кратко о том, чем я занимаюсь ночью)

а теперь о действительно важных вещах:
дебаггер, который позволяет отлаживать BIOS на линуксе

среди фич:
- чтение памяти
- запись памяти
- чтение и запись регистров
- точки останова
- инструкция continue и отладочного шага
- hardware watchpoints (честно не знаю, что это, но думаю, что годная штука раз её добавили)

P. S. я знаю, что я слоупок, ведь штукенция вышла уже давно, но все же...

https://github.com/Theldus/bread

https://youtu.be/F0jQWq39hkU?feature=shared

я точно сумасшедший, раз собираюсь просмотреть все стримы этого чувака

где бы ещё барахла надыбать для тестов

у меня его дофига, но все же до лаборатории не дотягивает

надо исправляться

#bios_hell #reverse

https://blog.bashdays.ru/vnedryaem-bekdor-v-rsa-klyuch/

хороший разбор про бэкдор в RSA

#rsa #backdoor #python

https://news.1rj.ru/str/fall_into_the_shining_sky

самый дорогой мне человек создал канал

буду очень благодарен, если подпишитесь

запилил свою тему для x64dbg, конфиги выложу чуть позже

https://github.com/lain0xff/NeonTheme-x64dbg

конфиг. в ридми если что есть инструкция, как установить

спизжено с багхантерского чата

в ближайшее время ждите кое-что интересное)

привет, подписечники мои :)

я не пропал, если что

с релизом придется подождать, так как получить прошивку только через bus pirate не удалось

но я не унываю, через неделю куплю специальный вид SOIC-8 клипс, которые можно подключать к микрухе

попробую связку Bus Pirate + SOIC-8

также я так и не выяснил, выставлены ли fuse биты защиты прошивки, займусь этим в ближайшее время

это первый релиз, второй релиз будет включать в себя многофункциональный руткит + ботнет на основе DHT + С2 сервер под линукс + буткит (проверяю ща на возможность такого), и все это, внимание, самописное

я не знаю даже как назвать сие творение, у меня было много вариантов, чуть позже выставлю опрос с вариантами, как вы выберете, так и будет 😁

этим релизом я хотел дать понять, как проходит путь киберпреступника от идеи-фикс до её реализации

подробнее об этом релизе попозже, скажу лишь что подробную инфу знают немногие и я хочу сохранить интригу до конца; да, безжалостный я человек, уж простите)

могу лишь сказать, что весь код будет написан на С/С++ + Qt
в качестве, пакера хочу заюзать VMProtect, мне подсказали, что он действует ещё и на линуксовые бинари, хочу это проверить

ещё кстати, отдельное спасибо хочу сказать xida'е и ещё одному моему другу за наводку на полиморфные вирусы (я знаю, ты будешь это читать, xida, поэтому сорян, что я у тебя спиздил идейку, не бей только) ) и VMProtect

запасайтесь терпением и ожидайте, как говорится бог велел терпеть - терпите, вахахахаха

P.S. про сием не забыл, но забил, чуть позже сяду делать, скачаю скоро веса нейросетки llama scout (весит дохера -_-) и начну обучать её на своих собранных датасетах

как-то так, не болейте, занимайтесь спортом и пейте побольше воды (кринж, да)

на данный момент по ресерчу White Matter реализовано 75% первой части

реализован кейлоггер через доступ к /dev/input/event0, руткит с техникой LD_PRELOAD (он был до этого мной реализован) - частично адаптирован к общему модулю, реализован криптор и декриптор файлов на основе AES-512, также реализован модуль брута ssh и функции upload и download

сейчас мучаю мой руткит lysergine, адаптирую его
также начал реализацию полиморфного кода, чтобы малварь копировала себя и распространялась внутри лабы по хостам "жертвам"

также будут реализованы инъекции в процессы на основе этой репы: https://github.com/W3ndige/linux-process-injection

сам ресерч будет представлять собой 4 основные части и 1 финальную

1) разработка общего руткита и перечисленных выше модулей (готово на 75%)
2) разработка буткита на основе evil maid атаки (пока под вопросом реализация)
3) сбор и переработка в код наиболее интересных уязв под линукс и разработка ботнета на основе DHT
4) настройка тестовой лабы и сети, тестирование White Matter, разработка модуля патчинга уязв на серваках жертв (пока под вопросом реализация, но минимальный функционал точно будет)
5) как от этого всего защититься

также думаю реализовать схожий с mirai функционал в плане cron задач, шифрование трафика, анти-отладку, обфускацию кода

