Twitter sec memories #1 [01.02.15]

Моя подборка тулз и заметок по ИБ в одном посте #1

(наиболее интересное что накопилось за пару дней)

• ICS Security. [Tools, tips, tricks]

Репозиторий посвященный безопасности ICS.

https://github.com/ITI/ICS-Security-Tools#ics-security-tools-tips-and-trade

• Threat Killer

NoVirusThanks Threat Killer is a fully-scriptable malware remover that is able to remove persistent files, kernel drivers installed by rootkits, registry keys and values, terminate processes (even if critical), delete an entire folder (also using recursive) and much more by executing custom scripts.

• FastIR Collector - Windows Incident Response Tool

This tool collects different artefacts on live Windows and records the results in csv files. With the analyses of this artefacts, an early compromission can be detected.

https://github.com/SekoiaLab/Fastir_Collector

• BURPSUITE YARA PLUGIN

http://blog.politoinc.com/2016/01/burpsuite-yara-plugin/

• MassBleed SSL Vulnerability Scanner

sh massbleed.sh [CIDR|IP] [single|port|subnet] [port] [proxy]

https://github.com/1N3/MassBleed

• SELKS (ELK) [iso/vm](Suricata Elasticsearch Logstash Kibana)

SELKS is both Live and installable Network Security Management ISO based on Debian implementing and focusing on a complete and ready to use Suricata IDS/IPS ecosystem with its own graphic rule manager. From start to analysis of IDS/IPS and NSM events in 30 sec.

https://www.stamus-networks.com/open-source/

Via torrent: SELKS-2.1-desktop.iso.torrent
Via HTTP: SELKS-2.1-desktop.iso.

Policy Analyzer [утилита для анализа и сравнения набора объектов групповых политик]

http://blogs.technet.com/cfs-filesystemfile.ashx/__key/telligent-evolution-components-attachments/01-4062-00-00-03-65-94-83/Policy-Analyzer.zip

Beef + Armitage [plugin]

git clone https://github.com/benyG/cortana-scripts

копируем папку beef_strike из cortana-scripts  в /root/
копируем библиотеки из архива (зеркало) в папку /beef_strike/lib
после чего запускаем Armitage.

Подгружаем скрипт beef_strike.cna (если папка beef_strike находится не в каталоге /root/, редактируем файл beef_strike.cna, изменяем пути импорта)

Методы обнаружения песочниц

https://github.com/a0rtega/pafish

Инструмент, который демонстрирует методы обнаружения песочницы и сред анализа вредоносного ПО, таким же образом, как малварь:

Проследить открытие документа. Утечки данных.

На последнем Black Hat Las Vegas был представлен интересный проект Canarytokens, который может элегантно решить проблему. Идея проекта очень проста: мы создаем поддельные «значимые» ресурсы (письма, документы, домены и так далее) и делаем так, чтобы при открытии любого из них атакующим на внешний ресурс отправлялся запрос со специальным токеном. Как только токен приходит, мы узнаем, что кто-то открыл документ, а значит, у нас утечка. Простейший вариант: создать вордовский документ с интересным названием типа passwords.doc с картинкой, вставленной с внешнего сайта.

http://canarytokens.org/generate
https://github.com/GrrrDog/DocTracker

«Офис» с давних времен поддерживает возможность подписать документ, что позволяет защитить его от последующих исправлений. Подпись создается с помощью обычного личного сертификата x509 (считай тот же, что и у HTTPS). При этом подпись документа проверяется сразу же при его открытии, то есть Protected View не останавливает этот процесс.
Второй момент заключается в том, что сертификат проверяется стандартным виндовым CryptoAPI. В самих сертификатах масса мест, где можно указать внешний URL. В первую очередь — проверка отзыва сертификата
(CRL, OCSP) и путь до Intermediate или Root CA («Поставщик центра сер-
тификации»). Таким образом, при проверке подписи «Офису» требуется
проверить сертификат, а потому ОС проверяет всю цепочку сертификатов
(от конечного до корневого), проходя по всем URL. Добыть валидный конечный сертификат с произвольными значениями
CRL и OCSP почти невозможно (эти поля контролируются CA), так что мы
возлагаем надежду только на местоположение сертификата Intermediate
CA — при проверке валидности ОС должна сходить и скачать его. Выходит,
нам нужно создать конечный сертификат и подписать им любой офисный
документ. Создать сертификат несложно: достаточно сделать специальный кон-
фиг и пару раз выполнить команду openssl. Подписать документ тоже не великая
проблема — заходишь во вкладку Insert, далее — Signature Line, вводим
произвольные значения, OK, двойной клик на подпись и выбираешь лич-ный сертификат.

