Ру-Сфера: Исследование защиты и обсуждение IT-безопасности

Основной чат
Помощь Пользователи
  • Никто не разговаривает в данный момент.
  • yum @ yum:
    форум мало популярный. я в основном читаю статьи переведенные тобой или читаю в источнике. ну или просто спрашиваю на форуме
    +1
  • X-Shar @ X-Shar:
    Удалил штук 100 пользователей, которые зарегились за последние 2 недели.
    Связанно это с тем-что, к сожалению предыдущую капчу начал обходить хрумер и кто-то натравил эту спам-программу на форум.
    Капчу поменял, если я кого-то удалил случайно, просто зарегистрируйтесь ещё-раз, все удаленные посетители с 0 сообщением и определенными спам-признаками.)
  • pon @ pon:
    всем ку
  • pon @ pon:
    какой антивирус посоветуете?
  • X-Shar @ X-Shar:
    @pon, если в РФ, то kaspersky Plus, это аналог kis.
  • X-Shar @ X-Shar:
    Либо виндовый оставь.
  • pon @ pon:
    @X-Shar они не видят ничего, кроме палевных троянов и майнеров Мне от червей нужна защита. Malwarebytes не справляется со своей задачей.
  • X-Shar @ X-Shar:
    @pon, Касперский отлично защищает, но он платный, а ключей в сети нет, только если лицензию покупать.)
  • X-Shar @ X-Shar:
    Если лицензию брать, то рекомендую kaspersky plus.
  • X-Shar @ X-Shar:
    Там еще менеджер паролей с ним идет, рекомендую, что-бы в браузере не хранить.
  • X-Shar @ X-Shar:
    Кстати червей давно не видел живых в природе.)
  • X-Shar @ X-Shar:
    Основное как-раз таки адварь, майнеры, стиллеры, трояны, ратники.
  • X-Shar @ X-Shar:
    В целом любой платный ав, из популярных даст защиту, тут-уж дело вкуса.
  • X-Shar @ X-Shar:
    Но в РФ из-за санкций, только каспер и др. веб.
  • X-Shar @ X-Shar:
    Др. веб не нравится. Поэтому каспер, все остальные не купить и использовать можно только через прокси, нафиг надо. Уж лучше тогда виндовый оставить.)
  • pon @ pon:
    @X-Shar я ещё давно нашёл в каком-то тг канале ключ на касперский, всё заработало, но червь встроенный в браузер он не видел (а именно START 24), считал этот червь нормальной программой. Скачивая торренты с сайтов невозможно не наткнуться на вредоносные программы
  • pon @ pon:
    Но спасибо за ответ :)
  • X-Shar @ X-Shar:
    @pon, видимо адварь какая-то была, либо очень давно было ?
    Вообще надеятся только на ав нельзя, это устаревшая модель защиты, к тому-же костыльная.)

    Что тут скажешь, не запускай бинарные файлы, смотри расширения.
    Используй виртуальные системы.
  • X-Shar @ X-Shar:
  • pon @ pon:
    @X-Shar спасибо
  • pon @ pon:
    чат молчит(
    Цитата Ссылка
  • E @ eropnoot:
    как узнать пароль
    Цитата Ссылка
  • E @ eropnoot:
    кто поможет как узнать пароль от zip
    Цитата Ссылка
  • E @ eropnoot:
    эй
    Цитата Ссылка
  • E @ eropnoot:
    алё
    Цитата Ссылка

    Малварь как искусство Фреймворк для тестирования антивирусов

    • 1 358
    • 12
    1701614939222.png


    Всем привет!

    Изначально какой-то такой проект хотел выложить на конкурс проектов xss.is.

    Но потом подумал, что все ожидают что-то, что можно использовать в комерсе, а тут просто исследование, но тем не менее может-быть интересно всем.)

    Итак, основная цель любого вредоносного кода, это скрытие своих действий что-бы избежать детект.

