расписанию для сохранения присутствия.

Недавно исследователи безопасности Microsoft...

Малварь как искусство MemoryModule - Загрузка DLL из ОЗУ

  • 468
  • 2
1715586834252.png


Всем привет!

Когда-то давно писал свой загрузчик DLL, но сейчас на гитхабе наткнулся на более взрослый загрузчик:

Для чего это может-быть нужно:

Стандартные функции Windows API для загрузки внешних библиотек в программу (LoadLibrary, LoadLibraryEx) работают только с файлами на файловой системе. Поэтому невозможно загрузить DLL прямо из памяти.

Но иногда нужно загрузить dll из памяти, вот зачем:

1. Например есть у вас какая-то модульная архитектура, к примеру какой-то ботнет с различным функционалом, вот поставляться-же сам ботнет может просто загрузчиком, а в зависимости от задания на управляющим сервере, качать нужную зашифрованную DLL и запускать её в памяти.

2. Таким образом можно делать криптования длл.

Вот как пользоваться кодом выше, вот...

На заметку Детали реализации CFG в Windows 11

  • 527
  • 0
1715508645356.png


Перевод:

CFG в контексте Windows означает Control Flow Guard. Это функция безопасности, предназначенная для предотвращения атак, основанных на нарушении управления потоком выполнения программы.

Как работает Control Flow Guard:
  • Регистрация допустимых точек вызова: При компиляции программы компилятор анализирует код и создает список всех допустимых точек вызова функций (адресов, по которым допустимо передавать управление). Этот список включается в исполняемые файлы и загружаемые модули.
  • Проверка во время выполнения: Когда программа выполняется, операционная система использует этот список для проверки корректности адресов передачи управления перед их выполнением. Если программа пытается выполнить переход на адрес, который не находится в списке разрешенных точек вызова, CFG блокирует такой вызов и предотвращает возможное выполнение вредоносного...

На заметку BlackhatRussia.com [На сайте закладки, осторожно]

  • 1 196
  • 8
1713087307110.png


Всем привет!

Наткнулся на сайт (Осторожно, там закладки):
Код:
https://blackhatrussia.com/

Там типо можно скачать всякие ратники, крипторы и прочие хакерские утилиты.

Предлагает скачать самораспоковывающийся архив, а при распаковки запускакется exe файл, так-что осторожно.)

Программа ОБНОВЛЕНИЕ БРУТФОРСЕРА IPCAMBRUTER v3.4.2

  • 6 155
  • 69
44444.png


ОБНОВЛЕНИЕ IPCAMBRUTER V3.4.2 2024!

В ДАННУЮ СБОРКУ ВКЛЮЧЕНЫ СЛЕДУЮЩИЕ ИЗМЕНЕНИЯ:

1 ). Снято ограничение на использование мин-кол ip-адресов, в предыдущей сборке, нельзя было использовать минимальное количество IP, ниже чем 60- IP !
2 ). Максимально снижена нагрузка на процессор, так же снижено потребление памяти.
3 ). В предыдущей версии, при работе с терминалом, был баг, результаты грузились сразу в оба брутфорсера, ошибка исправлена!
4 ). Улучшена работа с терминалом, налажен генератор рандомных IP диапазонов, теперь генерирует более актуальные IP
5 ). Также улучшено сканирование портов в сканере « Masscan GUI » теперь сканер работает более шустро!
6 ). Для брута (IP камер Hikvision) добавлен новый, дополнительный порт "8200" !
7 ). Для бруфорсера (IP камер Hikvision) в терминал добавлена возможность исользовать параметры в командах,
8 ). На панель (терминала Hikvision)...

Новость Бэкдор в OpenSource для доступа к SSH

  • 929
  • 0
1711978886347.png


Уязвимость в xz Utils была построена по схеме supply chain attack, атака на цепочку поставок. Для её реализации злоумышленнику (или их группе) пришлось два года втираться в доверие к сообществу открытого программного обеспечения, чтобы получить права мейнтейнера и внедрить нужный код. Бэкдор обнаружила не лаборатория безопасности в результате тщательного анализа, а разработчик, который замедление работы компьютера.

Пакет — набор утилит для сжатия данных для Unix-подобных операционных систем и, начиная с пятой ветки, Microsoft Windows. Разработку ведёт коллектив Tukaani Project.

