🔖 S.E.Заметка. Лабы по форензике.

🖖🏻 Приветствую тебя user_name.

• Первая задача в цифровой криминалистике — это сбор информации, конкретно — получение образов жестких дисков и оперативной памяти, а также, если это может помочь, дампов сетевых соединений.

• Сегодня, я поделюсь с тобой полезным репо с бесплатными лабами и отличным списком #CTF по цифровой криминалистике. Репозиторий включает в себя теоритическую часть, задания, презентации и подсказки по каждому разделу.

🧷 https://github.com/frankwxu/digital-forensics-lab

🚩 Список полезных CTF:

• MemLabs;
• Forensics CTFs;
• CyberDefenders;
• NW3C Chanllenges;
• MalwareTraffic Analysis;
• Champlain College DFIR CTF;
• ReverseEngineering Challenges;
• MagnetForensics CTF Challenge;
• Precision Widgets of North Dakota Intrusion;
• DefCon CTFs - archive of DEF CON CTF challenges.

‼️ Дополнительную информацию ты можешь найти по хештегу #Форензика. Твой S.E.

Команда исследователей из Университета Стоуни-Брук и Palo Alto Networks обнаружили более 1200 фишинговых инструментов в дикой природе, которые за последние три года стали неотъемлемой частью арсенала современной киберпреступной экосистемы.

Известные также как наборы фишинговых инструментов MitM (Man-in-the-Middle) позволяют хакерам перехватывать и обходить двухфакторную аутентификацию (2FA) в ходе своих атак.

Дело в том, что крупный бизнес и многие технологические компании стали учитывать Bad Practice и уделять больше внимания безопасности, внедряя функции 2FA по умолчанию в свои продукты и системы. 

В ответ на новые вызовы даркнет стал предлагать своим участникам новые инструменты. Примерно с 2017 года появились инфотеллеры, позволяющие украсть cookie аутентификации с заражённых хостов после завершения процесса 2FA.

Однако другим более популярным способом получения файлов аутентификации стал фишинг в моменте передачи трафика.

Для этого хакеры в течение последнего времени активно старые наборы инструментов для фишинга, добавляя функционал для обхода 2FA, полагаясь на фишинг в реальном времени и обратные прокси.

В первом случае используется фишинговая веб-панель, куда пользователь вводит свои учетные данные и код 2FA (полученный по электронной почте, SMS или приложению аутентификации), а оператор использует их для аутентификации на реальном сайте.

Технология применяется для быстрых атак, когда злоумышленнику не требуется долгих активных сессий и нет необходимости контроля файлов cookie аутентификации. К примеру, списания средств с систем онлайн-банкинга.

Но для более скрытного и стабильного доступа, в том числе атак на электронную почту или аккаунт соцсети, требуются cookie. И для этого современные преступники взяли на вооружение наборы фишинговых инструментов MitM, адаптированные в качестве обратных прокси, реализуя прохождение трафика между жертвой, фишинговым сайтом и реальным сервисом.

Поскольку весь трафик проходит через систему обратного прокси, злоумышленник получает необходимые файлы cookie аутентификации, которые он может впоследствии отработать самостоятельно или перепродать. При этом многие инструменты основаны на известных в инфосек Evilginx, Muraena и Modlishka.

Исследователи проанализировали 13 версий этих трех фишинговых наборов MitM и создали своеобразные фингерпринты, которые легли в основу инструмента PHOCA, который мог бы определить, использует ли фишинговый сайт обратный прокси - явный признак того, что злоумышленник пытался обойти 2FA и собрать файлы cookie аутентификации, а не только учетные данные.

Посредством PHOCA они просканили известные фишинговые URL-адреса в период с марта 2020 года по март 2021 года, и обнаружили, что 1220 из этих сайтов используют наборы фишинговых инструментов MitM. Ранее в период 2018-2019 гг. показатель не превышал 200, по данным RiskIQ.

Такая популярность MitM фишинга обусловлена не только растущим спросом, а, прежде всего, доступностью технологии. Большинство из приблуд бесплатны для скачивания, просты в экспликации, и имеют даже инструкции. Кроме того, хакеры практикуют совместные атаки и кооперацию.