    Давайте подумаем что вирусописатель может сейчас сделать в ограниченной среде (Usermode), не будем брать в расчет эксплуатацию уязвимостей и возможность запуска например своих вредоносных драйверов, руткитов и т.д.

    Мы в юзермоде и вырваться не можем от туда, в данной статье рассматривается такая среда.

    Итак что мы можем сделать в своём зверьке ?


    1)Скрытие от статического анализа:

    Ну тут самое первое что можно сделать, скрыть все возможно подозрительные API винды, который использует зверёк.
    Как варианты, это отключение CRT, хеширование функций и вызов их по хешу, хеширование...

    ВАЖНО [КНИГА] Разработка драйверов для Windows

    • 1 281
    • 1
    1697104372490.png


    Всем привет, как-то я переводил эту книгу:Перевод книги Windows Kernel Programming

    Но есть профессиональный перевод, которым хочу поделиться.)

    В этой книге обсуждается множество вопросов, так как тема драйверов режима ядра чрезвычайно обширна. Тем не менее книгу следует рассматривать как вводный учебник в мир драйверов устройств режима ядра.

    Некоторые из тем, которые в книге не рассматривались:
    • Драйверы физических устройств.
    • Сетевые драйверы и фильтры.
    • WFP (Windows Filtering Platform).
    • Более подробная информация о мини-фильтрах файловой системы.
    • Другие общие средства разработки: таблицы хранения данных, AVL-деревья,битовые карты.
    • Типы драйверов для конкретных технологий: HID (Human Interface Device), экран, звуковая карта, Bluetooth, хранение данных…
    ...

    [Книга] Введение в разработку вредоносных программ

    • 1 130
    • 4
    1697051652223.png


    Причина создания этой книги статей по разработки скрытия вредоносных программ от средств защиты.

    Я достаточно долго вёл форум ru-sfera.pw (ru-sfera.org), но в 2021 году решил его удалить, в силу понятных мне причин.

    Но в конце 2022 года решил возобновить работу форума, потом я понял что на форуме есть достаточно много информации по созданию и скрытию вредоносных программ.

    Я задумался, что не плохо-бы создать разделы с актуальным материалом и случайно обнаружил что есть курс maldev.

    Посмотрев этот курс: Малварь как искусство - Курс по MalDev [PDF]

    Который стоит кстати около 300 баксов, понял что 80% описанного там есть на форуме.)

    Да может что-то устарело и что-то тяжело найти, но в целом информация видимо актуальная.

    И я решил позаимствовать от туда темы, где-то сделать обзорный перевод, что-то добавить от себя.

    В итоге появился раздел...

    ВАЖНО Введение в разработку вредоносных программ (Оглавление)

    • 1 146
    • 0
    В этой теме список статей по разработки малвари.

    Т.к. статьи в виде обучающего цикла, решил сделать обновляемую тему со списком всех статей, если вы новичок то рекомендуется читать статьи в том порядке, как они здесь.








    [URL...

    На заметку Mangle - Тулза для обхода антивирусов

    • 173
    • 0
    1708702621492.png


    Mangle - это инструмент, который манипулирует аспектами скомпилированных исполняемых файлов (.exe или DLL). Mangle может удалять известные строки, свидетельствующие о компрометации (IoC), и заменять их случайными символами, изменять файл, увеличивая его размер, чтобы избежать обнаружения EDR, а также может клонировать сертификаты кодирования подписи из подлинных файлов.

    Таким образом, Mangle помогает обходить антивирусные сканеры на диске и в памяти.

    Код:
    ./mangle -h
    
           _____                        .__
          /     \ _____    ____    ____ |  |   ____
         /  \ /  \\__  \  /    \  / ___\|  | _/ __ \
        /    Y    \/ __ \|   |  \/ /_/  >  |_\  ___/
        \____|__  (____  /___|  /\___  /|____/\___  >
            \/     \/     \//_____/         \/
                        (@Tyl0us)
    
    Использование ./Mangle:
      -C string
            Путь к файлу, содержащему сертификат, который вы хотите клонировать
      -I string
            Путь к...

