-
Обратная связь: [email protected]
Наш канал в telegram: https://t.me/ru_sfera
Группа VK: https://vk.com/rusfera
Пользователи могут писать на форуме ТОЛЬКО ЧЕРЕЗ 7 ДНЕЙ после регистрации
Ру-Сфера: Исследование защиты и обсуждение IT-безопасности
Малварь как искусство Атаки с использованием планировщика заданий в среде Windows
Перевод:
Планировщик задач является одной из самых популярных техник атак, используемых злоумышленниками для установления постоянного присутствия на компьютере жертвы. Исследовательская команда Qualys изучила различные способы, которые могут использоваться злоумышленниками для сокрытия запланированных задач.
В этой статье мы описываем три новых метода скрытия и удаления запланированных задач в среде Microsoft Windows.
Злоумышленники часто используют функциональность планировщика задач в среде Microsoft Windows, чтобы облегчить начальное или регулярное выполнение вредоносного кода при запуске системы или по расписанию для сохранения присутствия.
Недавно исследователи безопасности Microsoft...
Малварь как искусство MemoryModule - Загрузка DLL из ОЗУ
Всем привет!
Когда-то давно писал свой загрузчик DLL, но сейчас на гитхабе наткнулся на более взрослый загрузчик:
Для чего это может-быть нужно:
Стандартные функции Windows API для загрузки внешних библиотек в программу (LoadLibrary, LoadLibraryEx) работают только с файлами на файловой системе. Поэтому невозможно загрузить DLL прямо из памяти.
Но иногда нужно загрузить dll из памяти, вот зачем:
1. Например есть у вас какая-то модульная архитектура, к примеру какой-то ботнет с различным функционалом, вот поставляться-же сам ботнет может просто загрузчиком, а в зависимости от задания на управляющим сервере, качать нужную зашифрованную DLL и запускать её в памяти.
2. Таким образом можно делать криптования длл.
Вот как пользоваться кодом выше, вот...
Информация Невероятная уязвимость в Chrome
Google экстренно выпустил очередное обновление безопасности для своего браузера Chrome.
Причиной стало обнаружение критической уязвимости с активной эксплуатацией в реальных атаках.
Уязвимость получила идентификатор CVE-2024-4671 и классифицируется как ошибка использования памяти после освобождения (use-after-free) в компоненте, ответственном за визуализацию веб-контента.
Эта опасная уязвимость позволяет злоумышленникам выполнять произвольный код в контексте браузера и полностью скомпрометировать систему.
Сведения об уязвимости были переданы в Google анонимным экспертом по кибербезопасности 7 мая 2024 года. Пользователям срочно рекомендуется обновить Chrome до версии 124.0.6367.201/.202 для Windows и macOS и до версии 124.0.6367.201 для Linux.
Google подтвердил существование эксплойта для этой уязвимости, но не раскрыл детали его использования в атаках или информацию о злоумышленниках.
С начала года компания уже...
На заметку Детали реализации CFG в Windows 11
Перевод:
CFG в контексте Windows означает Control Flow Guard. Это функция безопасности, предназначенная для предотвращения атак, основанных на нарушении управления потоком выполнения программы.
Как работает Control Flow Guard:
- Регистрация допустимых точек вызова: При компиляции программы компилятор анализирует код и создает список всех допустимых точек вызова функций (адресов, по которым допустимо передавать управление). Этот список включается в исполняемые файлы и загружаемые модули.
- Проверка во время выполнения: Когда программа выполняется, операционная система использует этот список для проверки корректности адресов передачи управления перед их выполнением. Если программа пытается выполнить переход на адрес, который не находится в списке разрешенных точек вызова, CFG блокирует такой вызов и предотвращает возможное выполнение вредоносного...
Информация Бесплатный премиум чит на любую игру
Аналитики обнаружили нового вредоноса, связанного с инфостилером Redline, который маскируется под демо-версии читерского софта. Интересно, что авторы малвари предлагают пользователям полную бесплатную копию этого «читерского ПО», если те сумеют убедить своих друзей тоже установить его (на самом деле, распространяя малварь).
Исследователи рассказывают, что новый инфостилер использует байт-код Lua, чтобы избежать обнаружения, что позволяет ему внедряться в легитимные процессы, а также использовать преимущества JIT-компиляции.