Утилита известна. Одни из наиболее популярных дистрибутивов Linux — Debian и Ubuntu, Fedora, Slackware, Arch Linux — использовали или до сих пор включают в себя xz Utils.

Однако это не значит, что разработка xz Utils...

Малварь как искусство О том как использовать украденные cookie

  • 1 104
  • 0
1709489385907.png


Всем привет!

Часто в стиллерах есть такой функционалл, как кража истории браузера и cookie.
Про это мало где написанно, но в ряде случаев если завладеть cookie, то можно входить на сайты жертвы, без использования паролей.
Это связанно с тем, что многие сайты для авторизации используют сессию, это некий случайный набор данных, который генерируется после корректной авториции и хранится как-раз в cookie.
Эту сессию как правило либо перегенерировают раз в месяц, либо вообще она используется постоянно.)

Ну тут зависит всё от сайта, например банковские системы дополнительно привязывают сессию к айпи-адресу пользователя и сама сессия валидна минут 10-15.
Но многие сайты не делают никаких проверок и как правило угон сессии = угону аккаунта.)

Интересно, на сколько сложно импортировать чужой cookie себе в браузер ?
А сделать это не сложно, вот...

Импорт cookie в браузер или в другое приложение для...

На заметку Mangle - Тулза для обхода антивирусов

  • 1 441
  • 0
1708702621492.png


Mangle - это инструмент, который манипулирует аспектами скомпилированных исполняемых файлов (.exe или DLL). Mangle может удалять известные строки, свидетельствующие о компрометации (IoC), и заменять их случайными символами, изменять файл, увеличивая его размер, чтобы избежать обнаружения EDR, а также может клонировать сертификаты кодирования подписи из подлинных файлов.

Таким образом, Mangle помогает обходить антивирусные сканеры на диске и в памяти.

Код:
./mangle -h

       _____                        .__
      /     \ _____    ____    ____ |  |   ____
     /  \ /  \\__  \  /    \  / ___\|  | _/ __ \
    /    Y    \/ __ \|   |  \/ /_/  >  |_\  ___/
    \____|__  (____  /___|  /\___  /|____/\___  >
        \/     \/     \//_____/         \/
                    (@Tyl0us)

Использование ./Mangle:
  -C string
        Путь к файлу, содержащему сертификат, который вы хотите клонировать
  -I string
        Путь к...

Информация d3ranged blog

  • 1 162
  • 2
1708325325006.png


Всем привет!

Раньше был блог vxlab, но потом автор удалил блог, я был немного расстроен, т.к. у автора было много статей интересных.

Но вчера обнаружил, что автор создал новый блог вот:

В частности поддерживает прикольную утилиту для чистки вирусов:

В общем кому интересно рекомендую.)))

Малварь как искусство Опять обходим антивирусы и EDR

  • 928
  • 0
1707738979550.png


В качестве продолжения этих статей:



Оригинал:

Для нашей ежегодной внутренней хакерской конференции, которую мы назвали SenseCon в 2023 году, я решил изучить взаимодействие между драйвером Windows и его процессом в пользовательском режиме.

Вот некоторые подробности об этом путешествии:

Атакующие могут использовать примитив эксплойта чтения/записи ядра Windows, чтобы избежать взаимодействия между EDR_Driver.sys и его EDR_process.exe. В результате некоторые механизмы обнаружения EDR будут отключены, что сделает его...

Малварь как искусство Уклоняемся от поведенческого детекта антивируса и EDR

  • 964
  • 0
1707574181719.png


Всем привет!

В этой статье была рассмотрена как архитектурно может работать EDR:Малварь как искусство - Архитектура антивирусов и EDR - систем
Рекомендую прочитать вначале статью выше.

В продолжение давайте поисследуем как можно обойти детект связанный с поведением на конкретном устройстве:

Вообще тут существуют два варианта обхода:

1)Использовать антихуки в своём приложении, этот метод относительно простой и описан уже здесь:Уроки - Разработка вирусов-32.Открываем врата ада
Или вот ещё проект:Малварь как искусство - Фреймворк для тестирования антивирусов

Но данный метод не позволяет 100% обойти защиту, т.к. многие AV используют коллбэки и...

Последние сообщения

Верх Низ