Пожалуй добавлю к другим сканерам памяти процессов))

Soft: https://github.com/RWXstoned/GimmeShelter

Blog: https://rwxstoned.github.io/2024-12-06-GimmeShelter/

Что проверяет, судя по описанию:
* есть ли сборка dotNet
* вероятные DLL hijacking/sideloading
* использует ли процесс wininet.dll или winhttp.dll
* установлен ли Control Flow Guard
* секции и частную память с разрешениями RWX

Да, для более тщательного изучения есть та же Moneta, но почему бы и нет))

#maldev #blueteam

@snovvcrash про свой опыт использования Timeroasting написал. Почитайте, есть интересные моменты.

https://snovvcrash.rocks/2024/12/08/applicability-of-the-timeroasting-attack.html

#pentest #redteam #ad

Тут pe-sieve обновился)

#blueteam #maldev

Много же кто знает про софт, вроде DefenderCheck, который позволяет узнать, какие именно сигнатуры в вашей нагрузке не нравятся антивирусу)

Вот еще одна альтернатива, написанная на golang:

https://github.com/gatariee/gocheck

#av #maldev

Поздравляю всех с наступающим (а кого-то уже с наступившим) Новым годом🎉 Желаю всем найти под ёлкой веру в себя и в свои идеи, идти к своим целям без тревоги и опасений (но даже если они есть - все равно идти😉). Проживать каждый день с интересом и любить то, что делаешь❤️

Всем спасибо)

Эта работа заслуживает внимание! Если кратко, то механизм MS UIA позволяет читать любые текстовые значения на экране, открывать меню, закрывать окна, ну и все такое)) А раз он дает такие возможности, то этим нужно пользоваться... Как пример, PoC от @Michaelzhm:

https://github.com/CICADA8-Research/Spyndicapped

Не думаю, что на данную технику вообще есть какие-то детекты. Все подробности в блоге.

#redteam #pentest #spyware

Просто новость: в NetExec добавили аутентификацию по сертификату... классно же)

#pentest #soft #ad

GodPotato на Rust нужен кому-нибудь?))

https://github.com/safedv/RustPotato

Пусть будет...

#potato #pentest #redteam #git

CVE-2024-49138: Windows LPE in CLFS.sys

PATCHED: Dec 10, 2024

https://github.com/MrAle98/CVE-2024-49138-POC

Tested on Windows 11 23h2

UPD. Ждем ресерч...

#git #exploit #lpe #pentest #redteam

CVE-2024-43468: ConfigMgr/SCCM 2403 Unauth SQLi to RCE

PATCHED: Oct 8, 2024

Exploit: https://github.com/synacktiv/CVE-2024-43468

Blog: https://www.synacktiv.com/advisories/microsoft-configuration-manager-configmgr-2403-unauthenticated-sql-injections

#git #exploit #ad #rce #sccm #pentest #redteam

Довольно интересная статья про более скрытное выполнении CLR сборок (в том числе C# утилит) в памяти с обходом AMSI и без патчей либы в памяти.

https://securityintelligence.com/x-force/being-a-good-clr-host-modernizing-offensive-net-tradecraft/

#redteam #bypass #maldev

Сегодня я увидел в нескольких каналах информацию про атаку Targeted Timeroasting и очень вдохновился ею.
В двух словах, что такое атака Timeroasting - Это атака, позволяющая получить хеш пароля машинной учетной записи. В целом, мы знаем, что это для нас бесполезно, т.к. пароль машины чаще всего очень длинный и сложный. Но есть сценарии, когда пароль все таки бывает простой и, в совокупности с атакой pre2k, можно построить интересный вектор. Об этом в своем блоге недавно писал @snovvcrash.

Суть атаки Targeted Timeroasting немного в другом: если у нас есть права GenericWrite на объект пользователя, то мы можем превратить этого пользователя в компьютер (что?) и запросить хеш для него. Превратить пользователя в компьютер можно двумя простыми шагами:
1. Меняем userAccountControl на 4096 (UF_WORKSTATION_TRUST_ACCOUNT)
2. Переименовываем sAMAccountName в тоже имя, но со знаком $ на конце
После этих действий сервис времени будет уверен, что это теперь компьютер и отдаст вам хеш.
Хорошо, как можно это использовать?

1 Сценарий.
У нас есть права Domain Admins и не хочется шуметь с помощью атаки DcSync, тогда можно запустить Targeted Timeroasting на всех пользователей и вы получите хеши учеток, которые потом надо будет еще сбрутать.

2 Сценарий.
Захватили учетку HelpDesk. Чаще всего у этой учетки есть права GenericWrite на половину домена. CA в домене нет, значит не провести атаку Shadow Creds. Проведя атаки Targeted Kerberoasting или Targeted AsReproasting мы получим билеты, которые нет возможности побрутить по большим словарям. А с помощью атаки Targeted Timeroasting мы, во-первых, не сильно нашумим на SIEM (не факт, конечно), а во-вторых, получим хеши, которые можно перебирать с чудовещной скоростью.
Остальные сценарии придумайте сами :)

Свежий ресерч про эту атаку вы можете прочитать в блоге. Брутить хеши на hashcat можно так:

git clone https://github.com/hashcat/hashcat && cd hashcat
git checkout 5236f3bd7 && make
./hashcat -m31300

Для атаки Targeted Timeroasting был разработан PowerShell скрипт. Но сегодня я переписал атаку на Python и выложил у себя в репозитории: https://github.com/PShlyundin/TimeSync
Назвал инструмент TimeSync, потому что мне эта атака очень напомнила классический DcSync.

Вспомним про малварь Python в Windows

https://trustedsec.com/blog/operating-inside-the-interpreted-offensive-python

P.S. статья достаточно подробная, кто не вникал, советую)

#pentest #redteam #bypass #maldev

Зафиксирую версию 0.1

https://adaptix-framework.gitbook.io/adaptix-framework

Если есть идеи, или нашли какие-то баги, да и просто фидбек, можно в лс)

#adaptix #c2

Telegram по неизвестной причине удалил канал 1N73LL1G3NC3. Однако автор решил продолжить делиться крутыми штуками и начал канал заново. Делюсь

https://news.1rj.ru/str/P0x3k_1N73LL1G3NC3

Интересный проект

https://github.com/airbus-seclab/soxy

soxy is a modular tool to interact with several VDIs that operates over RDP, such as VMware Horizon, Citrix and native Windows RDP. It supports useful debug services (e.g. clipboard, console/shell, sharing, FTP server, SOCKS5 proxy).

#git #tools #pentest #redteam

🖼 AnyDesk — Local Privilege Escalation (CVE-2024-12754)

A vulnerability in AnyDesk allows low-privileged users to perform arbitrary file read and copy operations with NT AUTHORITY\SYSTEM privileges. Exploitation is possible by manipulating the background image, creating symbolic links, and leveraging ShadowCopy, granting access to SAM, SYSTEM, and SECURITY files, ultimately leading to privilege escalation to administrator.

🔗 Source:
https://mansk1es.gitbook.io/AnyDesk_CVE-2024-12754

#windows #anydesk #lpe #cve