Fast Malware Sandbox Create [Noriben+VMware+Windows+LOKI]

Мой опыт быстрого развертывания портативной среды анализа малвари, на основе vmware и noribien. (аналог Cuckoo)

Скачать все тулзы (что ниже) одним архивом + батники запуска анализа:

https://mega.nz/#F!cAc0XSAA!gyHheyBPOeQ_M44U77DXaw
Или собираем с самыми свежими версиями софта:

VMware
Для начала устанавливаем VMware Workstation. На момент теста у меня стояла 12.1.0 build-3272444. (Pro)
После чего устанавливаем VMware VIX 1.15.0 API for Windows 64-bit operating systems (для каждой вервии вари свой vix)
для 12.1.0 вари: http://www.tuinformaticafacil.com/descargas-gratis/virtualizacion/vmware/vmware-vix-api-para-windows-32-bit-y-64-bit

Windows Malware VM
Для быстроты развертывания можно взять готовый образ Windows XP с официального сайта мелкософта: https://dev.windows.com/en-us/microsoft-edge/tools/vms/windows/

Скачиваем образ по варю и деплоим виртуалку.

После деплоя, нужно довесить сетевуху и обновить vmware-tools, ребутимся.

Далее скачиваем необходимый софт:

PE injector [MITM PE file infector]

Инжект в PE своей кастомной полезной нагрузки без изменений основного функционала оригинального файла. Пачинг PE происходит во время передачи файла.

https://peinjector.eu/

https://github.com/JonDoNym/peinjector

Готовый образ да малины (все предустановленно):

https://github.com/JonDoNym/peinjector/wiki/Guide:-Raspberry-Pi-image

• Download from Google Drive
• Download from Dropbox
• Download from OneDrive
• Download from 0x1337.eu

SSH:
user: root
pass: raspberry
Ports:
3333: python webserver (GUI)
31337: peinjector data port (communication proxy <-> peinjector)
31338: peinjector control port (communication GUI <-> peinjector)
8080: proxy

Twitter sec memories #2 [04.02.15] (HTTP botnet / Android app analysis vm / Router Hunter / MITM vm )

Моя подборка тулз и заметок по ИБ в одном посте #2
(наиболее интересное что накопилось за пару дней)

Терминальный дашборд:

https://github.com/gizak/termui

Сетап:

master mirrors v2 branch, to install:

go get -u github.com/gizak/termui
For the compatible reason, you can choose to install the legacy version of termui:

go get gopkg.in/gizak/termui.v1

HTTP BOTNET Betabot 1.8.0.0.1(Private Version)

https://userscloud.com/xm8wih87ypca

https://mega.nz/#!hV0RQTQS!T82bIE1X2ZkjeGerkQvU8WgAniMM1ZIqtqs6lIjd4e4

(делать все только на виртуалке)

AndroL4b -виртуалка для реверса приложений для видроида. (A Virtual Machine For Assessing Android applications, Reverse Engineering and Malware Analysis)

Download

The tools directory contains tools and frameworks. Labs are in Lab directory.

username : andro
password : androlab

https://github.com/sh4hin/Androl4b

RouterhunterBR 2.0 - тестирование роутеров на уязвимости (automated Tool for Testing in Vulnerable Routers)

Random ips:

python routerhunter.py --dns1 8.8.8.8 --dns2 8.8.4.8 --randomip --limitip 10 --threads 10 

python routerhunter.py --dns1 8.8.8.8 --dns2 8.8.4.8 -rip -lmtip 10 --threads 10

Scanner in range ip: 

python routerhunter.py --dns1 8.8.8.8 --dns2 8.8.4.8 --range 192.168.25.0-255 --threads 10
IP range customized with wildcard / Ex: --startip 201.*.*.* - --endip 201.*.*.* 

python routerhunter.py --dns1 8.8.8.8 --dns2 8.8.4.8 --startip 192.168.*.* --endip 192.168.*.* --threads 10

Brute force with users and passwords on routers that requires authentication, forcing alteration of dns - DSLink 260E. 

python routerhunter.py --dns1 8.8.8.8 --dns2 8.8.4.4 --range 177.106.19.65-70 --bruteforce --threads 10

https://github.com/jh00nbr/Routerhunter-2.0

MITM Virtual Machine

git clone https://github.com/praetorian-inc/mitm-vm.git 

cd mitm-vm 

vagrant up

cobalt-strike_v3.1/2.5 + Beef-xss + Veil-Evasion [plugins]

[ cobaltstrike V 3.1 + 2.5 cracked By AchillePower ]

https://userscloud.com/sa9lwva1lddm

https://userscloud.com/p727yjg8enz3

https://mega.nz/#F!ZJkX3azQ!YQet3tv0RINmhY44lkGnlQ

в 3й версии:
./teamserver 192.168.102.123 password
./cobaltstrike

версии ниже достаточно:
./cobaltstrike

стартуем базу:
#service postgresql start

автозагрузка:
#update-rc.d postgresql enable

проваливаемся в папке кобальта:
cd /path/to/cobaltstrike
./cobaltstrike

[Beef-xss Plugin] (for cobalt v2)

https://mega.nz/#F!BRk3wLAR!U_QQYxDTKCuH-mISeFXA8A

git clone https://github.com/benyG/cortana-scripts

копируем папку beef_strike из cortana-scripts в /root/
копируем библиотеки из архива (зеркало) в папку /beef_strike/lib
после чего запускаем Armitage.

