💻 Как создать скрытую файловую систему в Linux с помощью Shufflecake

Shufflecake – это простая, но очень мощная утилита шифрования файловой системы для Linux.
В отличие от традиционных схем шифрования дисков, Shufflecake работает, не только шифруя данные внутри файловой системы, но и скрывая их от самой системы.
В этом туториале мы разберём, как установить Shufflecake, чтобы создать и поддерживать скрытую и зашифрованную файловую систему в Linux.

🗄 Туториал

@linuxkalii

💻 Googerteller позволяет услышать, как звучит слежка

🗄Несмотря на то что слежка в Интернете уже вроде бы стала обыденностью, ее масштабы продолжают поражать воображение — по крайней мере, если эти масштабы правильно донести до пользователя. Сухие факты вроде «За последний час ваш браузер связался с 456 рекламными трекерами» обычно мало о чем говорят.

🗄Именно поэтому Берту Хуберту пришла идея создать Googerteller. Берт Хуберт известен созданием PowerDNS — ПО для DNS-серверов. По словам Хуберта, в процессе изучения логов сетевой активности его всегда поражало, насколько часто сайты связываются с Google (и не только). Это вдохновило его на то, чтобы написать небольшую программу, которую он назвал Googerteller.

🗄В оригинальной версии Googerteller издавал звук каждый раз, когда происходило обращение к Google. Получилось весьма впечатляюще — просто послушайте, как это звучит в видео. Вот, например, запись визита на официальный сайт вакансий правительства Нидерландов, на котором размещают свои вакансии, в частности, голландские спецслужбы. Несмотря на то что пользователя никак об этом не предупреждают, практически каждый клик на этом сайте приводит к отправке информации Google.

🗄Далее Берт Хуберт решил не ограничиваться одним только Google и добавил в Googerteller адреса, принадлежащие Facebook и ряду других «популярных» онлайн-трекеров. После этого он посетил пару сайтов, которые злоупотребляют онлайн-слежкой гораздо сильнее, чем сайт вакансий правительства Нидерландов. Масштаб проблемы можете оценить сами.

🖥 GitHub

@linuxkalii

💻 Исследователи из Offensive AI Lab рассказали, как хакеры могут читать переписку пользователей с чат-ботами

🗄«Лаборатория Касперского» рассказала об исследовании израильской компании Offensive AI Lab. В своём исследовании специалисты Offensive AI Lab описывают метод восстановления текста из перехваченных сообщений от чат‑ботов с ИИ и какую информацию можно извлечь из перехваченных сообщений чат‑ботов на основе ИИ.

🗄Чат‑боты отправляют сообщения в зашифрованном виде, но в реализации самих больших языковых моделей (LLM) и основанных на этих моделях чат‑ботов есть ряд особенностей. Из‑за этих особенностей эффективность шифрования снижается и позволяет провести так называемую атаку по сторонним каналам, когда содержимое сообщения удаётся восстановить по тем или иным сопутствующим данным. Большие языковые модели оперируют не отдельными символами и не словами, а токенами.

🗄Сами чат‑боты присылают ответ не крупными кусками, а постепенно, если бы его печатал человек. Как уже говорилось, LLM пишут не отдельными символами, а токенами. Поэтому чат‑бот отправляет сгенерированные токены в режиме реального времени, один за другим, исключение составляет Google Gemini (он не подвержен описываемой в исследовании атаке).

🗄На момент публикации исследования большинство существующих чат‑ботов, перед тем как зашифровать сообщение, не использовали сжатие, кодирование или дополнение данных.

🗄Использование описанных особенностей делает возможным атаку по сторонним каналам. Сами перехваченные сообщения от чат‑бота невозможно расшифровать, но из них можно извлечь полезные данные, например, длину каждого из отправленных чат‑ботом токенов.
Для восстановления текста сообщения надо угадать, какие слова скрываются за «пустыми клетками» (токенами). Для этого можно использовать большие языковые модели. Именно для восстановления текста исходного сообщения из полученной последовательности длин токенов исследователи использовали именно несколько LLM.

@linuxkalii

💻 Google исправила опасную уязвимость нулевого дня в браузере Chrome

🗄Компания Google выпустила экстренное исправление для своего браузер Chrome, чтобы защитить пользователей от недавно обнаруженной уязвимости, которая активно используется злоумышленниками. Речь идёт об уязвимости CVE-2024-4671, о которой Google стало известно от анонимного исследователя в сфере кибербезопасности в начале этой недели.