Новый тренд указывает на дальнейшее эволюционирование современных фишинговых операций, которые по факту нивелируют усилия сообщества по переходу на 2FA.

Печальные, но достаточно значимые выводы. Настоятельно рекомендуем ознакомиться с полной версией отчета.

🔖 S.E.Заметка. AD. PowerView.

🖖🏻 Приветствую тебя user_name.

• В среде Active Directory часто используются сетевые папки и файловые серверы. Эти команды отобразят список общих ресурсов на локальном хосте, список сетевых ПК и список шар на удаленном компьютере:

• net share
• net view

• net view COMPUTER_NAME /all

• Но что если политика безопасности запрещает использовать сетевые команды? В этом случае нас выручит wmic. Список общих ресурсов на локальном хосте и список общих ресурсов на удаленном компьютере можно посмотреть с помощью команд:

• wmic share get /format:list
• wmic /node: COMPUTER_NAME share get

• Полезный инструмент для поиска данных — PowerView. Он автоматически может обнаружить сетевые ресурсы и файловые серверы с помощью команд Find-DomainShare и Get-DomainFileServer.

• К слову, у нас в облаке есть отличный #CheatSheet для PowerView и дополнительный полезный материал:

• PowerView 2.0 tricks.
• PowerView 3.0 tricks.

#AD, #Заметка. Твой S.E.

CyberYozh — один из самых крупных IT каналов в телеграмме.

Предлагаем вам сегодня на вечер несколько статей для чтения:

👉 Ловушка для хакера: проверяем не читает ли кто-то ваши переписки (а если читают - пробиваем, кто это делает) .

👉 Как VPN-провайдеры работают с логами. Реальные кейсы выдачи данных "по запросу" (крайне неприятная информация, но лучше это знать).

🔥 Книги must have для пентестера: от основ к вершинам.

👉 Три ошибки Рассела Кнаггса, или 20 лет тюрьмы за неотправленное письмо (захватывающая дух статья про деанонимизацию и арест наркоторговца).

​👨🏻‍💻 Awesome Red Team & Blue Team.

За последние семь лет я твердо усвоил одну вещь: в любой игре всегда есть соперник и всегда есть жертва. Вся хитрость — вовремя осознать, что ты стал вторым, и сделаться первым.

🖖🏻 Приветствую тебя user_name.

• Понятия Red Team и Blue Team пришли из традиционного военного ремесла, и суть этих терминов нисколько не изменилась. Blue Team в контексте кибербезопасности означает команду экспертов, задача которых — обеспечивать защиту инфраструктуры.

Задачи Blue Team делятся на следующие области:

• Prevent — выстраивать систему защиты от уже известных атак;
• Detect — выявлять новые (в том числе и ранее неизвестные) атаки и оперативно приоритизировать и обрабатывать инциденты;
• Respond — вырабатывать ответные меры и политики реагирования на выявленные инциденты.
• Predict — прогнозировать появление новых атак с учетом меняющегося ландшафта угроз.

• Последний пункт с технической точки зрения и привносит настоящий челлендж в работу security-аналитика. К этому блоку относятся мероприятия для оценки уровня защищенности, однако они же позволяют оценить эффективность процессов и на других стадиях.

• Таким образом, задача Red Team сводится не к тому, чтобы «разнести» корпоративную инфраструктуру и доказать всем, что все плохо; а напротив — использовать анализ защищенности в качестве конструктивной меры для оценки существующих процессов и помощи Blue Team в их улучшении.

• Во многих организациях, где процессы #ИБ еще недостаточно зрелые, задачи оценки защищенности решают специалисты Blue Team. А вот в крупных компаниях наступательные мероприятия передали Red Team.

• Изредка встречаются крупные компании, которые добавляют еще и команду Purple Team. Ее основная задача — в повышении эффективности взаимодействия синей и красной команд. «Пурпурные» эксперты помогают другим командам дружить, позволяя синей команде разрабатывать стратегию и технические меры для защиты инфраструктуры на основе обнаруженных красной командой уязвимостей и недостатков.

По итогу:

• Blue Team занята защитой инфраструктуры за счет реализации процессов адаптивной безопасности;
• Red Team занимается эмуляцией действий атакующего, а также вырабатывает и реализует стратегии для оценки эффективности процессов защиты и непрерывно доставляет результаты команде Blue Team;
• Purple Team, если она есть, вырабатывает эффективные меры для Blue Team с учетом экспертизы Red Team.

