Blackhat Pentesting

🔥 Pwn2Own 2024: Новейшие эксплойты и уязвимости 🔥

На конкурсе Pwn2Own 2024 хакеры показали, как можно взломать кучу систем и обосрать всю их безопасность. Вот что они откопали:

🔹 Tesla:
Команда Synacktiv взломала Tesla и урвала $100,000, использовав три уязвимости нулевого дня, чтобы получить root-доступ к модему. Но это не все! Они также нашли баг с переполнением целого числа в ECU, что позволило контролировать CAN BUS тачки, за что им насыпали еще $200,000 и новенький Tesla Model 3.

🔹 Firefox:
Манфред Пол срубил $100,000 за эксплойт, который позволил удаленно выполнить код и выйти из песочницы в Firefox. Этот баг также зацепил Chrome и Edge, так что веселье еще то.

🔹 VMware:
Команда Theori наколдовала эксплойты для VMware Workstation, использовав цепочку багов, что дало возможность выполнить код на хосте Windows с системными привилегиями. За это им дали $130,000.

🔹 Docker:
Star Labs SG получили $60,000 за единственный эксплойт для Docker. Этот баг показал, как легко облажаться с конфигурацией контейнеров.

🔹 OpenSSH:
Уязвимость regreSSHion позволила хакерам делать удаленные атаки на сервера OpenSSH. Хотя массовый взлом маловероятен, баг уже привлек кучу внимания.

🔥 Обновление CrowdStrike вызвало массовые сбои по всему миру: что делать? 🔥
Организации по всему миру сообщают о значительных сбоях, которые, по-видимому, вызваны неудачным обновлением от крупной компании в области кибербезопасности CrowdStrike (NASDAQ: CRWD). 🚨

Что произошло?
После массовых сообщений о появлении "синего экрана смерти" (BSOD) на компьютерах с Windows, CrowdStrike запустила расследование. На момент написания этой статьи компания сообщила, что работает над откатом изменений, которые могли вызвать проблему.

Что вызывает BSOD?
Причиной проблемы стал недавний апдейт сенсора CrowdStrike Falcon. Пострадавшие устройства входят в циклы BSOD, делая их неработоспособными. 😱

Решение проблемы:
Рекомендуется загрузка системы в безопасном режиме и удаление одного из компонентов CrowdStrike. 🛠

Заявление CEO CrowdStrike:
Генеральный директор CrowdStrike, Джордж Курц, заявил на платформе X (ранее известной как Twitter), что проблема вызвана "дефектом, обнаруженным в одном из обновлений для Windows". Курц добавил, что "хосты Mac и Linux не затронуты. Это не инцидент безопасности или кибератака. Проблема была идентифицирована, изолирована, и исправление уже развернуто."

Масштаб проблемы:
Сбои затронули крупные организации, включая аэропорты, банки, медиа и больницы. Однако некоторые инциденты связаны с неполадками в облачном сервисе Microsoft, не связанными с CrowdStrike. Тем не менее, обновление от CrowdStrike вызвало значительные проблемы, в том числе в крупных аэропортах по всему миру. Американские авиалинии сообщили BBC, что рейсы были задержаны из-за "технических проблем с CrowdStrike". ✈️

Даже Google Cloud сообщил о сбоях в своём Compute Engine, отметив, что "виртуальные машины Windows с использованием csagent.sys от CrowdStrike падают и неожиданно перезагружаются."

Мнение экспертов:
Кевин Бомонт, уважаемый эксперт в области кибербезопасности, заявил, что текущий глобальный IT-сбой вызван CrowdStrike, а не Microsoft, которая уже решила свои проблемы.