🗄В сообщении Google сказано, что компании известно о существовании эксплойта для упомянутой уязвимости, но подробности о проблеме и том, как её используют злоумышленники, не раскрываются. Известно, что CVE-2024-4671 затрагивает компонент Visuals и относится к уязвимостям Use-After-Free, которые связаны с некорректным использованием динамической памяти (при освобождении ячейки памяти указатель на неё не обнуляется, из-за чего злоумышленники могут использовать её в своих целях). Эксплуатация такой уязвимости может привести к повреждению данных, возникновению сбоев или даже удалённому выполнению кода на атакуемом хакерами устройстве.

🗄«В зависимости от уровня привилегий текущего пользователя системы, злоумышленник может устанавливать приложения, просматривать, изменять или удалять данные, а также создавать новые учётные записи с тем же уровнем прав, что у пользователя», — говорится в сообщении компании Center for Internet Security.

🗄 Подробнее

@linuxkalii

💻 Генератор необычных PDF-файлов

🗄Создаёт 10 различных PDF с функцией phone-home (вы можете мониторить, кто и когда открывает этот файл)
Можно использовать с Burp Collaborator или Interact.sh
Сфер применений масса — пентестить PDF-конвертеры, сервисы, обрабатывающие PDF, и т.д.

🗄Запуск:
python3 malicious-pdf.py burp-collaborator-url

🖥 GitHub

@linuxkalii

💻 Файловая система Kali Linux

Чтобы понять файловую систему Kali Linux, нам нужно открыть окно терминала и выполнить команду cd /, здесь cd означает сменить каталог, а / — это наш корневой каталог. Затем нам нужно выполнить команду ls (list), чтобы увидеть все файлы/папки. Вот скрин того, что мы увидим.

🗄/bin (binaries): содержит двоичные файлы Linux, например, команды cd и ls, которые мы выполняли ранее

🗄/sbin (system binaries): содержит системные двоичные файлы, которые служат в качестве административных команд (например, fdisk)

🗄/boot: содержит файлы загрузчика Linux

🗄/dev (devices): содержит файлы конфигурации устройств (например, /dev/null)

🗄/sys: Аналогичен /dev, содержит конфигурации устройств и драйверов

🗄/etc (etcetera): содержит все системные файлы администрирования (например, /etc/passwd показывает всех пользователей системы в Kali Linux)

🗄/lib (libraries): В этом каталоге хранятся общие библиотеки для двоичных файлов внутри /bin и /sbin

🗄/proc (processes): содержит процессы и информационные файлы ядра

🗄/lost+found: Как и в названии, этот каталог содержит файлы, которые были восстановлены

🗄/mnt (mount): содержит смонтированные каталоги (например, удаленный файловый ресурс)

🗄/media: содержит каталоги смонтированных съемных носителей (например, DVD)

🗄/opt (option): используется для установки дополнительных пакетов ПО.

🗄/tmp (temporary): Это временная папка, используемая временно, содержимое которой стирается после каждой перезагрузки.

🗄/usr (user): содержит множество подкаталогов. На самом деле, /usr/share/ - это папка, которую мы должны запомнить, потому что большинство инструментов, которые мы используем в Kali Linux (Nmap, Metasploit...), хранятся там, а также там содержатся файлы словаря слов (/usr/share/wordlists)

🗄/home: Это дом для пользователей Kali Linux

🗄/root: Домашняя директория для пользователя root

🐥 Подробнее

@linuxkalii

💻 pwndbg — разработка эксплойтов и обратный инжиниринг с помощью GDB

pwndbg — это плагин для GDB, который делает отладку с помощью GDB приятнее
pwndbg делает упор на функции, необходимые разработчикам низкоуровневого ПО, взломщикам аппаратуры, реверс-инженерам и разработчикам эксплойтов
Разумеется, pwndbg создан исключительно для исследовательских и этичных целей

🖥 GitHub

@linuxkalii

💻 F31 — обфускация Kali Linux

F31 — это bash-скрипт, который минимизирует шум в сети, создаваемый Kali Linux.

