[Hack and Security] Cookies

20.01.2016

Репозиторий материалов по ИБ [eng]

Материалы для фаззинга [FuzzDB]

https://github.com/fuzzdb-project/fuzzdb

фаззинг (англ. fuzzing) — это способ тестирования приложений, в основе которого лежит передача некорректных, случайных или непредвиденных логикой программы данных. Чаще всего фаззинг применяется при blackbox-тестировании, т.е. в условиях отсутствия исходных кодов приложения.

Прежде всего необходимо определить нашу цель и отправить ее в Intruder (Actions -> Send To Intruder)...

OPEN »

PowerShell Empire [пост-эксплуатация Windows]

https://github.com/powershellempire/empire

http://www.powershellempire.com/

Video

Video_Rus

Empire is a pure PowerShell post-exploitation agent built on cryptologically-secure communications and a flexible architecture. Empire implements the ability to run PowerShell agents without needing powershell.exe, rapidly deployable post-exploitation modules ranging from key loggers to Mimikatz, and adaptable communications to evade network detection, all wrapped up in a usability-focused framework.

iptables.Создание ловушек на портах. [ TARPIT ]

TARPIT реализован в iptables как дополнительный модуль фаервола и в стандартной поставке его нету. По крайней мере в Ubuntu/Debian это так! Этот модуль включен в пакет вместе с другими интересными модулями фаервола — xtables-addons. Попробуем поискать что есть в репах:

root@Ubuntu:~# apt-cache search xtables
iptables-dev - iptables development files
libxtables10 - netfilter xtables library
xtables-addons-common - Extensions targets and matches for iptables [tools, libs]
xtables-addons-dkms - Extensions targets and matches for iptables
xtables-addons-source - Extensions targets and matches for iptables [modules sources]
root@Ubuntu:~#

Я установил весь пакет, думаю можно собрать конкретные модули из сырцов (xtables-addons-source), но заморачиваться неохота … это же не бздя, нафик самосбор!

root@Ubuntu:~# apt-get install xtables-addons-dkms

root@Ubuntu:~# modprobe xt_TARPIT

...
В логах proftpd светился один крайне назойливый бот, добавляем правило для него:

root@Ubuntu:~# iptables -I INPUT 1 -p tcp -s 175.44.28.125 -j TARPIT

Убедиться что правило добавилось можно просмотрев листинг правил iptables:

root@Ubuntu:~# iptables -L -v -n

Ну вот и все! В следующий раз данному боту обломится нас брутфорсить, да и все остальные сервисы по TCP ему будут недоступны .

P.S. Это простейший метод, ручной. Если вы хотите автоматически блокировать ботов анализируя лог-файлы различных сервисов, вам нужно настроить fail2ban или подобный сервис. Думаю что в ближайшем будущем я напишу о его установке и настройке.

18.01.2016

Python Tools : Penetration Testers Arsenal (hack scripts, tools)

Network

Scapy, Scapy3k: Send, sniff and dissect and forge network packets. Usable interactively or as a library
pypcap, Pcapy and pylibpcap: Several different Python bindings for libpcap
libdnet: Low-level networking routines, including interface lookup and Ethernet frame transmission
dpkt: Fast, simple packet creation/parsing, with definitions for the basic TCP/IP protocols
Impacket: Craft and decode network packets. Includes support for higher-level protocols such as NMB and SMB
pynids: Libnids wrapper offering sniffing, IP defragmentation, TCP stream reassembly and port scan detection
Dirtbags py-pcap: Read pcap files without libpcap
flowgrep: Grep through packet payloads using regular expressions
Knock Subdomain Scan, Enumerate subdomains on a target domain through a wordlist
SubBrute, Fast subdomain enumeration tool
Mallory, Extensible TCP/UDP man-in-the-middle proxy, supports modifying non-standard protocols on the fly
Pytbull: Flexible IDS/IPS testing framework (shipped with more than 300 tests)

Debugging and Reverse Engineering

OPEN »

Malicious Code Analysis on Ukraine's Power Grid Incident [BlackEnergy]

Ukraine Power Grid APT (Knownsec Security Team) :
(Расследование APT атаки на украинские энергосистемы)

OPEN »

13.01.2016

Киберугроза BlackEnergy2/3 [Атаки на ТИ инф-ру Украины]

Атаки на критическую ИТ инфраструктуру Украины:

В результате проведения компьютерно-технических исследований, также был выявлен некоторый инструментарий, применяемый злоумышленниками в процессе осуществления атаки, а именно:

reDuh – для туннелирования TCP через HTTP-запросы, бэкдор; позволяет получать доступ ко внутренним объектам сети извне [10].
weevely3 – веб-шелл для командной строки, бэкдор; позволяет получать доступ ко внутренним объектам сети извне [11].
dropbear – специальная версия SSH-сервера; открывает сокет и позволяет подключаться удаленно с использованием «вшитого» пароля или ключа, бэкдор [12].
DSEFix – для загрузки неподписанных драйверов в обход существующих механизмов защиты ОС [12].