"Система CrowdStrike – это топовый продукт для обнаружения и реагирования на инциденты (EDR), используемый везде – от кассовых терминалов до банкоматов и т.д. Это, вероятно, станет самым крупным инцидентом в мире с точки зрения его влияния," – сказал Бомонт. 🌍

Акции CrowdStrike упали примерно на 20% в предварительных торгах на момент публикации. 📉

🔍 Kaspersky уходит с рынка США после запрета

Российская компания Kaspersky завершает свою деятельность в США после запрета Министерства торговли, связанного с угрозой национальной безопасности. С 20 июля 2024 года компания прекратит все операции в США, включая поддержку и обновления программного обеспечения.

Минторг утверждает, что ПО Kaspersky может представлять угрозу для критически важной инфраструктуры США, включая кражу данных и шпионаж.

Kaspersky опровергает обвинения, называя их политически мотивированными.

APT40: Использование новых уязвимостей в ПО (N-days)
Китайская хакерская группа APT40 активно использует новые уязвимости в ПО (N-days) практически сразу после их обнародования. Это предупредили в совместном заявлении правительственные агентства Австралии, США, Великобритании, Канады, Новой Зеландии, Германии, Южной Кореи и Японии.

APT40 предпочитает атаковать уязвимую, публично доступную инфраструктуру, а не использовать методы, требующие взаимодействия с пользователем, такие как фишинговые атаки.

Группа регулярно проводит разведку сетей, чтобы найти уязвимые или устаревшие устройства, и быстро разворачивает эксплойты. Они могут использовать новые уязвимости в ПО, таком как Log4j, Atlassian Confluence и Microsoft Exchange, в течение нескольких часов после их обнародования.

"APT40 способна быстро адаптировать доказательства концепции (POCs) новых уязвимостей и сразу же использовать их против уязвимых сетей," говорится в сообщении.


Группа успешно использует уязвимости, начиная с 2017 года. Проникнув в сеть, APT40 применяет техники уклонения и сохранения присутствия, чтобы красть чувствительные данные для Министерства государственной безопасности Китая.

APT40 неоднократно нацеливалась на австралийские сети, а также на сети правительственных и частных организаций в регионе, оставаясь угрозой для других стран.

Их методы пересекаются с другими группами, такими как Kryptonite Panda, GINGHAM TYPHOON, Leviathan и Bronze Mohawk.

Как APT40 проводит атаки
ASD сообщает, что APT40 использует скомпрометированные устройства, включая домашние и офисные роутеры, в качестве конечных точек для своих атак в Австралии.

Многие из этих устройств устарели или не обновлены, что делает их легкой целью для эксплуатации. После взлома, эти устройства помогают замаскировать атаки под легитимный трафик.

Этот метод также используется другими китайскими хакерскими группами.

Ранее APT40 использовала скомпрометированные австралийские сайты для управления своими атаками. В сообщении также приводятся примеры атак APT40, показывающие, как они перемещаются по сетям и избегают обнаружения после взлома.

🔐 ИИ на страже данных: Реальная защита в 2024 году! 🔐

Сап.

Сегодня поговорим о том, как искусственный интеллект помогает нам защищать данные в 2024 году. Технологии развиваются стремительно, и вот конкретные способы, как ИИ уже защищает наши данные:

1. Обнаружение угроз в реальном времени 🛡
ИИ-системы, такие как Darktrace, анализируют сетевой трафик и поведение пользователей, чтобы моментально выявлять аномалии и предотвращать кибератаки. Эти системы учатся на данных и могут предсказать, когда и где может произойти атака.

2. Автоматическая реакция на инциденты 🚨
Платформы вроде Cortex XSOAR от Palo Alto Networks используют ИИ для автоматизации реагирования на инциденты. Когда система обнаруживает угрозу, она автоматически предпринимает меры, такие как блокировка доступа или изоляция зараженных устройств.

3. Улучшение аутентификации пользователей 🔒
ИИ улучшает методы аутентификации, такие как биометрия и поведенческий анализ. Примером может служить BioCatch, которая отслеживает поведенческие биометрические данные, чтобы удостовериться, что пользователь действительно является тем, за кого себя выдает.

