*?‍? *Linux под ударом.

• Небольшое руководство, которое подсвечивает некоторые слабые места #Linux. Основной упор сделан на повышении привилегий и закреплению в системе, а в качестве примера мы будем использовать несколько уязвимых виртуальных машин. Содержание следующее:

• RECON:
- Info;
- Открытые источники.

• SCAN:
- Info;
- Скан nmap;
- Скан средствами OC;
- Обфускация IP;
- Скан директорий сайта;
- Cкан поддоменов;
- Скан WordPress.

• VULNERABILITY ANALYSIS:
- Анализ.

• EXPLOITATION:
- Info;
- BruteForce;
- Local Enumeration.

• PRIVILEGE ESCALATION:
- Info;
- Локальные аккаунты;
- Crack hash;
- Misconfig;
- Kernel exploits.

• PERSISTENCE:
- info;
- SSH Keys;
- ПсевдоROOT аккаунт;
- bashrc;
- Cron Jobs;
- Systemd;
- Systemd Timers;
- rc.local;
- MOTD;
- APT;
- Git hook;
- Git config;
- PAM backdoor;
- Заключение.

S.E. ▪️infosec.work *▪️*** VT

*? *OSINT по фото.

• Данный материал написан в соавторстве с @mycroftintel

• Один из самых любопытных разделов OSINT-это поиск по лицу. Действительно, нет ничего более прикольного, когда ты только по фотографии узнаешь имя человека или адрес его страницы в соцсетях. А дальше дело техники - соцсети дают массу зацепок для дальнейшего расследования. И получается очень круто. Был перед тобой незнакомец, а теперь все про человека как на ладони. Магия, да и только.

• Теперь о том, чем эту магию делать. К сожалению, вариантов не очень много. Самый лучший (потому что бесплатный) Search4faces. Работает неплохо, выявляет людей в 2 из 3 случаев. Ещё есть аналог - FindClone. С его помощью даже некоторые журналисты проводили расследования.

• Если мы говорим про иностранный сегмент, то обратите внимание на PimEyes. Он хоть и из РФ не работает, но при должном умении все получится. Ищет он по фоткам из Интернета. И это удобно.

• Например, из личной практики. Нам скинули лицо и попросили узнать, кто это. С помощью PimEyes мы установили, что это никто иной, как кореш сына президента Турции Эрдогана. Заядлый лучник, кстати. Вот такая вот магия!

• Дополнительную информацию можно найти в группе @mycroftintel

S.E. ▪️infosec.work *▪️*** VT

✈ Фишинг и угон Telegram (v8).

• Есть такой очень известный ресурс — savefrom.net, который позволяет скачивать материал с YouTube, Twitter (X), ВК и других источников. Если Вы воспользуетесь данным ресурсом и попытаетесь скачать что-либо, то заметите, что в браузере откроется новая вкладка на другом домене.

• Так вот, дело в том, что Вас может перекинуть на фишинговый ресурс, как это было с автором канала @intosecurity. У него открылась страница с доменом https://vk.com\-id.page, которая содержала информацию о том, что его страница в ВК заблокирована, а для разблокировки надо авторизоваться через Telegram. Как думаете, что бы произошло после авторизации на данном сайте через Telegram? Правильно! Можно бы было попрощаться с аккаунтом (оставлю внизу ссылочки, почитайте как это работает).

• Я это к тому, что даже на таких популярных ресурсах (а savefrom очень популярный, который работает с бородатого 2008 года) всегда нужно быть начеку. Всегда следите за тем, куда вас редиректит, какие страницы открываются, какие действия от вас требуют и всегда думайте на холодную голову. О всех этих рекомендациях я уже писал 100500 раз, но лучше напомню еще раз, так как данные схемы весьма эффективны и так обманывают даже опытных ИТ специалистов.

• Ну и напоследок дам небольшую рекомендацию: всегда проверяйте то, что собираетесь скачать. В этом Вам поможет наш бесплатный бот S.E. Virus Detect, который умеет проверять файлы и ссылки на наличие угроз более чем 70 антивирусами одновременно. Используйте и не дайте себя обмануть!