Эксперты связывают этот стилер с Redline, поскольку он использует управляющий сервер, который ранее ассоциировали с этим вредоносом. Однако издание , отмечает...
Информация О том как можно угнать аккаунт в Telegram
Специалисты центра мониторинга внешних цифровых угроз Solar AURA из ГК «Солар» крупную сеть, состоящую более чем из 300 сайтов с изображениями и мемами, созданную для кражи аккаунтов в Telegram. На картинку с такого сайта можно было легко «наткнуться» в поисковой выдаче, а дальнейший переход по ней был чреват потерей аккаунта.
По данным исследователей, сеть появилась в декабре 2023 года и состоит из однотипных сайтов с сотнями тысяч изображений и описаний к ним. Изображения здесь объединены по тематикам. Так, удалось обнаружить сайты, посвященные аниме, фанфикам, мемам, корейским сериалам, порнографии и даже пицце.
Отмечается, что мошенники уделяют значительное внимание вопросам поисковой оптимизации. То есть вероятность наткнуться на один из таких вредоносных сайтов весьма высока, особенно, если...
На заметку BlackhatRussia.com [На сайте закладки, осторожно]
Всем привет!
Наткнулся на сайт (Осторожно, там закладки):
Код:
https://blackhatrussia.com/Там типо можно скачать всякие ратники, крипторы и прочие хакерские утилиты.
Предлагает скачать самораспоковывающийся архив, а при распаковки запускакется exe файл, так-что осторожно.)
Новость Бэкдор в OpenSource для доступа к SSH
Уязвимость в xz Utils была построена по схеме supply chain attack, атака на цепочку поставок. Для её реализации злоумышленнику (или их группе) пришлось два года втираться в доверие к сообществу открытого программного обеспечения, чтобы получить права мейнтейнера и внедрить нужный код. Бэкдор обнаружила не лаборатория безопасности в результате тщательного анализа, а разработчик, который замедление работы компьютера.
Пакет — набор утилит для сжатия данных для Unix-подобных операционных систем и, начиная с пятой ветки, Microsoft Windows. Разработку ведёт коллектив Tukaani Project.
Утилита известна. Одни из наиболее популярных дистрибутивов Linux — Debian и Ubuntu, Fedora, Slackware, Arch Linux — использовали или до сих пор включают в себя xz Utils.
Однако это не значит, что разработка xz Utils...
Уроки Создаем свой сайт/блог на github
Вообще мало кто знает, но на github можно создавать свои сайты, для этого выделен домен username.github.io.)
Чем это удобно:
1. Вам не нужно платить за сервера.
2. Выделяется достаточно не плохие мощности для сайта (Место и т.д.).
3. Ну и в целом для блогов очень удобно.
Из минусов, что сайты должны-быть статические и немножко нужно поизучать как это делать.
Вот небольшой мануальчик, как легко создать такой бложек, в Линукс и в винде, на выбор.)
Итак:
Создание своей странички (или сайта) на GitHub происходит через GitHub Pages, сервис, который позволяет размещать статические сайты прямо из вашего репозитория на GitHub. Вот простой способ, как это сделать:
1. Создайте новый репозиторий на GitHub
- Перейдите на главную страницу GitHub и войдите в свой аккаунт.
- Нажмите на "+" в правом верхнем углу и выберите "New repository".
- Дайте название вашему репозиторию. Если вы хотите создать...
Защищенные области памяти
Всем привет, в этой статье было такое упоминание, как "Защищенные указатели", или что-то таке...
Мне стало интересно почитать, что это такое.
Вот что раскопал:
Что такое защищенные регионы?
Защищенные регионы — это, по сути, указатели, которые указывают на адрес, который не действителен. Чаще всего адрес начинается с 0x800000 и т.д. Однако игра их считывает, и они получают действительные результаты. Как, вы можете спросить? Дело в том, что stub.dll регистрирует обработчик исключений, который перенаправляет охраняемый указатель на реальный указатель после успешного выполнения нескольких проверок. И чтобы выполнить все проверки, мы собираемся найти заглушку, которую мы собираемся использовать для чтения адреса, который мы хотим прочитать.