Не пренебречь возможностью и проверить лог-файлы и информационные потоки на предмет наличия/отсутствия в них свидетельств сетевого взаимодействия с использованием указанных индикаторов:

hxxps://5.9.32.230/Microsoft/Update/KS1945777.php
hxxps://31.210.111.154/Microsoft/Update/KS081274.php
hxxps://88.198.25.92/fHKfvEhleQ/maincraft/derstatus.php
hxxps://31.210.111.154/Microsoft/Update/KS081274.php
hxxps://146.0.74.7/l7vogLG/BVZ99/rt170v/solocVI/eegL7p.php
hxxps://188.40.8.72/l7vogLG/BVZ99/rt170v/solocVI/eegL7p.php
hxxps://5.149.254.114/Microsoft/Update/KC074913.php
hxxps://148.251.82.21/Microsoft/Update/KS4567890.php

Будет не лишним проверить наличие определенных файлов, содержащих в зашифрованном виде плагины BlackEnergy2:

%WINDIR%\system32\drivers\ieapflrt.dat

Больше индикаторов вы можете почерпнуть тут [17] и тут [18].

Использованные материалы:

[1] http://www.welivesecurity.com/2016/01/03/blackenergy-sshbeardoor-details-2015-attacks-ukrainian-news-media-electric-industry/
[2] http://www.welivesecurity.com/2016/01/04/blackenergy-trojan-strikes-again-attacks-ukrainian-electric-power-industry/
[3] http://habrahabr.ru/company/eset/blog/274469/
[4] http://www.forbes.com/sites/thomasbrewster/2016/01/04/ukraine-power-out-cyber-attack/
[5]http://www.theregister.co.uk/2016/01/04/blackenergy_drains_files_from_ukraine_media_energy_organisations/
[6] http://www.reuters.com/article/us-ukraine-crisis-malware-idUSKBN0UI23S20160104
[7] http://www.oe.if.ua/showarticle.php?id=3413
[8] http://www.isightpartners.com/2014/10/cve-2014-4114/
[9] http://habrahabr.ru/company/eset/blog/240345/
[10] https://github.com/sensepost/reDuh
[11] https://github.com/epinna/weevely3
[12] https://matt.ucc.asn.au/dropbear/dropbear.html
[13] https://github.com/hfiref0x/DSEFix
[14] http://lb.ua/news/2016/01/05/325082_eset_hakeri_zarazili_ukrainskie.html
[15] https://golospravdy.com/xakery-vzlomali-vse-sajty-mediagruppy-inter/
[16] http://www.koe.vsei.ua/koe/index.php?page=50&novost=208
[17] https://securelist.com/blog/research/67353/be2-custom-plugins-router-abuse-and-target-profiles/
[18] https://www.youtube.com/watch?v=I77CGqQvPE4

https://cys-centrum.com/ru/news/black_energy_2_3

12.01.2016

[Messenger Table] Краткая таблица популярных мессенджеров и причин, почему они должны умереть

http://habrahabr.ru/post/272937/

11.01.2016

Generate Meterpreter payloads via msfvenom [FAST] Быстрый способ создания полезной нагрузки

https://github.com/g0tmi1k/mpc

A quick way to generate various "basic" Meterpreter payloads via msfvenom

Install:
Designed for Kali Linux v2.x & Metasploit v4.11+.
Kali v1.x should work.
OSX 10.11+ should work.
Weakerth4n 6+ should work.
...nothing else has been tested.

curl -k -L "https://raw.githubusercontent.com/g0tmi1k/mpc/master/mpc.sh" > /usr/bin/mpc chmod +x /usr/bin/mpc mpc

GlassRAT [Dropper, dllinjection]

Схема заражения GlassRAT:

Можно сам сервер как dll сделать, а запускать его через дроп. тк палива меньше.
при запуске дропа, из ресурсов выдергивается dll'ка и передается управление dll'шке, а она уже инфецирует систему и пишется в автозагрузку, и антивирус в отсосе.

OPEN »