4. Предотвращение фишинговых атак 🕵️‍♂️
Сервисы, такие как Area 1 Security, используют ИИ для сканирования электронных писем и выявления фишинговых сообщений до того, как они попадут в почтовые ящики сотрудников. Это значительно снижает риск компрометации данных через фишинг.

5. Прогнозирование и предотвращение атак на цепочки поставок 🔗
Платформы вроде Resilinc используют ИИ для анализа цепочек поставок и выявления потенциальных уязвимостей. Это помогает компаниям заранее готовиться к возможным атакам и предотвращать их.

Эти технологии не просто слова, они реально работают и уже сегодня помогают защищать наши данные от киберугроз.

#meme

Если вы знакомы с инструментами команды ProjectDiscovery, возможно, слышали о фреймворке Katana. Если нет, давайте вас ознакомим.

⚒ Katana - это удобный инструмент для краулинга, парсинга и поиска информации, аналогичный режиму Spider в Burp Suite, но CLI

1️⃣ Сканирование веб-сайтов:
- Стандартный режим: $ katana -u http://example1.com
- Режим без отображения интерфейса: $ katana -u http://example2.com -hl
- Краулинг JavaScript-файлов: $ katana -list url_list.txt -jc

2️⃣ Фильтрация результатов:
- Показывать только пути: $ katana -u http://example3.com -fields path
- Показывать только файлы: $ katana -u http://example4.com -fields file
- Сопоставление расширений файлов: $ katana -u http://example5.com -em php,js,txt
- Фильтрация выходных данных по расширениям: $ katana -u http://example6.com -ef png,gif,woff

3️⃣ Сохранение результатов:
- Вывод в файл: $ katana -u http://example7.com -o out
- Вывод в JSON: $ katana -u http://example8.com -j -o out.json
- Тихий режим: $ katana -u http://example9.com -silent

4️⃣ Настройка параметров:
- Конкурентность и параллелизм: $ katana -u http://example10.com -d 10 -c 5
- Задержка: $ katana -list targets.txt -p 5 -delay 12
- Ограничение скорости: $ katana -u http://example11.com -rl 20

5️⃣ Дополнительные опции:
- Обход определенной строки URL: $ katana -u http://example12.com -cs images
- Исключение указанной строки URL: $ katana -u http://example13.com -cos admin
- Сканирование всего домена: $ katana -u http://example14.com -fs fqdn

6️⃣ Полезные настройки:
- Глубина сканирования: $ katana -u http://example15.com -depth 10
- Таймаут: $ katana -u http://example16.com -timeout 20
- Использование прокси: $ katana -u http://example17.com -proxy http://127.0.0.1:8080

Пришло время формализировать все наработки, хотя бы базовые. Начинаем цикл статей #ИБотАдоЯ. Просто чтоб было для потомков
https://telegra.ph/IB-ot-Script-kiddie-do-CEH-chast-1-10-22

🥔 Coerced Potato
Новая тулка для повышения привелегий на виндовсных машинах. Плюс-минус работает на свежих версиях винды

⚙️ Тулка:
https://github.com/hackvens/CoercedPotato

📝 Документация:
https://blog.hackvens.fr/articles/CoercedPotato.html

Кто понял, тот понял
https://github.com/ErikWynter/CVE-2023-22515-Scan

🗜 Попался на глаза занятный инструмент для обмена файлами - утилита croc. Просто указываем какой файл хотим отправить, передаём получателю специальный код и он, используя этот код, загружает файл себе.

- Github: https://github.com/schollz/croc
- Подробности: https://schollz.com/tinker/croc6/
- Интервью с автором: https://console.substack.com/p/console-91

#croc #будничное #filetransfer

Атака GPU.zip, позволяющая воссоздать данные, отрисовываемые GPU
Группа исследователей из нескольких университетов США разработала новую технику атаки по сторонним каналам, позволяющую воссоздать визуальную информацию, обрабатываемую в GPU. При помощи предложенного метода, который получил название GPU.zip, атакующий может определить выводимую на экран информацию. Среди прочего атака может быть проведена через web-браузер, например, продемонстрировано, как открытая в Chrome вредоносная web-страница может получить информацию о пикселях, выводимых при отрисовке другой web-страницы, открытой в том же браузере.

