Powershell скрипт, для запуска meterpreter, который обходит все AV на VT (на 19 мая). Кажется там внутри защита от скрипткиди, но как основа подойдет

https://github.com/kmkz/exploit/blob/master/Full-payload-delivery-chain.ps1

New ARM 32-bit Assembly Cheat Sheet - 2020 Version

Эксклюзивно от OrderOfSixAngles!

Буквально на днях вышел. Внутри 5 png с разрешениями (1440х900, 1600х900, 1920х1080, 2880х1800, 3840x2160) и HighResPrint-24x36inches, если вы хотите распечатать физическую копию.

Скрипт обходит AMSI, поэтому эта статья тоже будет вам интересна

https://ntamonsec.blogspot.com/2020/05/amsi-module-remote-in-memory-patch.html

219 байтный ELF64 asm код, который скачивает и запускает файл из памяти. Опять каждая строка прокомментирована)

https://github.com/netspooky/golfclub/blob/master/linux/dl_memfd_219.asm

Мои друзья из VX underground залили еще больше сэмплов малвари (Block 059)

https://vxug.fakedoma.in/samples.html

Залит архив форума Kernelmode.info

https://vxug.fakedoma.in/archive/kernelmode-info/index.html

И залито 7000 чистых не-малвейр сэмплов с VT (Можно юзать для обучения малварь-немалварь)

https://vxug.fakedoma.in/benign.html

🤗

C# проект, который вы запускаете на системе и он производит КУЧУ различных offensive/defensive проверок.

Некоторые из проверок:

AMSIProviders - Providers registered for AMSI
AntiVirus - Registered antivirus (via WMI)
ARPTable - Lists the current ARP table and adapter information (equivalent to arp -a)
AuditPolicies - Enumerates classic and advanced audit policy settings
ChromeBookmarks - Parses any found Chrome bookmark files
ChromeHistory - Parses any found Chrome history files
IETabs - Open Internet Explorer tabs
NTLMSettings - NTLM authentication settings
...


https://github.com/GhostPack/Seatbelt

О мире вирусописателей. Кратко и понятно.

https://www.youtube.com/watch?time_continue=2&v=Oci1NqRIia0&feature=emb_noscript

Как работает изнутри Microsoft Hyper-V

https://re.alisa.sh/notes/Hyper-V-LIS.html

Android Accessibility Services

Фича андроида Accessibility Services (Специальные возможности) позволяет создавать приложения для людей инвалидов. Например давать приложению доступ к вводимому пользователю тексту, чтобы озвучить его, для тех кто плохо слышит. Приложения, использующие Спец. возможности могут получать доступ к экранам других приложений, скролу и много чему еще. Причем все это делается посредством background сервиса, который незаметен другим приложениям. Естественно такой фичей пользуются и злоумышленники при написании своей малвари.

Исследование об опасности Accessibility Services читайте по ссылке:

https://faui1-files.cs.fau.de/public/publications/a11y_final_version.pdf

Также на тему вредоносного использования Accessibility Services можете прочитать мою статью под названием "Встраиваем кейлоггер в блокнот (no root)" (с видеодемонстарцией):

https://www.orderofsixangles.com/ru/2019/07/17/keylogger-note-ru.html

https://github.com/anatolikalysch/roots_a11y

Скоро будет новая аватарка, новая статья, новый охуенный арт, новая тулза, новый перевод 😎

Орден ебашит уже почти год 😎

В интернете и некоторых каналах появилась следующая ссылка

Android Debug Bridge RCE exploit

https://github.com/enty8080/r0pwn

Я быстро побежал смотреть, думая, что это за такой эксплоит и думал, что нашли уязвимость в ADB.

На деле имеем скрипт на питоне из 100 строк, который только что и делает, что выполняет ДВЕ команды

adb connect
adb shell

А еще зачем-то поставили sleep между print'ами, видимо для имитации деятельности (типа работа кипит)

if angry_substitution == True:
        print("substituting "+code+"...")
        time.sleep(0.5)
        print("executing "+code+"...")
        os.popen("adb shell su '"+code+"'").read()

Полнейшая дичь, не ведитесь.

How to make a Kernel Driver - Setup & Hello World (Windows)

https://www.youtube.com/watch?utm_campaign=buffer&utm_source=twitter.com&utm_content=buffer5a033&utm_medium=social&v=9h1FsOISwX0&app=desktop

Hell's Gate: Dynamically extracting and invoking syscalls from NTDLL or other in-memory modules

В отличии от линукса, одна из сложных вещей в винде - это вызов сисколов. Статья о получении сисколов в рантайме для исполнения вредоносного кода. Настоящие знания из андерграунда.

https://vxug.fakedoma.in/papers/VXUG/Exclusive/HellsGate.pdf

оригинальный код на Си

https://github.com/am0nsec/HellsGate

Простые методы детекта виртуалок

https://0xpat.github.io/Malware_development_part_2/

Простые методы детекта дебагера

https://0xpat.github.io/Malware_development_part_3/

Техника process Injection на винде, без использования опасных функций (WriteProcessMemory, VirtualAllocEx, ...)

https://undev.ninja/nina-x64-process-injection/

POC

https://github.com/NtRaiseHardError/NINA