    Информация d3ranged blog

    • 211
    • 0
    1708325325006.png


    Всем привет!

    Раньше был блог vxlab, но потом автор удалил блог, я был немного расстроен, т.к. у автора было много статей интересных.

    Но вчера обнаружил, что автор создал новый блог вот:

    В частности поддерживает прикольную утилиту для чистки вирусов:

    В общем кому интересно рекомендую.)))

    Малварь как искусство Опять обходим антивирусы и EDR

    • 302
    • 0
    1707738979550.png


    В качестве продолжения этих статей:



    Оригинал:

    Для нашей ежегодной внутренней хакерской конференции, которую мы назвали SenseCon в 2023 году, я решил изучить взаимодействие между драйвером Windows и его процессом в пользовательском режиме.

    Вот некоторые подробности об этом путешествии:

    Атакующие могут использовать примитив эксплойта чтения/записи ядра Windows, чтобы избежать взаимодействия между EDR_Driver.sys и его EDR_process.exe. В результате некоторые механизмы обнаружения EDR будут отключены, что сделает его...

    Малварь как искусство Уклоняемся от поведенческого детекта антивируса и EDR

    • 434
    • 0
    1707574181719.png


    Всем привет!

    В этой статье была рассмотрена как архитектурно может работать EDR:Малварь как искусство - Архитектура антивирусов и EDR - систем
    Рекомендую прочитать вначале статью выше.

    В продолжение давайте поисследуем как можно обойти детект связанный с поведением на конкретном устройстве:

    Вообще тут существуют два варианта обхода:

    1)Использовать антихуки в своём приложении, этот метод относительно простой и описан уже здесь:Уроки - Разработка вирусов-32.Открываем врата ада
    Или вот ещё проект:Малварь как искусство - Фреймворк для тестирования антивирусов

    Но данный метод не позволяет 100% обойти защиту, т.к. многие AV используют коллбэки и...

    Информация Пазл при регистрации

    • 263
    • 0
    1.png


    2.png


    3.png


    4.png


    5.png


    Т.к. кто-то натравил хрумер на форум, надоело удалять ботов, решил сделать пазл при регистрации.)

    Так-что надеюсь рега сильно не усложнится, также можно регистрироваться через:

    1707464673765.png

    На заметку История одного стилера под Линукс

    • 315
    • 0
    1707386766834.png


    Источник:

    В ходе расследования одного инцидента был обнаружен целый кластер вредоносной активности, нацеленный на операционную систему Linux, который оставался незамеченным как минимум с 2020 года. Дальнейший анализ показал, что вредоносное программное обеспечение выдавало себя за очень популярный мультиплатформенный менеджер загрузок.

    Наше исследование началось с того, что мы получили образ диска и дамп памяти одного ноутбука на операционной системе Linux. Предполагалось, что этот ноутбук был скомпрометирован. Нашей задачей было опровергнуть это или, наоборот, доказать, поняв, что там вообще произошло.
    Чтобы начать работать, мы составили супертаймлайн, который содержал данные о файловой системе машины — когда и какие файлы создавались или модифицировались, какие использовались источники...

    Как определить пользователя за прокси и VPN

    • 194
    • 0
    1707296110586.png


    Интересное объяснение, также в видяшке приведен чекер:

    Малварь как искусство Архитектура антивирусов и EDR - систем

    • 443
    • 6
    1706874098041.png


    Перевод статьи:

    Кратко: Я хотел лучше понять EDR (Endpoint Detection and Response), поэтому создал (dummy EDR) и расскажу об этом здесь.

    EDR (Endpoint Detection and Response)
    - это вид продукта безопасности, который направлен на обнаружение аномальной активности на компьютере или сервере.
    Ища ресурсы по работе EDR, я понял, что даже если существует много литературы о EDR, нет многих статей, объясняющих архитектуру EDR и как оркестрируются различные компоненты EDR. Эта статья призвана развенчать мифы о том, как работают EDR, создавая настраиваемый вариант, внедряющий несколько техник, используемых в реальных EDR.