• Необходимая и крайне полезная подборка материала для #Blue_Team: https://github.com/CyberSecurityUP/Awesome-Blue-Team-Operations

• Огромный список интересного материала для #Red_Team: https://github.com/CyberSecurityUP/Awesome-Red-Team-Operations

‼️ Дополнительную информацию ты можешь найти по хештегу #Purple_Team, #Red_Team и #Blue_Team. Твой S.E.

🎄 С Новым Годом. 2022.

🖖🏻 Приветствую тебя user_name.

• В новом году, желаем Вам всегда находить решения любой задачи, никогда не останавливаться и идти только вперед и главное не терять интереса к тому, чем мы занимаемся. Здоровья Вам и Вашим близким. С наступающим...

2022. 🥂 Твой S.E.

​🎬 Социальная инженерия. Что посмотреть на новогодних праздниках?

🖖🏻 Приветствую тебя user_name.

• Мы все по разному отмечаем новогодние праздники, кто-то с друзьями, кто-то в кругу семьи, а некоторые с коллегами по работе. Но одновременно с этим, всем хочется отдохнуть от суеты или учебы. А отдыхать можно разными способами, например позалипать на ютубе или netflix.

• Крайне, не хочется грузить тебя сложным материалом, а наоборот, хочется разгрузить голову после 31 декабря и одновременно с этим, провести время с пользой! Сегодня, я собрал небольшую подборку фильмов и сериалов, которые затрагивают тему Социальной Инженерии и Информационной Безопасности. Приятного просмотра и хороших выходных:

• Кто я / Who am I.
• Сноуден || Snowden.
• Хакеры (1995).
• Mr.Robot.
• Настоящий детектив.
• Охотники за разумом.
• Несколько документальных фильмов о хакерах.
• Подборка фильмов, которые должен посмотреть каждый хакер.

Твой S.E.

Самые громкие и интересные события мира безопасности за 2021 год #meganews #digest #2021 #подписчикам

На календаре конец декабря, а значит, пришло время собрать для тебя дайджест самых важных, интересных, знаковых и заметных событий уходящего 2021 года! Мы вспомним главные события и выберем призеров в десяти номинациях. Поехали!

https://xakep.ru/2021/12/31/meganews-2021/

​🧩 Intercepter-ng 1.1 || Сетевые отпечатки.

🖖🏻 Приветствую тебя user_name.

• Недавно вышло обновление легендарного Intercepter-ng, о котором я уже ни раз упоминал в нашем канале. Сегодня предлагаю тебе ознакомиться с описанием обновления этого сниффера и узнать про сетевые отпечатки операционных систем (фингерпринты).

🧷 https://youtu.be/gwRZysX5jmw

Изменения:

Added:

+ Captive Portal mode (killer feature!)
+ Smart Scan is GREATLY improved (speed and quality)
+ Loopback live capture
+ TZSP encapsulation support
+ SSL support for built-in web-server (FATE\Captive Portal)
+ Whitelist for Auto Poison (misc\whitelist.txt)

Updated:
* Code for X-Scan, SSLStrip, HSTS Spoofing and GP Hijack
* Fingerprints database updated and is in use for scanning process
* OUI and fingerprints files are now available in misc\* folder
* fixed bug in DNS Spoofing and ARP Cage code
* Native pcapng support (npcap)
* OpenSSL\Npcap\Zlib updated
* Tested on Windows 11

GitHub: intercepter-ng.github.io
Официальный сайт: http://sniff.su/
Интервью: Intercepter-NG. Интервью разработчика.

Статья: MITM атаки и перехват трафика.
Статья: Инструменты для MITM — атак.
Статья: Intercepter-NG 2.5 на Android.
Статья: Intercepter-NG. Получение удаленного доступа в локальных сетях.

‼️ Дополнительную информацию ты можешь найти по хештегам #intercepter #Пентест #mitm #hack #ИБ и #СИ. Твой S.E.

​📈 CVE Trends.

🖖🏻 Приветствую тебя user_name.