PS. думаю еще над GUI, но скорее всего в статьи это не войдет, но будет в репе

https://youtu.be/xksuzoqvd3Q

Babuk ransomware reverse engineering

P.S. если кто вдруг не видел

#re #malware_analysis

крч, тулза разрослась на 4к строк кода

я хз, как я статью писать буду, но постараюсь ужать код до минимума, насколько это возможно

первая часть кода уже практически на финишной прямой (95%), осталось довести до ума получение рута, а именно делать это автоматически или через команды cli argv

интересно получилось, что малварь вообще практически не детектится стандартными средствами, даже не знаю хорошо это или плохо

с одной стороны хорошо, так как импакт большой с этого исследования будет; с другой стороны плохо, так как еще 5 часть статьи писать по защите от этого всего 😢

а это только руткит модуль, что будет с ботнет- и буткит-модулями я вообще хз, как от этого защищаться 😁

но думаю что-нибудь я, да соображу

кстати, решил, что буду писать DHT ботнет на основе алгоритма Kademlia, на выбор будет три либы/имплементации: OpenDHT, miniDHT, Boost.Asio, я так думаю, что выберу либо 1, либо 3

гений

P. S. два ночи - время мемов

всем привет, крч код готов, сегодня-завтра проведу рефакторинг кода и начну писать статью

а пока держите видос с обзором части функций руткита

как видно из видоса, я использую подключение по ssh с помощью libssh по списку паролей из txt, далее программа автоматически подрубается к удаленной машине, запускает реализацию псевдотерминала и деплоит руткит по ssh через удаленную компиляцию файлов из строк кода в основной проге, далее мы используем мисконфиг в Vim (я думаю этому подверждены большинство ОС и серверов с Vim) и загружаем модуль скомпиленного руткита через insmod, ну и скрытие модуля от вывода через lsmod и скрытие pid процесса

по сути тут я решил задачу выполнения insmod не от рута, а от обычного юзера, от которого был сбручен пароль из pass.txt

я много не заморачивался насчет ВМок и просто клонировал ВМ, с которой атакую, так что жертва - клонированная ВМ с Debian 12

как-то так :)

#white_matter

кстати, насчёт релиза Reanimation с получением дампа прошивки RTL-SDR

как обстоят дела? в общем, немного фигово

прошивку я не смог сдампить через SOIC-8 и Buspirate, причину не нашёл пока, почему так (кривые руки :) )

провозился с этим вопросом 1 неделю во время отпуска, в результате сдампил EEPROM через тулзу rtl_eeprom из официальной репы

но суть в том, что я забыл, в EEPROM не может хранится вся прошивка, так как объем памяти очень маленький (в случае SDR)

через EEPROM могут передаваться вроде только базовые команды, такие как получение названия устройства (по крайней мере в SDR) и возможно дальнейшая загрузка прошивки через EEPROM, через название SDR (как бы странно это не звучало)

в итоге, решил написать свой скрипт на питоне перехвата трафика/дампа прошивки через usb, с дальнейшим анализом

идея в том, что есть возможность, что прошивка подгружается во время подключения через usb и при каждом подключении генерится и шифруется ключом на основе идентификатора пользователя в системе

но пока что все без результата, мб придётся пробовать ломать это шифрование, а это скорее всего AES (на форумах такая инфа вроде), либо CRC проверки

это все, что нужно знать о том, как я провел отпуск 😁

но несмотря на неудачи, все же я получил неплохой опыт

и надеюсь, что результат все же будет)

P. S. также провел мини осинт, ещё давно, прошивок rtl-sdr нет в общем доступе (кто бы сомневался), в исходниках тоже инфы особо нет

P. P. S. кстати, название такое не спроста, так же называется малоизвестный в СНГ (но оч кайфовый) альбом Linkin Park

#reanimation

вышел третий том Black Mass от smelly и vx-underground

не говорите, что не ждали)

Hi everyone!

Sorry for the silence. Many things have happened but we are still working. Black Mass 3 was released about a month ago.

Here it is as a PDF. Enjoy!

White Matter. Vol 1. You Are (Not) Alone

Важный дисклеймер: Этот инструмент предназначен исключительно для образовательных целей и тестирования на системах, где у вас есть явное разрешение. Не используйте его для незаконного доступа к системам.
Автор инструмента не несет ответственности за ваши действия.

В этой части релиза я создал инструмент и бэкдор в одном лице, позволяющий взламывать SSH сервера и обычные системы со статическим IP-адресом, закрепляться в этих системах, перехватывать нажатия клавиш удаленно с помощью кейлоггера и прочие интересные возможности.

Ссылка на репо: https://github.com/lain0xff/White-Matter

#malware #offensive #white_matter

Также небольшое пояснение к коду.