Whitehat Lab

🦠 Inject Malicious Code Into Antivirus

🔗 Research
🔗 IAmAntimalware

#IAmAntimalware #av

✈️ Whitehat Lab 💬Chat

💻 WSASS v1.0

LSASS Process Dumper для современных версий Windows систем. На выходе получаем файл с замененными magic байтами, т.е. будет PNG, в любом hex редакторе возвращаем оригинальные 4 байта 0x4D, 0x44, 0x4D, 0x50

This is a tool that uses the old WerfaultSecure.exe program to dump the memory of processes protected by PPL (Protected Process Light), such as LSASS.EXE. The output is in Windows MINIDUMP format

💻 Repo

#windows #lsass

✈️ Whitehat Lab 💬Chat

🔄🖼️ GoExec v0.2.2

Инструмент для удаленного выполнения команд в 💻 Windows системах, используя различные возможности ОС. Автор заверяет, что по OPSEC лучше чем аналоги в Impacket
Возможность kerberos аутентификации, pth, pfx сертификату

scmr - Service Control Manager (MS-SCMR)
tsch - Task Scheduler (MS-TSCH)
dcom - Distributed Component Object Model (MS-DCOM)
wmi - Windows Management Instrumentation (MS-WMI)

UPD v0.2.2

💻 Repo
💻 Releases
🔗 Обзор

#goexec #redteam #soft #golang

✈️ Whitehat Lab 💬Chat

В netexec добавили полезный модуль - schtask_as (Remotely execute a scheduled task as a logged on user)

Если DA подключен к серверу, на котором вы являетесь локальным администратором, просто создайте запланированную задачу, запрашивающую сертификат от его имени, получите сертификат (pfx) и его личные данные. Все это автоматизировано в данном модуле

Usage:

nxc smb dc -d dom.local -u 'high_priv' -p 'high_priv123' -M schtask_as

💻 Commit

#nxc #windows

✈️ Whitehat Lab 💬Chat

🔄🐧 Kali Linux 2025.3 Release (Vagrant & Nexmon)

Из основных изменений:

➡️ Поддержка Nexmon
➡️ Отказ от ARMel
➡️ Обновлённый плагин (vpn ip) для Xfce

Добавили 10 инструментов:

➡️ Caido
➡️ Caido-cli
➡️ Detect It Easy (DiE)
➡️ Gemini CLI
➡️ krbrelayx
➡️ ligolo-mp
➡️ llm-tools-nmap
➡️ mcp-kali-server
➡️ patchleaks
➡️ vwifi-dkms

Для перехода на новый релиз:

sudo apt update && sudo apt -y full-upgrade

Проверяем:

grep VERSION /etc/os-release

VERSION="2025.3"
VERSION_ID="2025.3"
VERSION_CODENAME="kali-rolling"

🔗 Blog

#kali #update

✈️ Whitehat Lab 💬Chat

🖼️ Kubespec

Интерактивная шпаргалка по Kubernetes

Описание параметров
Примеры использования
Ссылки на полезные ресурсы

🔗 https://kubespec.dev

#k8s #kubernetes #devops

✈️ Whitehat Lab 💬Chat

🖼️ Kubernetes Goat v2.3.0

Уязвимая среда для изучения безопасности Kubernetes

22 сценария:

▪️Sensitive keys in codebases
▪️DIND (docker-in-docker) exploitation
▪️SSRF in the Kubernetes (K8S) world
▪️Container escape to the host system
▪️Docker CIS benchmarks analysis
▪️Kubernetes CIS benchmarks analysis
▪️Attacking private registry
▪️NodePort exposed services
▪️Helm v2 tiller to PwN the cluster - [Deprecated]
▪️Analyzing crypto miner container
▪️Kubernetes namespaces bypass
▪️Gaining environment information
▪️DoS the Memory/CPU resources
▪️Hacker container preview
▪️Hidden in layers
▪️RBAC least privileges misconfiguration
▪️KubeAudit - Audit Kubernetes clusters
▪️Falco - Runtime security monitoring & detection
▪️Popeye - A Kubernetes cluster sanitizer
▪️Secure network boundaries using NSP
▪️Cilium Tetragon - eBPF-based Security ▪️Observability and Runtime Enforcement
▪️Securing Kubernetes Clusters using Kyverno Policy Engine

Установка:

git clone https://github.com/madhuakula/kubernetes-goat.git
cd kubernetes-goat
chmod +x setup-kubernetes-goat.sh
bash setup-kubernetes-goat.sh

bash access-kubernetes-goat.sh

# navigate to http://127.0.0.1:1234

🔗 Guide
💻 Repo
📔 Docs

#k8s #goat #kubernetes

✈️ Whitehat Lab 💬Chat

⚙️ EDR-Freeze

Currently, in addition to merely focusing on avoiding scrutiny from EDRs (Endpoint Detection and Response) and Antivirus, the trend of using BYOVD (Bring Your Own Vulnerable Driver) techniques to disable the processes of EDRs and Antivirus by attackers is becoming increasingly popular.