• Ежедневно, сотнями хакеров обнаруживаются тысячи уязвимостей, — после чего взламывается куча сайтов, и детали багов выкладываются в багтрак на всеобщее обозрение. Сегодня мы поговорим о ресурсе, который отслеживает популярность CVE в реальном времени.

• CVE Trends — ресурс, который отслеживает популярность CVE в реальном времени. Система собирает все необходимые данные из Twitter и объединяет с данными NIST NVD.

• Информация на сайте обновляется каждую минуту.
• Мы можем настроить вывод данных о CWE, информации о CVE, настроить автоматическое обновление, и оценки CVSS v2.0 и CVSS v3.0
• Есть оценка уязвимости. Показано кол-во твитов\ретвитов для каждой CVE.

🧷 CVE Trends — https://cvetrends.com/

‼️ Другую дополнительную информацию ты можешь найти по хештегу #ИБ. Твой S.E.

​🧩 Находим метаданные в социальных сетях.

🖖🏻 Приветствую тебя user_name.

• EXIF — стандарт, позволяющий добавлять к изображениям и прочим медиафайлам дополнительную информацию, комментирующую этот файл, описывающий условия и способы его получения.

• Хотя Exif хорошо известен, есть вероятность, что изображение содержит атрибуты IPTC или метаданные XMP, это два других стандарта, широко используемых в настоящее время. Сегодня мы рассмотрим несколько различных способов получения метаданных и их содержимого, на примере YT и Instagram.

• Читать статью.

📌 Дополнительная информация:

• Пентест и метаданные. Извлекаем полезную информацию из документов.
• Извлекаем метаданные.
• Изменяем метаданные.

‼️ Другую дополнительную информацию ты можешь найти по хештегу #OSINT. Твой S.E.

​🔖 S.E.Заметка. Passphrase wordlist.

🖖🏻 Приветствую тебя user_name.

• Использование подходящих словарей во время проведения тестирования на проникновение, от выбора хороше­го сло­варя зависит мно­гое, а именно успех подбора учетных данных. Не может быть одного самого лучшего словаря – под разные ситуации требуются разные словари.

• Сегодня делюсь с тобой сочным репозиторием. Этот репо включает в себя список фраз (более 20 миллионов) и два файла правил #hashcat для брута на GPU. Правила создадут более 1000 вариантов каждой фазы.

🧷 https://github.com/initstring/passphrase-wordlist

• Для генерации собственных словарей можно использовать программы Hashcat, John the Ripper, crunch, statsprocessor, maskprocessor и другие.

‼️ Другую дополнительную информацию ты можешь найти по хештегам #hashcat #hack и #Пентест. Твой S.E.

​🔖 Подборка полезного материала для Red Team.

🖖🏻 Приветствую тебя user_name.

• Существует много видов процессов наступательной безопасности, и у каждого свои задачи. Здесь и Vulnerability Assessment, и Penetration Testing, и Red Teaming. Чаще всего их отличия заключаются в скоупе, глубине продвижения в процессе анализа защищенности и показателях, которые будут использоваться Blue Team для выработки защитных мер.

• Поговорим о Red Teaming — это непрерывный процесс симуляции атак с целью оценки всех существующих процессов защиты организации и повышения осведомленности задействованных в этом процессе лиц. Это определение звучит академически, но зато исчерпывающе.

• Красная команда свободна в выборе тактик, техник и процедур для реализации своих целей. И сегодня, я нашел для тебя отличную подборку крайне интересного материала. Подборка включает в себя основные направления и инструменты, разбитые по категориям. Рекомендую к ознакомлению:

🧷 https://github.com/paulveillard/cybersecurity-red-team

‼️ Дополнительную информацию ты можешь найти по хештегу #Purple_Team, #Red_Team и #Blue_Team. Твой S.E.

​🔐 Password Spraying || Распыление паролей.

Многие знают, что один из проверенных методов получения авторизационных данных — это брутфорс. Неэстетично, но надежно. В любой компании найдутся пользователи, у которых пароль встречается в списке самых популярных паролей и его можно сбрутить.

🖖🏻 Приветствую тебя user_name.

• Распыление пароля или Password Spraying относится к методу атаки, который принимает большое количество имен пользователей и перечисляет их с помощью одного пароля или малого количества паролей.