Какие указатели используют защищенные регионы в играх ? Вот некоторые из них...
На заметку Удаленное выполнение кода при помощи DMA
Перевод оригинала:
При использовании устройства DMA атакующий ограничен чтением и записью памяти, и в большинстве случаев этого достаточно. Однако существуют обстоятельства, когда чтение и запись памяти не позволяют достичь желаемого.
Например:
Если мы хотим отправить сетевое сообщение в играх, использующих защищенные указатели, например, в Valorant. ( ) В таких ситуациях карта DMA кажется почти бесполезной. Нам нужен способ выполнить код на машине жертвы и получить результат этого кода.
Для достижения этого я придумал решение, которое сочетает в себе использование неиспользуемых секций .text и .data вместе с простым хуком на функцию, вызываемую каждый кадр/тик.
Давайте рассмотрим требования моего взлома. Сначала...
На заметку О том как беспалевно спамить на форумах и блогах
Всем привет!
Обнаружил интересный метод спама:
Вот тут на форуме, как и на других форумах, например на васме, персонаж создавал отвелеченные темы, например "Подскажите фильмы 90" и т.д.
Всё это хорошо, но если форум позволяет редактировать темы, то тема через какое-то время превращается в "Бездепы казино".
Вот как это происходит тут:Бездепы в казино
Или например та-же тема на васме:
Хе, круто придумано, так-то мало кто поймет что к чему.
На заметку О том почему Линус Торвальдс обосрал С++
Линус Торвальдс признается, что ненавидит C++, а программистов на этом языке он оскорбляет. Разбираемся, в чем заключается причина ненависти.
В 2007 году пользователь Дмитрий Какурин написал письмо Линусу Торвальдсу, в котором спросил программиста, почему тот использует чистый Си вместо того, чтобы написать все на C++. Само использование чистого Си Дмитрий Какурин назвал емким словом bullshit.
В ответ Линус Торвальдс поделился своим мнением: bullshit — это сам Какурин, C++ — это ужасный язык, на котором кодеры генерируют, мягко говоря, «нечистоты», а программистов C++ вовсе не стоит допускать до Linux.
После откровенных оскорблений Торвальдс перешел к аргументам.
Однако на деле, по...
В 2007 году пользователь Дмитрий Какурин написал письмо Линусу Торвальдсу, в котором спросил программиста, почему тот использует чистый Си вместо того, чтобы написать все на C++. Само использование чистого Си Дмитрий Какурин назвал емким словом bullshit.
В ответ Линус Торвальдс поделился своим мнением: bullshit — это сам Какурин, C++ — это ужасный язык, на котором кодеры генерируют, мягко говоря, «нечистоты», а программистов C++ вовсе не стоит допускать до Linux.
После откровенных оскорблений Торвальдс перешел к аргументам.
Позиция Линуса Торвальдса относительно C++
В первую очередь, Линус говорит, что использование C++ неизменно приводит программиста к плохим решениям вроде использования библиотек STL или Boost, которые считаются прекрасными.Однако на деле, по...
Малварь как искусство О том как использовать украденные cookie
Всем привет!
Часто в стиллерах есть такой функционалл, как кража истории браузера и cookie.
Про это мало где написанно, но в ряде случаев если завладеть cookie, то можно входить на сайты жертвы, без использования паролей.
Это связанно с тем, что многие сайты для авторизации используют сессию, это некий случайный набор данных, который генерируется после корректной авториции и хранится как-раз в cookie.
Эту сессию как правило либо перегенерировают раз в месяц, либо вообще она используется постоянно.)
Ну тут зависит всё от сайта, например банковские системы дополнительно привязывают сессию к айпи-адресу пользователя и сама сессия валидна минут 10-15.
Но многие сайты не делают никаких проверок и как правило угон сессии = угону аккаунта.)
Интересно, на сколько сложно импортировать чужой cookie себе в браузер ?
А сделать это не сложно, вот...
Импорт cookie в браузер или в другое приложение для...
На заметку Mangle - Тулза для обхода антивирусов
Mangle - это инструмент, который манипулирует аспектами скомпилированных исполняемых файлов (.exe или DLL). Mangle может удалять известные строки, свидетельствующие о компрометации (IoC), и заменять их случайными символами, изменять файл, увеличивая его размер, чтобы избежать обнаружения EDR, а также может клонировать сертификаты кодирования подписи из подлинных файлов.