The biggest drawback of the BYOVD technique is the need to find a way to install and execute drivers with vulnerabilities to exploit. Alternatively, a more straightforward approach is to exploit vulnerabilities in existing drivers on Windows

📌 Research
💻 Repo

#edr #windows

✈️ Whitehat Lab 💬Chat

🔄💻ApacheTomcatScanner v3.8.0

Узкоспециализированный инструмент написанный на 💻 python для поиска уязвимостей веб-сервера Apache Tomcat

Установка:

sudo python3 -m pip install apachetomcatscanner



Запуск:

ApacheTomcatScanner -tt 172.16.0.10 -tp - —-list-cves

▪️ Проверка доступности
▪️ Многопоточность
▪️ Проверка стандартных УД
▪️ Определение версии
▪️ Список уязвимостей и CVE
▪️ Поддержка прокси
▪️ Экспорт в xlsx, json, sqlite

💻 Repo

#tomcat #apache #apachetomcatscanner #soft #python

✈️ Whitehat Lab 💬Chat

🪛 retoolkit v2025.04

Это набор инструментов для реверс-инжиниринга и/или анализа ВПО в системах Windows x86 и x64.

Некоторые утилиты:

➡️ dex2jar
➡️ AutoIt-Ripper
➡️ HyperDbg
➡️ Cutter
➡️ Ghidra
➡️ de4dot
➡️ dnSpyEx
➡️ elfparser-ng
➡️ GoResym
➡️ HxD
➡️ JADX
➡️ pdf-parser
➡️ oletools
➡️ OfficeMalScanner

💻 Home

#soft #reverse #windows #retoolkit

✈️ Whitehat Lab 💬Chat

LSASS Dump over WMI 🤩

Давайте немного о OS Credential Dumping. Ресерчеры из SpecterOps показали инструмент для дампа кредов из памяти процесса LSASS через протокол WMI 🕺

В чем фича кэп? Нет взаимодействия с классом Win32_Process который палит любой приличный EDR - стильно, модно, молодежно!

🛡 Detection

event.code: 11 and file.path: *Windows\\Temp* and file.extension: dmp

Создание .dmp файла в Temp директории Windows

event.code: 5145 and winlog.event_data.ShareName: *.dmp

Эксфильтрация дампа через SMB шару

💻 Repo: https://github.com/0xthirteen/WMI_Proc_Dump

📖 Research: https://specterops.io/blog/2025/09/18/more-fun-with-wmi/

🧢 s0ld13r

⚙️ pyLDAPGui v 0.1.0

LDAP браузер написанный на 😰 Python с возможностью экспорта в Bloodhound

What started out as a GUI test and something to muck about with has sort of grown arms and legs. As it stands this is a cross platform GUI app for browsing LDAP and will direct YOLO into a Neo4J database, it comes with LDAP/LDAPS browsing capabilites, it'll run standalone and you can modify it how you like

💻 Repo

#pyldapgui #ad

✈️ Whitehat Lab 💬Chat

Полезный пятничный пост 🫥

В ходе исследования угроз часто возникает потребность срочно изучить вредоносный файл/URL/домен. В этом посте мы собрали инструменты, которые у нас всегда под рукой для экспресс‑анализа.

Онлайн‑песочницы позволяют загрузить вредоносный файл в изолированную среду и наблюдать за его активностью:

https://any.run
https://www.virustotal.com
https://tria.ge
https://www.hybrid-analysis.com
https://analyze.intezer.com
https://capesandbox.com/analysis/
https://www.joesandbox.com
https://app.docguard.io/

Проверка доменов и вредоносных URL:

https://www.browserling.com/
https://urlscan.io/
https://urlhaus.abuse.ch/browse/
https://www.greynoise.io/
https://urlquery.net/
https://any.run
https://www.virustotal.com

IoT‑поисковики сканируют IPv4‑пространство с разной частотой и собирают сетевую информацию о хостах. С помощью этих сервисов можно узнать, какие сервисы запущены или какие порты открыты на хостах без активного взаимодействия с ними:

https://en.fofa.info/
https://search.censys.io/
https://www.zoomeye.ai/
https://www.shodan.io/
https://www.criminalip.io/
https://search.onyphe.io/
https://www.binaryedge.io/

Важно помнить, что, загружая файл на такие ресурсы (особенно в их бесплатных версиях), вы отправляете его в публичный доступ, где с ним могут взаимодействовать не только создатели сервиса, но и другие пользователи.