• Так как допустимое количество попыток ввода пароля обычно невелико, этот метод позволяет избежать блокировок политикой паролей, и он часто более эффективен для обнаружения слабых паролей.

• Очень удобно применять Password Spraying на Office365 и Azure. Однако у Microsoft есть такая интересная вещь, которая детектирует применение такого рода атак. Называется Azure Smart Lockout. Это интеллектуальная блокировка, которая будет блокировать аккаунт пользователя если:

• Было 10 неудачных попыток входа в аккаунт. После этого аккаунт блокируется на одну минуту. Дальше с геометрической прогрессией растет время блокировки аккаунта и уменьшается количество неверно введенных паролей.
• Незнакомое местоположение, с которого пользователь пытается войти в систему. Для знакомого и незнакомого местоположений - разные счетчики неудачных попыток. Таким образом, пользователь может ввести неверный пароль 10 раз с известного местоположения и 10 раз с неизвестного.

• Такие блокировки очень усложняют жизнь при бруте. Однако, есть инструменты, которые пытаются такие ограничения обойти.
Об этих инструментах мы сегодня и поговорим. Но для начала разберемся с этапами.

• После успешного получения списка действительных пользователей, атакующие нередко проверяют частые или известные пароли или благодаря накопленным в процессе разведки данным пробуют ОДИН тщательно продуманный пароль для ВСЕХ известных учетных записей пользователей.

• Распыление паролей проводится, как правило, на одном из начальных этапов без наличия привилегий. Этапы атаки распыления паролей:

• Включение в сеть (в случае теста на проникновение) или компрометация учетной записи пользователя (для атакующего).
• Перечисление групповой политики и политики паролей.
• Перечисление имен пользователей.
• Распыление паролей.

• Для выполнения данной атаки написан скрипт Spray, который позволяет указать парольную политику. Spray дает возможность проводить атаку на SMB, OWA (веб-клиент для доступа к серверу совместной работы Microsoft Exchange), Lync, CISCO Web VPN. Для работы скрипт требует список пользователей и паролей.

• Альтернативное автоматическое решение — PowerShell-скрипт DomainPasswordSpray. Он требует только пароль либо список паролей. При этом он автоматически перечисляет пользователей домена и парольные политики. Кроме того, скрипт позволяет узнать список всех пользователей.

• MSOLSpray — #powershell скрипт, который основан на использовании Microsoft Graph API и предоставляет информацию об аккаунте (включен ли MFA, существует ли пользователь, заблокирована или отключена учетная запись).

• TREVORspray — инструмент, написанный на #python, основанный на MSOLSpray (также использует Microsoft Graph API). Однако добавлена еще возможность распараллеливать через ssh доступ к своим VPS.

‼️ Другую дополнительную информацию ты можешь найти по хештегам #hack и #Пентест. Твой S.E.

​🔌 Социальная инженерия и BadUSB.

Чем масштабнее разводка — тем она древнее и ее проще провернуть. По двум причинам: людям кажется, что разводка не может быть такой древней и масштабной. Не могло ведь так много людей повестись на нее. И наконец, когда жертва начинает сомневаться, что соперник ей равен, на самом деле она начинает сомневаться в своих собственных интеллектуальных способностях, но никто в этом не признается. Даже самому себе. «Револьвер», 2005.

🖖🏻 Приветствую тебя user_name.

• В августе 2014 года известные исследователи Карстен Нол и Якоб Лелл из консалтинговой компании Security Research Labs сообщили о «фундаментальной уязвимости устройств USB». В октябре того же года они опубликовали на GitHub код программы для взлома компьютера по USB. Фактически, этот класс атак по сей день позволяет захватить контроль над многими устройствами, у которых есть порт USB. Атакующий может эмулировать любую периферию, хотя чаще всего предпочтение отдается клавиатурам.

• Разумеется, что большинство пользователей привыкли к тому, что доверять найденному USB-устройству не следует. Но одновременно с этим, народная мудрость гласит, что самый уязвимый компонент любой информационной системы располагается между компьютерным креслом и клавиатурой. Уязвимости патчатся, технологии меняются, а люди — нет.