Реально пугающая нейронка Pimeyes — достаточно одной фотки человека, чтобы найти ее лицо во всех возможных кешах.

Концепт настолько сумасшедший, что может найти вашу морду в стикерах Telegram.

Удобная шпаргалка по curl

​​Правительство Китая запретило чиновникам центральных правительственных учреждений приносить в офисы телефоны иностранных марок, в том числе iPhone, или использовать их для работы в правительстве, сообщает The Wall Street Journal. Ссылаясь на неназванные источники, в статье говорится, что Китай стремится «сократить зависимость страны от иностранных технологий» и усилить кибербезопасность, а также предотвратить утечку конфиденциальных данных иностранным правительствам.

Хотя этот шаг в целом нацелен на смартфоны иностранного производства, Apple выделяется среди других, поскольку Китай остается одним из крупнейших рынков для компании. Страна также продолжает оставаться важной частью своей цепочки поставок, даже несмотря на то, что она переносит производство в такие страны, как Индия. Поскольку Китай является такой большой частью прибыли, Apple в прошлом вносила изменения в свое программное обеспечение iOS, чтобы успокоить страну, например, ограничивая временное окно AirDrop до 10 минут или удаляя смайлики с тайваньским флагом.

Всегда горил, что моднявые хранилища паролей - полное говно, и вот тебе раз:
Утечка данных LastPass (которую они описывали как несущественную) привела к суммарной потере >$35 миллионов в крипте.
Храните чувствительные данные в собственных хранилищах и в зашифрованном виде. Проблем не будет.

В Atlas VPN обнаружена уязвимость "нулевого дня" в клиенте для Linux, которая позволяет узнать реальный IP-адрес пользователя всего лишь при посещении любого веб-сайта.

Atlas VPN - это VPN-сервис на базе протокола WireGuard с саппортом всех существующих ОС.
Исследователь опубликовал доказательство концепции на Reddit, и описывает, что клиент Atlas VPN для Linux, в частности последняя версия 1.0.3, имеет API-энпоинт на 127.0.0.1:8076.
API предоставляет CLI для выполнения различных действий, таких как отключение VPN-сессии через URL http://127.0.0.1:8076/connection/stop.
Однако эндпоинт API не имеет аутентификации, что позволяет любому приложению отправлять команды через CLI

На Reddit пользователь с никнеймом 'Educational-Map-8145' опубликовал PoC, который демонстрирует работу уязвимости.
Этот PoC создает скрытую форму, которая автоматически отправляется с использованием JS для подключения к эндпоинту API http://127.0.0.1:8076/connection/stop. При тычке в этот эндпоинт, все активные сеансы Atlas VPN автоматически завершаются.
После отключения VPN, эксплойт подключается к URL api.ipify.org для логгирования айпишника юзера.

Инженер по кибербезопасности из Amazon, Крис Партридж, провел тестирование и подтвердил эксплойт, создав видеоролик, который демонстрирует, как можно использовать уязвимость для раскрытия IP-адреса.

⚒RedEye — это инновационный аналитический инструмент с открытым исходным кодом, разработанный для эффективной поддержки профессиональных пентестеров и Red-хакеров в задачах визуализации данных и составления информативных отчетов о своей работе.

Отличный инструмент позволяет проводить анализ и визуализацию сложных данных, оценивать стратегии и формировать дальнейшие планы действий. Софтина умеет переваривать логи от, например, Cobalt Strike, и выводить их в человекопонятном виде.

🕵️ Удобный парсер слитых персональных данных. ТЫК

Ленивое оружие, известное как back-me-up, обеспечивает анализ утечек конфиденциальной информации посредством остроумных шаблонов и высококлассных регулярных выражений. Эти шаблоны аккуратно сфокусированы на рассекречивании информации, спрятанной в уголках Wayback Machine.