А какими инструментами для экспресс‑анализа пользуетесь вы? Делитесь в комментариях ✍🏼

#tip
@ptescalator

⚙ SAMLSmith

SAMLSmith is a C# tool for generating custom SAML responses and implementing Silver SAML and Golden SAML attacks

🔗 Meet Silver SAML, Golden SAML In the Cloud
🔗 Golden SAML Attack Technique
💻 Utility

#saml #cloud

✈️ Whitehat Lab 💬Chat

⚙️ SharpCMLoot (SCML) v0.0.1

C# порт Python утилиты cmloot

Примеры:

# Discover SCCM servers
SCML.exe --findsccmservers --domain corp.local

# List shares
SCML.exe --host sccm01 --list-shares --current-user

💻 Repo

#windows #sccm #redteam #ad

✈️ Whitehat Lab 💬Chat

🦎🔄 AdaptixC2 v0.8

Обзоры

UPD 0.8:

Изменения

⭐️Возможности:

Server/Client Architecture for Multiplayer Support
Cross-platform GUI client
Fully encrypted communications
Listener and Agents as Plugin (Extender)
Client extensibility for adding new tools
Task and Jobs storage
Files and Process browsers
Socks4 / Socks5 / Socks5 Auth support
Local and Reverse port forwarding support
BOF support
Linking Agents and Sessions Graph
Agents Health Checker
Agents KillDate and WorkingTime control
Windows/Linux/MacOs agents support
Remote Terminal

⚙️Установка/Запуск 💻:

sudo apt install mingw-w64 make

wget https://go.dev/dl/go1.24.4.linux-amd64.tar.gz -O /tmp/go1.24.4.linux-amd64.tar.gz
sudo rm -rf /usr/local/go /usr/local/bin/go
sudo tar -C /usr/local -xzf /tmp/go1.24.4.linux-amd64.tar.gz
sudo ln -s /usr/local/go/bin/go /usr/local/bin/go

sudo apt install gcc g++ build-essential cmake libssl-dev qt6-base-dev qt6-websockets-dev qt6-declarative-dev

git clone https://github.com/Adaptix-Framework/AdaptixC2.git
cd AdaptixC2
make server
make extenders
make client
cd dist
chmod +x ssl_gen.sh
./ssl_gen.sh

./adaptixserver -profile profile.json
./AdaptixClient

💻 Rep
💻 Extension-Kit
📔 Docs
✈️ Group

#adaptixc2 #redteam #soft

✈️ Whitehat Lab 💬Chat

🎯 SpearSpray

Advanced password spraying tool for Active Directory environments. Combines LDAP user enumeration with intelligent pattern-based password generation. Uses Kerberos pre-authentication and leverages user-specific data (pwdLastSet, displayName) to create personalized passwords per user.

🔗 Source:
https://github.com/sikumy/spearspray

#ad #password #spraying #kerberos #bloodhound

⚙️ BypassAV

На этой карте перечислены основные методы обхода AV/EDR
По ссылке ниже в высоком разрешение и версия в pdf

💻 Repo
🔗 Интерактивная

#av #bypass

✈️ Whitehat Lab 💬Chat

💻 GroupPolicyBackdoor

Инструмент пост эксплуатации для различных манипуляций с GPO. Написан на 😰 Python
Впервые представлена на DEFCON 33

Примеры:

#backup
python3 gpb.py restore backup -d 'corp.com' -o './my_backups' --dc ad01-dc.corp.com -u 'john' -p 'Password1!' -n 'TARGET_GPO'

#inject
python3 gpb.py gpo inject --domain 'corp.com' --dc 'ad01-dc.corp.com' -k --module modules_templates/ImmediateTask_create.ini --gpo-name 'TARGET_GPO'

Пример ini:

[MODULECONFIG]
name = Scheduled Tasks
type = computer

[MODULEOPTIONS]
task_type = immediate
program = cmd.exe
arguments = /c "whoami > C:\Temp\poc.txt"

[MODULEFILTERS]
filters =
    [{
        "operator": "AND",
        "type": "Computer Name",
        "value": "ad01-srv1.corp.com"
    }]

GPO creation, deletion, backup and injections
Various injectable configurations, with, for each, customizable options (see list in the wiki)
Possibility to remove injected configurations from the target GPO
Possibility to revert the actions performed on client devices
GPO links manipulation
GPO enumeration / user privileges enumeration on GPOs

💻 Repo
📔 Docs

#gpo #redteam #windows

✈️ Whitehat Lab 💬Chat

💻 Elastic Defend Bypass: UAC Bypass Chain Leading To Silent Elevation

A chained technique has been identified that allows a local, unprivileged attacker to achieve silent privilege escalation to administrator by bypassing protections enforced by Elastic Defend v9.0.4. The method leverages a trusted auto-elevated Windows binary (fodhelper.exe) in conjunction with a registry hijack and COM object execution, resulting in arbitrary code execution at elevated privileges - without triggering a UAC prompt or EDR detection

🔗 UAC Bypass
💻 Presentation

#uac #bypass #windows #lpe

✈️ Whitehat Lab 💬Chat