• Казалось бы, схема очень древняя и ее мало кто использует, однако с августа 2021 года, в ФБР начали поступать письма от различных организаций, с информацией о посылках содержащих вредоносные USB-устройства. Дело в том, что хак-группа FIN7, широко известная своими шифровальщиками Darkside и BlackMatter, рассылала вредоносные USB-устройства различным американским компаниям в надежде заразить их системы и получить отправную точку для последующих атак.

• FIN7 использовали 2 варианта посылок:
1. Письма отправлялись от лица Министерства здравоохранения США, в которых содержится информация с рекомендацией по защите от Covid-19.
2. Красивая коробка (подарок) от Amazon, содержащая поддельное письмо, подарочную карту и USB-устройство.

• Если жертва подключала полученный девайс к ПК, устройства выполняли атаку типа BadUSB, в ходе которой устройство использовало HID, регистрировало себя как клавиатуру и передавало серию предварительно заданных нажатий клавиш машине пользователя.

• Эти нажатия клавиш запускали команды #PowerShell, которые загружали и устанавливали различный вредоносный софт, действовавший как бэкдор. Далее FIN7 получала административный доступ, а затем атаковала другие локальные системы.

• Что тут можно сказать, схема очень старая, но актуальная. Например в 2018 году целями атак #BadUSB стали восемь банков в Восточной Европе, а примерный ущерб от таких атак составил несколько десятков миллионов долларов.

• Вариантов для таких атак на самом деле великое множество и ограничиваются они только фантазией социальных инженеров. Можно не только рассылать вредоносные USB, но и поддельные лайтнинги \ USB type-C кабели и другие устройства.

‼️ О различных методах, которые применяют социальные инженеры, о методах при фишинговых атаках, различные статьи на тему социальной инженерии, манипуляции и т.д., ты можешь найти по хештегам #СИ #Пентест #BadUSB #HID #Пентест #Red_Team и #Hack. Твой @S.E.

🧩 S.E.Заметка. Модули Metasploit и локальные данные.

🖖🏻 Приветствую тебя user_name.

• Как известно, #Metasploit является самым популярным инструментом, который имеет самую большую базу эксплойтов, шеллкодов и кучу разнообразной документации. Сегодня ты узнаешь о модулях, которые помогут вытащить пароли из браузера после компрометации учетной записи пользователя.

• Вот модули Metasploit, которые помогут нам в этом (под каждым модулем, я оставлю ссылку с подробным описанием для изучения):

• post/windows/gather/enum_chrome
• post/multi/gather/firefox_creds
• post/firefox/gather/cookies
• post/firefox/gather/passwords
• post/windows/gather/forensics/browser_history

• Название каждого модуля говорит само за себя. Если тебя интересуют другие модули Metasploit, то все существующие модули и их описание, представлены на этой странице.

#Заметка #Metasploit. Твой S.E.

​🗝 Сетевой протокол SMB.

🖖🏻 Приветствую тебя user_name.

• Любой пентестер должен уметь осуществлять атаки на SMB. Но прежде чем перейти к делу, мы разберемся, что представляет из себя данный протокол.

🔖 SMB (Server Message Block) — это сетевой протокол прикладного уровня для удалённого доступа к файлам, принтерам и другим сетевым ресурсам, а также для межпроцессного взаимодействия. Как правило, работает на 445 или 139 порту (в зависимости от сервера).

• Первая версия протокола, также известная как Common Internet File System (CIFS) была разработана компаниями IBM, Microsoft, Intel и 3Com в 1980-х годах;

• Вторая версия протокола, была разработана целиком компанией Microsoft, поэтому в Windows SMB доступен по-умолчанию, сразу же после установки.

• В 1992 году появилась Samba — свободная реализация протокола SMB для UNIX-подобных операционных систем. Так как Microsoft не любит делиться своими наработками, разработчикам Samba пришлось провести обратную разработку этого протокола.

• Аутентификация в SMB состоит из двух уровней защиты: user-level (пользовательский уровень) и share-level (уровень совместно используемого ресурса). Под share понимается файл, каталог, принтер и т.д.

• Аутентификация на уровне user-level означает, что клиент, который пытается получить доступ к ресурсу на сервере, должен иметь user_name и password. Если аутентификация прошла успешно, клиент имеет доступ ко всем доступным ресурсам сервера, кроме ресурсов с share-level-защитой.