    Глава 1. История вирусов


    Сначала мы рассмотрим историю...

    Уборщица перерубила рунет

    • 372
    • 1
    1706686105302.png


    Координационный центр доменов .ru и .рф сообщил о «технической проблеме», связанной с глобальной инфраструктурой DNSSEC.

    «Возникла техническая проблема, затронувшая зону .ru, связанная с глобальной инфраструктурой DNSSEC. Специалисты Технического центра интернет и МСК-IX работают над ее устранением. В настоящее время для абонентов НСДИ проблема решена. Идут восстановительные работы. Мы будем держать вас в курсе ситуации», — сказал РБК глава этого центра Андрей Воробьев.

    В Минцифры также , что доступ к сайтам в зоне .ru будет восстановлен в ближайшее время.

    Как ранее рассказали источники РБК в отрасли, в центральном регионе России наблюдаются сбои у ряда мобильных операторов и провайдеров: не открываются многие сайты и приложения в зоне .ru. Причина — в сбое с DNSSEC. В итоге, чтобы решить проблему, операторы начали отключать проверку DNSSEC, объяснили собеседники РБК.

    DNSSEC — это набор...

    Малварь как искусство Различные фреймворки для обхода EDR систем

    • 477
    • 6
    vt_scan.png


    Предлагаю в этой теме выкладывать различные фреймворки для обхода и тестирования EDR систем.

    Вот что получилось найти на гитхабе (Более-менее новые).

    1)TerraLdr:

    Details:​

    • no crt functions imported
    • syscall unhooking using
    • api hashing using Rotr32 hashing algo
    • payload encryption using rc4 - payload is saved in .rsrc
    • process injection - targetting 'SettingSyncHost.exe'
    • ppid spoofing & blockdlls policy using NtCreateUserProcess
    • stealthy remote process injection - chunking
    • using debugging & NtQueueApcThread for payload execution
    2)Alaris:

    Малварь как искусство Скрываем нагрузку в скриптах

    • 481
    • 1
    1704270127418.png


    Всем привет!

    Вот в этой теме был задан вопрос, как склеить зверька с какой-то полезной программой.
    Самое просто это использовать самораспаковывающийся архив, например так:ВАЖНО - Делаем крутой крипто-джойнер и обходим детект VT

    Но в этой теме давайте рассмотрим как запаковать пейлоад в скрипт на bat или на sh для линукса.

    Это может часто быть полезно и для легальных программ, в случае линукса, так можно сделать свой инсталятор.)

    Предлагаю вначале рассмотреть линукс:

    Чтобы упаковать бинарный файл (бинарник) в .sh скрипт на Linux, вы можете использовать следующий подход. Этот метод основан на использовании скрипта shell, который включает в себя сам бинарный файл, закодированный в формате base64. Вот подробный пример...

    Малварь как искусство Набор методов по обходу AMSI

    • 343
    • 2
    1703405780759.png


    Этот репозиторий содержит некоторые методы обхода AMSI, которые были найдены в различных блогах.

    Большинство скриптов обнаруживаются самим AMSI. Поэтому вам нужно найти триггер и изменить сигнатуру в этом месте путем переименования переменных/функций, замены строк или кодирования и декодирования во время выполнения.

    Как альтернативу, вы можете обфусцировать их с помощью ISESteroids или Invoke-Obfuscation, чтобы заставить их работать.

    В архиве примеры реализации методов обхода (Там текстовый файл README.md, безобидный, но его могут детектить АВ):

    0. [Using Hardware Breakpoints](#Using-Hardware-Breakpoints "Goto Using-Hardware-Breakpoints")
    1. [Using CLR hooking](#Using-CLR-hooking "Goto Using-CLR-hooking")
    2. [Patch the provider’s DLL of Microsoft MpOav.dll](#Patch-the-providers-DLL-of-Microsoft-MpOav.dll "Goto Patch-the-providers-DLL-of-Microsoft-MpOav.dll")
    3. [Scanning Interception and Provider function...

