Android Accessibility Services

Фича андроида Accessibility Services (Специальные возможности) позволяет создавать приложения для людей инвалидов. Например давать приложению доступ к вводимому пользователю тексту, чтобы озвучить его, для тех кто плохо слышит. Приложения, использующие Спец. возможности могут получать доступ к экранам других приложений, скролу и много чему еще. Причем все это делается посредством background сервиса, который незаметен другим приложениям. Естественно такой фичей пользуются и злоумышленники при написании своей малвари.

Исследование об опасности Accessibility Services читайте по ссылке:

https://faui1-files.cs.fau.de/public/publications/a11y_final_version.pdf

Также на тему вредоносного использования Accessibility Services можете прочитать мою статью под названием "Встраиваем кейлоггер в блокнот (no root)" (с видеодемонстарцией):

https://www.orderofsixangles.com/ru/2019/07/17/keylogger-note-ru.html

https://github.com/anatolikalysch/roots_a11y

Скоро будет новая аватарка, новая статья, новый охуенный арт, новая тулза, новый перевод 😎

Орден ебашит уже почти год 😎

В интернете и некоторых каналах появилась следующая ссылка

Android Debug Bridge RCE exploit

https://github.com/enty8080/r0pwn

Я быстро побежал смотреть, думая, что это за такой эксплоит и думал, что нашли уязвимость в ADB.

На деле имеем скрипт на питоне из 100 строк, который только что и делает, что выполняет ДВЕ команды

adb connect
adb shell

А еще зачем-то поставили sleep между print'ами, видимо для имитации деятельности (типа работа кипит)

if angry_substitution == True:
        print("substituting "+code+"...")
        time.sleep(0.5)
        print("executing "+code+"...")
        os.popen("adb shell su '"+code+"'").read()

Полнейшая дичь, не ведитесь.

How to make a Kernel Driver - Setup & Hello World (Windows)

https://www.youtube.com/watch?utm_campaign=buffer&utm_source=twitter.com&utm_content=buffer5a033&utm_medium=social&v=9h1FsOISwX0&app=desktop

Hell's Gate: Dynamically extracting and invoking syscalls from NTDLL or other in-memory modules

В отличии от линукса, одна из сложных вещей в винде - это вызов сисколов. Статья о получении сисколов в рантайме для исполнения вредоносного кода. Настоящие знания из андерграунда.

https://vxug.fakedoma.in/papers/VXUG/Exclusive/HellsGate.pdf

оригинальный код на Си

https://github.com/am0nsec/HellsGate

Простые методы детекта виртуалок

https://0xpat.github.io/Malware_development_part_2/

Простые методы детекта дебагера

https://0xpat.github.io/Malware_development_part_3/

Техника process Injection на винде, без использования опасных функций (WriteProcessMemory, VirtualAllocEx, ...)

https://undev.ninja/nina-x64-process-injection/

POC

https://github.com/NtRaiseHardError/NINA

A collection of various techniques to bypass Linux Kernel Address Space Layout Randomization (KASLR)

https://github.com/bcoles/kasld

Описание нового шифровальщика на java

https://blogs.blackberry.com/en/2020/06/threat-spotlight-tycoon-ransomware-targets-education-and-software-sectors

Тулза, для облегчения DLL Hijacking

https://github.com/MojtabaTajik/Robber

Sliver - open source альтернатива Cobalt Strike. Beta версия.

https://github.com/BishopFox/sliver

Написан кстати на Go!

Туториал:

https://github.com/BishopFox/sliver/wiki/Getting-Started

Понятная презентация о линукс процессах

https://www.cs.columbia.edu/~junfeng/10sp-w4118/lectures/l07-proc-linux.pdf

О нет, лицензия заканчивается) Но мне понравилось)

Digital Security ON AIR

Ждём вас завтра (10 июня) на онлайн-встрече по информационной безопасности. Стартуем в 17:00 (МСК).

В программе доклады на актуальные темы ИБ, online CTF, тематический Kahoot.

Детальный гайд по заражению PE

Сделал перевод!)

https://www.orderofsixangles.com/translations/2020/06/09/detailed-guide-to-pe-infection.html