Detection is easy

Кому интересно про использование LLM-агентов сегодня в 19:00 воркшоп) должно быть интересно

Vermilion - утилита для постэсплуатации в Linux. Основные возможности:

🔤 сбор сведений об операционной системе, имени хоста, конфигурации сети, IP-адресах, активных подключениях

🔤 сборает доступные переменные среды.

🔤 собирает каталоги и файлы о .ssh, .bash_history, .zsh_history, .aws, .docker, .kube, .azure, .gnupg, .git, /etc/passwd, /etc/shadow, /etc/group, /etc/hostname, /etc/hosts, /etc/ssl и cron

В результате работы создается архив для эксфильтрации сторонней утилитой или встроенным сопосбом POST-запросом

#tools@detectioneasy
#ttp@detectioneasy

Продолжим тему Detection Engineering 🔤🔤

В начале своего пути специалисты пытаются собрать события из каждого «утюга» в инфраструктуре, забывая о стоимости такого подхода и о задаче недопустить наступления недопустимых (критических, нежелательных) событий 🤠 на ранних этапах. Иногда это происходит из-за отсутствия выстроенных процессов, отсутствия наставника, а иногда — из-за здравого интереса к новым типам событий и возможным корреляциям с ними.

Как и везде, есть одно НО 🚫: ресурсы для хранения событий не безграничны, и велика вероятность пропустить что-то важное. Стоит учитывать влияние каждой такой "хотелки" на общее состояние системы. Вспоминая составляющие SOC — люди, процессы и технологии — стоит обратить внимание на место процессов. При отсутствии у тебя выстроенных процессов определения источников событий, типов событий, их предназначения, подключения источников, разработки под них правил нормализации и т.п., скорее всего, у тебя будет некий бардак 🤮

#notes@detectioneasy
#detection@detectioneasy

Обнаружение подобной активности, возможно при наличии правил корреляции для:
🔤 создания новых *.cmd и *.bat файлов
🔤 выполнения команд из LOLBAS
🔤 запуска утилит для архивирования из консоли

Красная сторона может использовать обфускацию для выполнения команд cmd, чтобы сломать обнаружение) 💪

#ttp@detectioneasy
#detection@detectioneasy

На Хакатон хакнутых сервисов для Standoff365 я с командой делал сервис с уязвимой LLM. OWASP обновил TOP10 и Hackerone провел аналитику, что изменилось) Прикольно, что OWASP включили LLM09, который был - Чрезмерная уверенность в ответе LLM, а стало Дезинформация 🚫. При использовании генеративных моделей стоит помнить, что у них могут быть галлюцинации, и не принимать их ответы за истину

Как думаете почему атакующие все еще используют cmd и bat🔤 Я думаю одна из причин, это отсутствие проверки в AMSI, как для других скриптовых-движков у Microsoft. В отчете ЛК злоумышленники, используют cmd для постэксплуатации (сбора информации о хосте, домене), закреплении в системе, и для взаимодействия с сервером управления 😒
#ttp@detectioneasy
#tools@detectioneasy

Всем привет!

Глобально существует несколько видов кейлоггеров:
- На хуках (SetWindowsHookEx()) - винда сама будет уведомлять о нажатии;
- На GetAsyncKeyState() - бесконечный опрос нажатой клавиши;
- На GetInputData() - рисуется большое окно, внутри которого идет обработка нажатий клавиш;
- На ETW (только экранная клавиатура. POC)

Мне показалось этого мало, плюс, давно хотелось поглубже изучить графику в Windows. Посему взор упал на фреймворк MS UIA (User Interface Automation). Изначально он задумывался для людей с ограниченными возможностями, чтобы разработчики ПО могли озвучивать элементы на экране или осуществлять некоторое иное представление графики. Впрочем, это не мешает использовать фреймворк для слежки за пользователями :)

С помощью MS UIA вы можете делать абсолютно любые действия. Ровно как если бы вы сидели перед компьютером собственной персоной: нажатие кнопок, работа с окнами, вызов менюшек. И самое главное, конечно, чтение текста : )

Так появился небольшой инструмент Spyndicapped и статья с описанием : )) POC успешно хватает сообщения в Telegram, Whatsapp, Slack и , вишенкой на торте, осуществляет кражу паролей из KeePass. Всё это — средствами MS UIA, что потенциально чуть более скрытно, чем ранее известные методы.