• Аутентификация на уровне share-level означает, что доступ к ресурсу контролируется только паролем, установленным конкретно на этот ресурс. В отличие от user-level, этот уровень защиты не требует имя пользователя для аутентификации и не устанавливается никакая уникальность текущего пользователя.

• Самая частая ошибка при использовании данного протокола заключается в использовании стандартных учетных данных, а иногда и отсутствие аутентификации для доступа к важным ресурсам сервера. О дефолтных паролях я уже писал очень много, не будем делать акцент на данную тему.

• Второй недостаток - Samba-сервера: огромное количество уязвимостей, поэтому их использование небезопасно. Достаточно просто ввести в Google «samba server exploit», чтобы получить огромный список эксплойтов. Но не смотря на свою печальную известность, Samba-сервера используются 75% предприятий.

Благодаря Nmap NSE мы можем определить версию сервера:

nmap -p445 -noscript smb-protocols target ip

или

nmap -p139 —noscript smb-protocols target ip

Мы также можем попытаться узнать дополнительную информацию, используя:

nmap -sC -p 139,445 -sV target ip

• Благодаря этому запросу, мы можем узнать версию сервера и попробовать найти информацию о том, является ли данная версия уязвимой или нет.

• Есть много способов получить информацию об атакуемом сервере. Самый быстрый способ - использование инструмента под названием enum4linux или smbmap.

• Для быстрого поиска конфиденциальных данных в SMB можно использовать SMBSR. Это скрипт принимает адрес или список хостов, находит все открытые службы SMB (445) и пытается аутентифицироваться. Для сканирования портов SMB используется модуль masscan. Интересные ключевые слова, которые должен искать инструмент, определяются в командной строке. (о скрипте узнал у SHADOW:Group, за что автору большое спасибо).

• Даже если мы не смогли найти какую-либо информацию, мы можем попытаться поймать ntlm хеш с помощью responder: https://pentestlab.blog/2017/12/13/smb-share-scf-file-attacks

• В общем, информации по данной теме очень много и я рекомендую начать с отличной книги по SMB на русском языке: https://hackware.ru/?p=11141 приятного чтения и изучения.

Твой S.E. #SMB #Пентест

🔖 S.E.Заметка. Полезные исключения.

🖖🏻 Приветствую тебя user_name.

• При проведении #Red_Team кампаний, следует обращать внимание на то, какие средства защиты установлены у нашей цели — от этого зависит то, какой набор инструментов мы будем применять на скомпрометированных ПК.

• Часто нам помогают исключения, которые добавляются в антивирус. Исключения — это файлы, папки, ссылки и т.д., которые #AV не будет проверять на наличие угроз. При наличии таких исключений мы смело можем добавлять свои исполняемые файлы в папки исключений и таким образом на какое-то время обходить антивирус.

• Сегодня в заметке полезная информация, где можно найти исключения для 3х популярных антивирусов:

Kaspersky Internet Security 20
C:/ProgramData/KasperskyLab/AVP20.0/Data/settings_kis.kvdb

Microsoft Windows Defender
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusions\

McAfee
HKEY_LOCAL_MACHINE\SOFTWARE\McAfee\ManagedServices\VirusScan\Exclude

Твой S.E. #Заметка

​📦 Hack The Box CTF Cheatsheet.

Любопытство — это ключ к совершенству. Один из способов задействовать силу любопытства — хакерские квесты. Они лежат на пересечении игр в альтернативную реальность (ARG) и CTF-соревнований, но не просто развлекают, а дают совершенно реальные навыки.

🖖🏻 Приветствую тебя user_name.

• За несколько прошлых лет Hack The Box стал максимально популярен среди исследователей безопасности всех мастей: он отличается удобным веб-интерфейсом для управления активными инстансами виртуалок, отзывчивой техподдержкой и, что важнее всего, постоянно обновляющемся списком уязвимых хостов.

• Думаю что каждый из Вас имеет представление об этой площадке и более подробно описывать данный сервис не следует. Сегодня, Я поделюсь с тобой полезным репозиторием, в котором собраны HTB машины, с сортировкой по операционным системам и сложности.