• Ссылки, о которых говорил выше:

- Доверяй но проверяй: cкам в Telegram;
- Социальная инженерия и угон Telegram (v7);
- Рынок фишинга в Telegram;
- Социальная инженерия и угон Telegram (v6) и (v5).

S.E. ▪️infosec.work *▪️*** VT

*? *Snoop (v1.4.1).• Snoop — один из самых перспективных #OSINT инструментов для поиска user_name с учётом СНГ локаций. 90% из Вас уже слышали об этом инструменте и в более подробном описании он не нуждается.

• Две недели назад была опубликована новая версия (1.4.1) этого инструмента, которая включает в себя следующие изменения:

- Расширена поисковая web-base Snoop до 4200+ сайтов (было 3700);
- Улучшен алгоритм агрессивного режима поиска: опция \-\-quick/\-q в Snoop на Windows (ускорение поиска составляет от 5% до 200% в зависимости от версии Windows и производительности ПК, снижено потребление ОЗУ);
- В блок 'snoop info' опции '--version/-V' добавлен предварительно расчетный параметр;
- Обновлен формат дат в CLI/отчетах согласно международному стандарту ISO 8601.

• Полное описание обновления читайте в Changelog'е.• Скачать Snoop для Windows и Linux можно отсюда;
• База данных из 4200+ ресурсов;• Документация \ подробное руководство;• Автор.• Дополнительная информация доступна по хештегу #OSINT и в наших подборках: https://t.me/Social_engineering/3202

S.E. ▪️infosec.work *▪️*** VT

?Майнинг за чужой счет.

• Данный материал написан в соавторстве с @mycroftintel

• Скамеры бывают такими талантливыми! И это факт. Знаете, что такое вирусы-майнеры? Это когда после посещения всем известных сайтов ваш процессор и видеокарта вдруг становятся загруженными под 100%, а вентиляторы системного блока готовятся ко взлету. В этот момент вы не запускаете супер-производительную игру и даже не рендерите 8к-видео. Ваш компьютер просто жрет ваше электричество и ресурсы для того, чтобы намайнить биток. Но только не для вас, а для доброго дяденьки, который вас этим вирусом заразил.

• Но если вы человек опытный – вас на мякине не проведешь. Вы используете виртуалку, чтобы не занести гадость на хостовую машину, не открываете подозрительные письма и ссылки. Файлы незнакомые не скачиваете, например. Но даже если вы делаете все по красоте, от майнинга на вашей машине вы не защищены.

• А все дело в майнинге с помощью браузера. Да-да, майнить сейчас можно с помощью чего угодно, хоть с помощью мобильника, хоть с помощью умных часов. И браузер тут не самая экзотичная вещь. Но, тем не менее, заходя на некоторые сайты, через ваш браузер идет использование вашей инфраструктуры. Конечно, с одного хомяка выхлоп будет никакой, но вот с толпы прибыль будет уже ощутимой.

• Как защитить себя? Во-первых, используйте защищенные браузеры. Brave или LibreWolf прикроют вас от этих бед. Ну и не побрезгуйте антивирусом на этот случай. У многих из них вшита защита от такого типа рисков. Ну или навесьте расширения на ваш браузер. Чего только нет в магазине расширений Хром. Так-то. Всем безопасности!

• Дополнительную информацию можно найти в группе @mycroftintel

S.E. ▪️infosec.work *▪️*** VT

*❔ *Список вопросов по наступальной безопасности. Часть 2.

• Недавно делился с Вами интересным репозиторием, который содержит в себе ряд вопросов по наступательной безопасности и является очень хорошим ресурсом для подготовки к собеседованиям (ну или в качестве ресурса для самостоятельного обучения).

• Так вот, сегодня я поделюсь еще одним ресурсом — он содержит сотни тривиальных вопросов, к которым стоит подготовиться перед прохождением собеседования:

➡ https://github.com/HadessCS/Red-team-Interview-Questions

• P.S. А если этого мало, то загляните в @infosec_work, тут опубликованы тысячи ИБ вакансий, благодаря которым можно легко понять, какие сейчас требования при трудоустройстве и какая область знаний Вами не покрыта для самостоятельного обучения.