Подгружаем скрипт beef_strike.cna (если папка beef_strike находится не в каталоге /root/, редактируем файл beef_strike.cna, изменяем пути импорта)

[ Veil-Evasion Plugin] (for cobalt v2)

Скачать и установить: http://devnulls.blogspot.com/2015/12/exel-exel-macros-payload-generate.html

git clone https://github.com/Veil-Framework/Veil

chmod +x install.sh

./install.sh

добавляем скрипт через cobalt-strike из каталога:

~/payloads/Veil/Veil-Evasion/tools/cortana/veil_evasion.cna

И прописываем валидные пути к каталогу в кобальте. 

Архитектура и стратегия информационной безопасности Cisco (SAFE)

Схема (полный размер):

https://mega.nz/#!AcMFzYxS!ubFUys8m4LC-jc8WnZsjCjIn_cTHR1ey59VhXagE9cE

Дока от цыски на русском:

http://www.cisco.com/web/RU/downloads/broch/Cisco_Security_Architecture.pdf

Список блогов по ИБ [2016]

SecBlogs (из закладок)

Бизнес без опасности

Жизнь 80 на 20

Безопасность для понимающих и не очень

Security Insight

В тему и offtopic

Рецепты безопасности от Емельянникова

Блог Артема Агеева

Блог Сергея Борисова про ИБ

Синдром сапожника

Быть, а не казаться | О безопасности и не только

Записки на манжете

Ригельз Дыбр

ZLONOV.ru | Alexey Komarov's blog

Взрывной блог » Взлом и защита, с перевесом первого. Несерьёзный блог о серьёзных вещах

Защита персональных данных и не только - книга рецептов

Информационная безопасность (Ростовская область)

Информационная безопасность - АУДИТ, ОЦЕНКА

Архивы безопасности

REPLY-TO-ALL Information Security Blog

Солянка

ИБ. Взгляд снизу

www.itzashita.ru Проект "ИТ-защита". ИТ безопасность. Стандартизация, проектирование, методология.

Intercept the planet!

Redirecting

Manannikov-DA | BIS-Expert

0xAA - Random notes on security

Безопасность АСУ ТП

ИБ в СПб

АГАСОФИЯ

Журнал Изменений

Дудко Дмитрий, информационная и экономическая безопасность

Смотря как смотреть

Redirecting

Another Brick in the Firewall

Блог Павла Кулькова в informationsecurity.club

Секьюрный | Securny | блог специалиста по системной интеграции в области Identity Management & Access Governance

egengrinovich

Социальная инженерия

Twitter sec memories #1 [01.02.15]

Моя подборка тулз и заметок по ИБ в одном посте #1

(наиболее интересное что накопилось за пару дней)

• ICS Security. [Tools, tips, tricks]

Репозиторий посвященный безопасности ICS.

https://github.com/ITI/ICS-Security-Tools#ics-security-tools-tips-and-trade

• Threat Killer

NoVirusThanks Threat Killer is a fully-scriptable malware remover that is able to remove persistent files, kernel drivers installed by rootkits, registry keys and values, terminate processes (even if critical), delete an entire folder (also using recursive) and much more by executing custom scripts.

• FastIR Collector - Windows Incident Response Tool

This tool collects different artefacts on live Windows and records the results in csv files. With the analyses of this artefacts, an early compromission can be detected.

https://github.com/SekoiaLab/Fastir_Collector

• BURPSUITE YARA PLUGIN

http://blog.politoinc.com/2016/01/burpsuite-yara-plugin/

• MassBleed SSL Vulnerability Scanner

sh massbleed.sh [CIDR|IP] [single|port|subnet] [port] [proxy]

https://github.com/1N3/MassBleed

• SELKS (ELK) [iso/vm](Suricata Elasticsearch Logstash Kibana)

SELKS is both Live and installable Network Security Management ISO based on Debian implementing and focusing on a complete and ready to use Suricata IDS/IPS ecosystem with its own graphic rule manager. From start to analysis of IDS/IPS and NSM events in 30 sec.

https://www.stamus-networks.com/open-source/

Via torrent: SELKS-2.1-desktop.iso.torrent
Via HTTP: SELKS-2.1-desktop.iso.