Такие дела 🙂

Параллельно получилось обрести знания в области программирования для людей с ограниченными возможностями, так что если у вас будет шабашка............... 😁

На Хабре статья про утилиты Didier Steven’s https://habr.com/ru/companies/ruvds/articles/869680/.
Если кто-то хотел раз хотел провести анализ вредоносных документов или pdf-файлов, сталкивались с oledump, pdf-parser, rtfdump

Вышел недельный обзор THIS WEEK IN 4N6, из интересного:
🔤 набор статей про закрепы в Linux (обсудим подробнее чуть позже)
🔤 Как найти инстансы GoPhish?) Или почему атакующим, нужно знать чем они пользуются)
🔤обнаружение вредоносных DLL с помощью AI модели - DeepDLL

Кроме правил Sigma и Splunk, есть еще правила Elastic и xp-rules 💡
#notes
#tools

К моему не знаю, только сейчас обнаружил ресурс https://attackrulemap.com/.
Чем он полезен? Автор смапил тесты atomic red team, правила Sigma и Splunk. Атакующие, могут изучать соответствующие способы обнаружения их атак, или использовать в отчетах для выдачи рекомендаций. Синей стороне будет полезно для разработки детектирующей логики и поиска тестов для валидации правил)
#notes
#tools

Detection engineering можно описать как набор процессов, которые позволяют обнаружить потенциальные угрозы в инфраструктуре.

Процессы описывают жизненный цикл:

1. сбор требований к обнаружению
2. разработка и тестирование правил и политики обнаружения
3. внедрение результатов п.2
4. Проверка (валидация) эффективности внедренных правил

#notes@detectioneasy
#detection@detectioneasy

Так о чем будет канал?) Будет обзор новостей кибербеза и трендов ТТП, правил обнаружения, буду проводить некий solo purple team)) поатакуем, постараемся обнаружить себя и попатчим известные тулы, чтобы оставаться скрытными 🙈
А для кого?) Основной упор будет на экспертов/аналитиков SOC, пентестеров и админов

ANY.run выпустили статью, как оформить отчет об анализе малваре.

Основные пункты:

Общая информация: основные результаты исследования, название, происхождение, характеристики.

Основная информация: тип малвари, имя файла, размер, возможности обнаружения AV.

Хэши: MD5, SHA1, SHA256, SSDEEP …

Характеристики: заражение, самосохранение, распространение, взаимодействие с серверами, сбор данных.

Зависимости: требуемая ОС, установленное ПО, DLL, URL-адреса, скрипты.

Поведение: какие исполняемые файлы удаляет ВПО, проверяет ли она язык системы, запускает ли внедренный код в другом процессе или изменяет какие-либо настройки.

Статическая информация: анализ кода, заголовки.

Дополнительные данные: скриншоты, логи, выдержки из строк.

IOC: индикаторы компрометации для обнаружения и предотвращения проникновения.

#notes

#exploit
Complete archive of all 2,272 exploits
added to PacketStorm in 2024.

При MalDev и подготовке к RedTeam нужно убедиться, что твоя нагрузка не будет убита EPP. Для этого можешь использовать возможности запуска сканирования отдельных файлов.
Два проекта на GitHub, которые могут упростить работу.

https://github.com/matterpreter/DefenderCheck
https://github.com/gatariee/gocheck

#tools@detectioneasy

С новым год 😅
https://securityonline.info/poc-exploit-released-for-zero-click-vulnerability-cve-2024-49112-in-windows/

#ttp