    На заметку Указатели в C/C++ разборка

    • 718
    • 4
    1703336611098.png


    В этой теме предлагаю обсудить, такую тему как указатели в C/C++, также теоретически разберём такую концепцию как "умные указатели".

    Итак, что такое указатели ?
    Указатель
    — это переменная, значение которой является адресом памяти.
    Это может-быть просто какой-то адрес на выделенную память, например маллоком, это может-быть адрес массива, адрес какой-то переменной и т.д.

    В C и C++ указатели используются для динамического управления памятью, обработки массивов, структур и других сложных данных.

    Объявление и Инициализация Указателей​

    Чтобы объявить указатель, вы должны указать тип данных, на который он будет указывать, за которым следует символ звёздочки (*). Например:

    C:
    int *pointerToInt;
    char *pointerToChar;

    Инициализация указателя происходит путём присвоения ему адреса переменной, используя оператор &:

    C:
    int var = 10;
    int *pointerToInt = &var;

    Также можно...

    Новость За слив геймплея GTA VI пожизненная госпитализация в псих. больнице

    • 413
    • 0
    1703233146860.png


    Британский суд приговорил 18-летнего хакера Ариона Куртаджа к госпитализации в психиатрической клинике на неопределённый срок за взлом Rockstar Games и слив геймплея GTA VI. Судья заявила, что Куртадж — ключевой член группировки Lapsus$, а его навыки и желание совершать преступления показывают, как он опасен для общества. Он останется в больнице на всю жизнь, если только врачи не сочтут, что он больше не представляет угрозы, BBC.

    Напомним, что в сентябре 2022 года Куртадж, находясь в отеле Travelodge под охраной полиции, Rockstar Games, используя Amazon Firestick, клавиатуру, мышь, гостиничный телевизор и мобильный телефон. Куртадж украл 90 видеороликов геймплея и тысячи строк кода раннего билда GTA VI. Код и видео подросток выложил на форуме под ником TeaPotUberHacker. Он был арестован и содержался под стражей до суда...

    Малварь как искусство ToxicEye или как шпионить через Telegram бота

    • 487
    • 8
    Всем доброго времени суток! Эта статья является мини-обзором по опенсорсному RAT на базе телеграмм бота. Статья не является каким-либо руководством к чему-либо противозаконному, разбор ниже приводится исключительно в ознакомительных целях. Ни автор софта, ни автор статьи не несет ответственности за возможный причиненный ущерб любого рода.

    Github →

    Использование телеграмм в качестве C&C не является чем-то новым, скорее всего просто удобным. Ничего делать особо не нужно, достаточно через батю ботов (BotFather) создать нового бота, взять его токен и вшить в зверька, как и приводится в оригинальном описании.

    1702750679280.png


    Ратник имеет достаточно большой функционал, где есть возможность подключаться к микрофону, к камере, также имеем функционал стиллера для сбора сохраненных паролей...

    Информация Анонимная сеть «Hidden Lake»

    • 378
    • 3

    Анонимная сеть Hidden Lake

    hl_logo.png

    Анонимная сеть Hidden Lake - это децентрализованная F2F (friend-to-friend) анонимная сеть с теоретической доказуемостью. В отличие от известных анонимных сетей, подобия Tor, I2P, Mixminion, Crowds и т.п., сеть Hidden Lake способна противостоять атакам глобального наблюдателя. Сети Hidden Lake для анонимизации своего трафика не важны такие критерии как: 1) уровень сетевой централизации, 2) количество узлов в сети, 3) расположение узлов в сети. Вследствие этого, сеть Hidden Lake может внедряться в уже готовую и существующую централизованную систему (в виде тайного канала связи), формируя тем самым анонимность её пользователей.

    Анонимность сети Hidden Lake сводится к невозможности определения совершаемых действий со стороны клиентов системы. Иными словами...

    Посетителей за сегодня

    Пользователи онлайн

    Верх Низ