🔍 Exploring WinRM plugins for lateral movement

In this blog, the process of leveraging WinRM plugins to perform lateral movement to other systems is explored. Additionally, the use of the CIM_LogicFile WMI class to bypass certain tricky detections by Microsoft Defender is examined. Finally, all the logic is incorporated into a Cobalt Strike BOF.

🔗 Research:
https://falconforce.nl/exploring-winrm-plugins-for-lateral-movement/

🔗 Source:
https://github.com/FalconForceTeam/bof-winrm-plugin-jump

#ad #winrm #cobaltstrike #bof #redteam

😈 [ ssno @ssnossnossno ]

I spent the last month reverse engineering Call of Duty's anti-cheat!

Blog post here:
🔗 https://ssno.cc/posts/reversing-tac-1-4-2025/

Code:
🔗 https://github.com/ssnob/hidden_syscall_monitoring

🐥 [ tweet ]

Сегодня я увидел в нескольких каналах информацию про атаку Targeted Timeroasting и очень вдохновился ею.
В двух словах, что такое атака Timeroasting - Это атака, позволяющая получить хеш пароля машинной учетной записи. В целом, мы знаем, что это для нас бесполезно, т.к. пароль машины чаще всего очень длинный и сложный. Но есть сценарии, когда пароль все таки бывает простой и, в совокупности с атакой pre2k, можно построить интересный вектор. Об этом в своем блоге недавно писал @snovvcrash.

Суть атаки Targeted Timeroasting немного в другом: если у нас есть права GenericWrite на объект пользователя, то мы можем превратить этого пользователя в компьютер (что?) и запросить хеш для него. Превратить пользователя в компьютер можно двумя простыми шагами:
1. Меняем userAccountControl на 4096 (UF_WORKSTATION_TRUST_ACCOUNT)
2. Переименовываем sAMAccountName в тоже имя, но со знаком $ на конце
После этих действий сервис времени будет уверен, что это теперь компьютер и отдаст вам хеш.
Хорошо, как можно это использовать?

1 Сценарий.
У нас есть права Domain Admins и не хочется шуметь с помощью атаки DcSync, тогда можно запустить Targeted Timeroasting на всех пользователей и вы получите хеши учеток, которые потом надо будет еще сбрутать.

2 Сценарий.
Захватили учетку HelpDesk. Чаще всего у этой учетки есть права GenericWrite на половину домена. CA в домене нет, значит не провести атаку Shadow Creds. Проведя атаки Targeted Kerberoasting или Targeted AsReproasting мы получим билеты, которые нет возможности побрутить по большим словарям. А с помощью атаки Targeted Timeroasting мы, во-первых, не сильно нашумим на SIEM (не факт, конечно), а во-вторых, получим хеши, которые можно перебирать с чудовещной скоростью.
Остальные сценарии придумайте сами :)

Свежий ресерч про эту атаку вы можете прочитать в блоге. Брутить хеши на hashcat можно так:

git clone https://github.com/hashcat/hashcat && cd hashcat
git checkout 5236f3bd7 && make
./hashcat -m31300

Для атаки Targeted Timeroasting был разработан PowerShell скрипт. Но сегодня я переписал атаку на Python и выложил у себя в репозитории: https://github.com/PShlyundin/TimeSync
Назвал инструмент TimeSync, потому что мне эта атака очень напомнила классический DcSync.

😈 [ silentwarble @silentwarble ]

These posts on reversing Brute Ratel are for an older version, but still some useful tidbits you can extract for building your own c2 agents:

🔗 https://unit42.paloaltonetworks.com/brute-ratel-c4-tool/
🔗 https://cybergeeks.tech/a-deep-dive-into-brute-ratel-c4-payloads/
🔗 https://cybergeeks.tech/a-deep-dive-into-brute-ratel-c4-payloads-part-2/

🐥 [ tweet ]

😈 [ klez @KlezVirus ]

For anyone curious, the OffensiveX talk on RpcInvoke is out now! Fair warning: the content’s solid, but the presenter might have a few bugs of its own. 😅

🔗 https://www.youtube.com/watch?v=HxtUiJcItDE

🐥 [ tweet ]

😈 [ x86matthew @x86matthew ]

I created a hypervisor-based emulator for Windows x64 binaries. This project uses Windows Hypervisor Platform to build a virtualized user-mode environment, allowing syscalls and memory accesses to be logged or intercepted.

Blog:
🔗 https://www.elastic.co/security-labs/winvisor-hypervisor-based-emulator

Code:
🔗 https://github.com/x86matthew/WinVisor

🐥 [ tweet ]

😈 [ Rad @rad9800 ]

Wrote a short blog post on:
- ETW Threat Intelligence generated by SetThreadContext (hardware breakpoints)
- Kernel debugging and reversing
- Setting HWBPs in a more "stealthy" manner (not the same ETW TI events generated - no detections)

Check it out:

🔗 https://www.praetorian.com/blog/etw-threat-intelligence-and-hardware-breakpoints/

🐥 [ tweet ]

😈 [ HackerRalf @hacker_ralf ]

This is C2 I decided to write publicly. If you are interested, I hope for feedback)

🔗 https://adaptix-framework.gitbook.io/adaptix-framework

I am fixing version 0.1 ...