Для этой цели F31 выполняет множество действий, вот некоторые:

🗄устанавливает нужные инструменты: iptables для настройки FW, tc из пакета iproute2 для формирования трафика и macchanger для изменения MAC-адреса

🗄меняет имя хоста, отменяет передачу имени через DHCP

🗄увеличивает TTL и смещение TTL +1 для обхода трассировки пакетов при MITM-атаке

🖥 GitHub

@linuxkalii

⚡️ Red Hat объявила о выпуске дистрибутива RHEL AI для ML-разработчиков

Red Hat выпустила дистрибутив Red Hat Enterprise Linux AI (RHEL AI), который создали специально для ML-разработчиков. В сборку включены инструменты и фреймворки для работы с моделями машинного обучения.

▶️ Подробнее

@data_analysis_ml

😈Ленивый линукс — история Slackware!

У нас вышла новая статья на Хабре
о Slackware, это довольно непопулярная и колоритная ОС, одновременно один из самых старейших и ныне живущих дистрибутивов Linux.

📌 Читайте, будет интересно

@linuxkalii

💻 Хакеры атакуют свежую уязвимость в плагине WP Automatic

🗄Хакеры начали эксплуатировать критическую уязвимость в плагине WP Automatic для WordPress. Баг используется для создания новых пользователей с правами администратора и внедрения бэкдоров.

🗄В настоящее время WP Automatic установлен более чем на 30 000 сайтов. Плагин позволяет администраторам автоматизировать импорт контента (например, текста, изображений и видео) из различных источников, а также его публикацию на своем сайте под управлением WordPress.

🗄Атакуемая уязвимость имеет идентификатор CVE-2024-27956 и оценивается в 9,8 балла из 10 возможных по шкале CVSS. Проблема была обнаружена и раскрыта исследователями PatchStack в марте 2024 года. Специалисты описывали ее как проблему SQL-инъекций, затрагивающую WP Automatic вплоть до версии 3.9.2.0. То есть уязвимость была исправлена в версии 3.92.1 или более поздних.

🗄Баг связан с механизмом аутентификации плагина, который можно обойти, чтобы отправлять SQL-запросы к БД сайта. В результате хакеры могут использовать специально подготовленные запросы для создания новых учетных записей администраторов на целевом ресурсе.

🗄По данным WPScan, с тех пор как PatchStack сообщила о проблеме, на уязвимость было произведено более 5,5 млн попыток атак, большинство из которых пришлось на 31 марта текущего года.

🗄WPScan сообщает, что после получения административного доступа к сайту злоумышленники создают бэкдоры и обфусцируют код, чтобы затруднить обнаружение взлома. Кроме того, чтобы помешать другим хакерам скомпрометировать этот же сайт, а также с целью избежать обнаружения, хакеры переименовывают уязвимый файл csv.php (/wp‑content/plugins/wp‑automatic/inc/csv.php), превращая его, например, в csv65f82ab408b3.php.

🗄WPScan напоминает, что администраторы могут обнаружить признаки компрометации, обратив внимание на наличие учетной записи администратора, начинающейся с xtw, а также файлов с именами web.php и index.php, которые являются бэкдорами, установленными в ходе атак.

@linuxkalii

💻 GitLab тоже подвержен уязвимости GitHub для размещения вредоносного ПО

🗄Не так давно в этом канале я опубликовал пост об уязвимости в GitHub про использование URL-адресов, связанных с Microsoft.
Теперь выяснилось, что GitLab также подвержен этой проблеме и злоупотреблениям.

🗄В BleepingComputer смогли загружать файлы, которые попадали в CDN GitLab, но выглядели так, как будто они существовали в репозиториях популярных проектов с открытым исходным кодом, таких как Inkscape и Wireshark:

https://gitlab[.]com/inkscape/inkscape/uploads/edfdbc997689255568a7c81db3f3dc51/InkScape-2024-Latest.exe,

https://gitlab[.]com/wireshark/wireshark/uploads/b4162053fbb4dc6ee4f673c532009e16/WireShark-v4.2.4-stable-release.exe.

🗄В качестве файла использовали обычное изображение JPG, переименованное в .exe.
Формат файлов, загружаемых в GitLab CDN, следующий:
https://gitlab.com/{project_group_namr}/{repo_name}/uploads/{file_id}/{file_name}.

🗄File_id выглядит как хэш MD4 или MD5, а не как более простой числовой идентификатор. Как и в случае с GitHub, сгенерированные ссылки на файлы GitLab остаются активными, даже если комментарий никогда не был опубликован или был удалён.

@linuxkalii