🧷 https://github.com/Ignitetechnologies/HackTheBox-CTF-Writeups

Обязательно обрати внимание на дополнительную информацию:
• https://github.com/Ignitetechnologies/Privilege-Escalation
• https://github.com/Ignitetechnologies/Vulnhub-CTF-Writeups
• https://github.com/Ignitetechnologies/TryHackMe-CTF-Writeups
• Полный список #CTF площадок, можешь найти тут: https://news.1rj.ru/str/Social_engineering/1316

Твой S.E.

​🔐 Архитектура Шифровальщика. Как хакеры шифруют огромный объем данных за считаные минуты?

🖖🏻 Приветствую тебя user_name.

• Когда речь идет о шифровальщиках, первое, что ты должен различать, - это тип используемого шифрования. Есть два основных метода, которые используются большинством вымогателей. Сегодня мы поговорим об этих методах и одновременно с этим, ответим на интересный вопрос "Как хакеры шифруют огромный объем данных за считаные минуты?". Тема достаточно необычная для нашего канала, но весьма интересная, погнали...

Первое, на что хотелось бы обратить внимание, это методы шифрования:

• Симметричное шифрование: допустим у тебя есть один ключ, который ты используешь для зашифровки и расшифровки данных. Обе этих операции выполняются на основе единого ключа. Человек, получивший ключ, на котором ты зашифровал архив, сможет получить его содержимое. Подробнее тут.

• Асимметричное шифрование: метод подразумевает использование двух ключей вместо одного. Подробнее тут.

• Переходим к Ransomware. Payload Ransomware доставляется разными способами (#фишинг, #СИ, уязвимое ПО и т.д.) после чего, запускается на компьютере. Все файлы жертвы становятся зашифрованными. Появляется окно с формой оплаты и требованием выкупа в обмен на расшифровку файлов.

• Прочитав вступление, ты мог предположить, что можно задействовать симметричное шифрование. Но это неправильно, поскольку любой Ransomware избегает такого подхода по одной причине: когда шифруются файлы, ключ, используемый для данной процедуры, находится на тачке жертвы. Этот ключ, при симметричном шифровании, можно использовать и для дешифровки исходных файлов. Это означает, что жертва может восстановить его, а затем использовать для расшифровки файлов. Когда используется асимметричное шифрование, для расшифровки и зашифровки используются разные ключи, поэтому наличие ключа шифрования на ПК жертвы не будет критичным, поскольку ключ расшифровки будет находиться в безопасности.

• Вопрос: нам необходимо выбрать асимметричное шифрование? Мы можем сгенерировать пару, закодировать общедоступный ключ в коде и зашифровать с его помощью абсолютно все? (нет)...
Асимметричное шифрование на несколько порядков медленнее, чем симметричное. Когда ты шифруешь жесткий диск жертвы, тебе нужно реализовать такой алгоритм, чтобы зашифровать все как можно быстрее.

• Соответственно, мы можем использовать гибридный подход. Суть в том, что при генерации пэйлоада, будет создан набор открытых/закрытых ключей. Симметричный ключ будет храниться в пэйлоаде, и всякий раз, когда будет происходить заражение, пэйлоад будет использовать его для осуществления симметричного шифрования. После шифрования основной информации, будет зашифрован и этот ключ. Этот зашифрованный симметричный ключ будет расположен на ПК и мы попросим жертву предоставить его в записке о выкупе.

• Теперь переходим к вопросу "Как хакеры шифруют огромный объем данных за считаные минуты?". На самом деле, не нужно шифровать весь файл, чтобы сделать его непригодным для использования. В зависимости от его формата, шифрование заголовков и большей части начальных байтов достаточно, чтобы сделать файл не читаемым. Было бы идеально изменить конец файла.

• Преимущество данного подхода в том, что «шифрование части файла» позволяет модифицировать исходный файл, не создавая зашифрованную копию предыдущего, удаляя исходный. Это полезно, когда у нас имелось бы разрешения на запись в существующие файлы, но отсутствовало бы на создание нового. Это позволяет быстро обрабатывать огромные файлы (напр., БД MySQL на 500 ГБ).

Твой S.E. #ransomware. Источник.