🐥 [ tweet ]

😈 [ hasherezade @hasherezade ]

In case if you wonder what broke #ProcessHollowing on Windows 11 24H2, I have something for you:

🔗 https://hshrzd.wordpress.com/2025/01/27/process-hollowing-on-windows-11-24h2/

🐥 [ tweet ]

😈 [ Elastic Security Labs @elasticseclabs ]

We’re adding a new section to @elastic’s HackerOne Bounty Program! Today, we’re opening our SIEM and EDR rules for testing. We’re excited to have another way to thank our community for their efforts on our #detectionengineering. Get more details here:

🔗 https://www.elastic.co/security-labs/behavior-rule-bug-bounty

🐥 [ tweet ]

замануха уровня 500 IQ лол

😈 [ silentwarble @silentwarble ]

Stumbled across this. Really nicely organized anti-debugging techniques for malware dev or otherwise.

🔗 https://anti-debug.checkpoint.com/

🐥 [ tweet ]

😈 [ RussianPanda 🐼 @RussianPanda9xx ]

воу воу, палехче 👀

🐥 [ tweet ]

😈 [ Tim Willis @itswillis ]

Two new posts from @tiraniddo today.

On reviving a memory trapping primitive from his 2021 post:

🔗 https://googleprojectzero.blogspot.com/2025/01/windows-exploitation-tricks-trapping.html

Where he shares a bug class and demonstrates how you can get a COM object trapped in a more privileged process:

🔗 https://googleprojectzero.blogspot.com/2025/01/windows-bug-class-accessing-trapped-com.html

Happy Reading! 📚

🐥 [ tweet ]

Однажды в голову мне пришла идея разработать немного-немало свой собственный google. Чтоб его можно было запустить в локальной сети и отыскать там любые секреты где нибудь в глубине публичных сетевых дисков, ftp или вебе. И что бы такая система понимала не только текстовые файлы, но и офисные документы, архивы, исполняемые файлы, картинки, звук, словом всё что только может прийти в голову и что нельзя искать простым текстовым поиском.
Интернет сегодня нельзя представить без поисковика, но почему в локальной сети иная картина? Ведь как известно общедоступные ресурсы это вечная головная боль всех админов, а для пентестеров их анализ слишком дорогостоящая по времени работа.
Разработать в одиночку и за умеренное время собственный аналог google непростая задача. К решению данной проблемы я пытался подойти с разных сторон и за всё время два или три раза полностью переписывал всю систему с нуля. Но в итоге мне удалось найти очень простое и элегантное решение, почти не требующее кодинг - создать систему построенную из готовых компонентов (GNU), легко масштабируемую и также легко внедряемую (docker). Да ещё и понимающую google дорки (opensearch).
Такая система может быть одинаково полезна как пентестерам когда перед тобой сотни шар, так и защитникам - ведь систему можно настроить на непрерывный регулярный краулинг всех общедоступных ресурсов.
В статье https://habr.com/ru/companies/ussc/articles/878340/ я детально описываю идею моей системы, её несложную логику работы а так же настройку и примеры использования.

😈 [ serioton @seriotonctf ]

Just updated my NetExec cheatsheet. Added some new commands and tweaks. It includes the commands I use when working on HackTheBox and Vulnlab machines

🔗 https://github.com/seriotonctf/cme-nxc-cheat-sheet

🐥 [ tweet ]

😈 [ ProjectDiscovery @pdiscoveryio ]

Replace request headers from your terminal with Proxify by ProjectDiscovery!

⌨️

proxify -req-mrd "replace_regex(request, 'User-Agent: .*', 'User-Agent: <YOUR-PAYLOAD>')"

Check it out 👆

🐥 [ tweet ]

😈 [ RedTeam Pentesting @RedTeamPT ]

The LLMNR response name spoofing pioneered by @tiraniddo and @Synacktiv does not seem to work with mDNS & NetBIOS 😢
But guess what! It works with DNS😯

🥳 Here's the new pretender release supporting Kerberos relaying via DHCPv6-DNS-Takeover: 🎉

🔗 https://github.com/RedTeamPentesting/pretender/releases/tag/v1.3.1

🐥 [ tweet ]

😈 [ MANSK1ES @mansk1es ]

Check out my new blog post, "Weaponizing Background Images for Information Disclosure and LPE" where I walk through the AnyDesk vuln I found a few months ago (CVE-2024-12754/ZDI-24-1711):

🔗 https://mansk1es.gitbook.io/AnyDesk_CVE-2024-12754

🐥 [ tweet ]

Простая реализация ts::multirdp

https://gist.github.com/S3cur3Th1sSh1t/8294ec59d1ef38cba661697edcfacb9b

#soft #ad #pentest #redteam #dev

😈 [ Wietze @Wietze ]

🚀 Today I'm launching ArgFuscator: an open-source platform documenting command-line obfuscation tricks AND letting you generate your own

🔥 68 executables supported out of the box - use right away, make tweaks, or create your own

👉 Now available at

🔗 http://argfuscator.net

🐥 [ tweet ]

😈 [ CICADA8Research @CICADA8Research ]

Hi friends, Recently @mansk1es presented his research about LPE in AnyDesk (CVE-2024-12754). Our team developed a POC on this vulnerability😀

Check it here:

🔗 https://github.com/CICADA8-Research/Penetration/tree/main/POCs/CVE-2024-12754

🐥 [ tweet ]