Javascript malware analysis / Javascript backdoor [RAT]

JavaScript Backdoor:

http://en.wooyun.io/2016/01/18/JavaScript-Backdoor.html

v.1 https://github.com/subTee/PoshRat/blob/master/JSrat.ps1

v.2 https://github.com/3gstudent/Javascript-Backdoor/blob/master/JSRat.ps1

Sandbox for semi-automatic Javascript malware analysis. Written for Node.js

https://github.com/HynekPetrak/malware-jail

Prerequisites
You'll need Node.js and npm.

malware-jail requires minimist, and xmlhttprequest and entities npm packages, you may install them with: 

npm install or nmp install minimist xmlhttprequest entities

In the examples folder you may find a deactivated malware file. Run the analysis with:

node jailme.js malware/example.js 

or just simply:

node jailme.js

Internet browser based malware you may test with:

node jailme.js malware/example_browser.js

Репозиторий материалов по ИБ [eng]

Zenk-Security Repository

https://repo.zenk-security.com/?dir=.

Материалы для фаззинга [FuzzDB]

https://github.com/fuzzdb-project/fuzzdb

фаззинг (англ. fuzzing) — это способ тестирования приложений, в основе которого лежит передача некорректных, случайных или непредвиденных логикой программы данных. Чаще всего фаззинг применяется при blackbox-тестировании, т.е. в условиях отсутствия исходных кодов приложения.

Прежде всего необходимо определить нашу цель и отправить ее в Intruder (Actions -> Send To Intruder)...

PowerShell Empire [пост-эксплуатация Windows]

https://github.com/powershellempire/empire

http://www.powershellempire.com/

Video

Video_Rus

Empire is a pure PowerShell post-exploitation agent built on cryptologically-secure communications and a flexible architecture. Empire implements the ability to run PowerShell agents without needing powershell.exe, rapidly deployable post-exploitation modules ranging from key loggers to Mimikatz, and adaptable communications to evade network detection, all wrapped up in a usability-focused framework.

iptables.Создание ловушек на портах. [ TARPIT ]

TARPIT реализован в iptables как дополнительный модуль фаервола и в стандартной поставке его нету. По крайней мере в Ubuntu/Debian это так! Этот модуль включен в пакет вместе с другими интересными модулями фаервола — xtables-addons. Попробуем поискать что есть в репах:

root@Ubuntu:~# apt-cache search xtables
iptables-dev - iptables development files
libxtables10 - netfilter xtables library
xtables-addons-common - Extensions targets and matches for iptables [tools, libs]
xtables-addons-dkms - Extensions targets and matches for iptables
xtables-addons-source - Extensions targets and matches for iptables [modules sources]
root@Ubuntu:~#

Я установил весь пакет, думаю можно собрать конкретные модули из сырцов (xtables-addons-source), но заморачиваться неохота … это же не бздя, нафик самосбор!

root@Ubuntu:~# apt-get install xtables-addons-dkms

root@Ubuntu:~# modprobe xt_TARPIT

...
В логах proftpd светился один крайне назойливый бот, добавляем правило для него:

root@Ubuntu:~# iptables -I INPUT 1 -p tcp -s 175.44.28.125 -j TARPIT

Убедиться что правило добавилось можно просмотрев листинг правил iptables:

root@Ubuntu:~# iptables -L -v -n

Ну вот и все! В следующий раз данному боту обломится нас брутфорсить, да и все остальные сервисы по TCP ему будут недоступны .

P.S. Это простейший метод, ручной. Если вы хотите автоматически блокировать ботов анализируя лог-файлы различных сервисов, вам нужно настроить fail2ban или подобный сервис. Думаю что в ближайшем будущем я напишу о его установке и настройке.