Таким образом, Mangle помогает обходить антивирусные сканеры на диске и в памяти.
Код:
./mangle -h
_____ .__
/ \ _____ ____ ____ | | ____
/ \ / \\__ \ / \ / ___\| | _/ __ \
/ Y \/ __ \| | \/ /_/ > |_\ ___/
\____|__ (____ /___| /\___ /|____/\___ >
\/ \/ \//_____/ \/
(@Tyl0us)
Использование ./Mangle:
-C string
Путь к файлу, содержащему сертификат, который вы хотите клонировать
-I string
Путь к...Информация d3ranged blog
Всем привет!
Раньше был блог vxlab, но потом автор удалил блог, я был немного расстроен, т.к. у автора было много статей интересных.
Но вчера обнаружил, что автор создал новый блог вот:
В частности поддерживает прикольную утилиту для чистки вирусов:
В общем кому интересно рекомендую.)))
Малварь как искусство Опять обходим антивирусы и EDR
В качестве продолжения этих статей:
Малварь как искусство - Архитектура антивирусов и EDR - систем
Перевод статьи:SensePost | Sensecon 23: from windows drivers to an almost fully working edr Кратко: Я хотел лучше понять EDR (Endpoint Detection and Response), поэтому создал фиктивное EDR (dummy EDR) и расскажу об этом здесь. EDR (Endpoint Detection and Response) - это вид продукта...
Малварь как искусство - Уклоняемся от поведенческого детекта антивируса и EDR
Всем привет! В этой статье была рассмотрена как архитектурно может работать EDR:Малварь как искусство - Архитектура антивирусов и EDR - систем Рекомендую прочитать вначале статью выше. В продолжение давайте поисследуем как можно обойти детект связанный с поведением на конкретном устройстве...
Оригинал:
Для нашей ежегодной внутренней хакерской конференции, которую мы назвали SenseCon в 2023 году, я решил изучить взаимодействие между драйвером Windows и его процессом в пользовательском режиме.
Вот некоторые подробности об этом путешествии:
Атакующие могут использовать примитив эксплойта чтения/записи ядра Windows, чтобы избежать взаимодействия между EDR_Driver.sys и его EDR_process.exe. В результате некоторые механизмы обнаружения EDR будут отключены, что сделает его...
Малварь как искусство Уклоняемся от поведенческого детекта антивируса и EDR
Всем привет!
В этой статье была рассмотрена как архитектурно может работать EDR:Малварь как искусство - Архитектура антивирусов и EDR - систем
Рекомендую прочитать вначале статью выше.
В продолжение давайте поисследуем как можно обойти детект связанный с поведением на конкретном устройстве:
Вообще тут существуют два варианта обхода:
1)Использовать антихуки в своём приложении, этот метод относительно простой и описан уже здесь:Уроки - Разработка вирусов-32.Открываем врата ада
Или вот ещё проект:Малварь как искусство - Фреймворк для тестирования антивирусов
Но данный метод не позволяет 100% обойти защиту, т.к. многие AV используют коллбэки и...
На заметку История одного стилера под Линукс
Источник:
В ходе расследования одного инцидента был обнаружен целый кластер вредоносной активности, нацеленный на операционную систему Linux, который оставался незамеченным как минимум с 2020 года. Дальнейший анализ показал, что вредоносное программное обеспечение выдавало себя за очень популярный мультиплатформенный менеджер загрузок.
Наше исследование началось с того, что мы получили образ диска и дамп памяти одного ноутбука на операционной системе Linux. Предполагалось, что этот ноутбук был скомпрометирован. Нашей задачей было опровергнуть это или, наоборот, доказать, поняв, что там вообще произошло.
Чтобы начать работать, мы составили супертаймлайн, который содержал данные о файловой системе машины — когда и какие файлы создавались или модифицировались, какие использовались источники...
Как определить пользователя за прокси и VPN
Интересное объяснение, также в видяшке приведен чекер:
Поиск по форуму
Последние сообщения
-
-
-
-
-
-
-
Программа Атака методом перебора на IP-камеры!
- Последнее: Robertkal3
-