S.E. ▪️infosec.work *▪️*** VT

? 20 лет назад появился первый в истории мобильный червь — Cabir.• Совершенно забыл о забавном факте: 15 июня 2004 года «Лабораторией Касперского» был обнаружен первый в мире вирус, написанный специально для мобильников на базе Symbian, которые на тот момент считались экзотикой — тогда телефоны были устроены намного проще и не могли похвастаться широким набором функций. Даже на пике популярности #Android первые вредоносы представляли собой классических троянов: проникая в телефон под видом какого-нибудь полезного приложения, они рассылали SMS на коммерческие номера или втихаря подписывали пользователя на платные сервисы. Тем не менее первым полноценным червем для мобильных телефонов стал именно Cabir.
• Запустившись на зараженном телефоне, вирус первым делом выводил на экран текстовую строчку «Caribe», по созвучию с которой и получил свое название. Затем вредонос пытался передать свою копию по каналу Bluetooth на все доступные поблизости устройства, поддерживающие режим Object Push Profile. Эта технология разработана для передачи между различными девайсами фотографий, музыкальных клипов и других файлов, причем поддерживали ее не только телефоны, но и некоторые Bluetooth-принтеры. Cabir отправлял свою копию в виде файла с расширением .sis, и для успешного заражения владелец атакуемого телефона должен был, во-первых, согласиться принять файл, а во-вторых, запустить его. Тогда Cabir сохранялся в директорию приложений «Apps» и начинал рассылать себя уже с нового устройства.

• Разумеется, самой популярной среди вирусописателей (после винды) операционной системы Android в 2004 году еще не существовало, поэтому Cabir работал под Symbian OS. Cabir считается одной из первых в истории вредоносных программ именно для мобильных телефонов, и он ко всему прочему является червем, что делает его и вовсе уникальным.

• Однако некоторые старые телефоны были по умолчанию настроены на прием по Bluetooth всех файлов без разбора. Кроме того, непрерывно повторяя отправку, Cabir мог постоянно демонстрировать на экране сообщения с предложением принять файл, что делало использование телефона невозможным, пока его владелец не согласится скачать червя.

• Любопытно, но факт: изначально Cabir не распространялся «в дикой природе», его образец разослал в антивирусные компании сам разработчик, причем — в виде вложения в пустое письмо без темы и пояснительного текста. Обратный адрес позволил определить создателя Cabir: им оказался Valtezz — участник международной группы вирусописателей 29А, которая до этого уже отметилась распространением множества вредоносных программ.

• Предполагается, что Cabir, в котором не было предусмотрено никаких других вредоносных функций кроме самораспространения, был своего рода образцом proof-of-concept, доказывающим саму практическую возможность существования червей для процессоров ARM и операционной системы Symbian.

• По итогу Cabir не мог по-настоящему кому-нибудь навредить, разве что очень быстро высаживал батарею из-за постоянно работающего Bluetooth-модуля. Но спустя пару месяцев группа 29А выложила в публичный доступ исходники червя, и у него стали появляться многочисленные «родственники» в виде всевозможных клонов и форков.

• Творчество группы 29А вдохновило многих вирусописателей на создание новых мобильных троянов, а с выходом Android их количество и вовсе стало расти в геометрической прогрессии. Но это — уже совсем другая история...

S.E. ▪️infosec.work *▪️*** VT

*? *Spoof-атаки.

• Данный материал написан в соавторстве с @mycroftintel

• Есть такое забавное слово: спуфинг. Согласитесь, звучит смешно. Но на самом деле ничего смешного в нем нет. Есть только грустное. А беда вся в том, что если спуфинг был использован грамотно – у бедного мамонта не остается никаких шансов на счастливое спасение.

• Итак, что такое спуфинг. Это некая ситуация, в рамках которой человек или программа мимикрирует под что-то настоящее, вызывающее доверие. Например, когда мошенник использует IP-телефонию для подделки официального короткого номера банка, чтобы вызвать доверие будущего потерпевшего. Ну или мошенник может подменить заголовки письма, якобы оно пришло от техподдержки того-же банка.

• Еще популярная история – DNS спуфинг. Бармалей захватывает DNS-сервер или отравляет его кеш, и перенаправляет людей вместо легитимной страницы банка на ее копию, где совершенно случайно вы можете выиграть миллион рублей, если введете номер карты и цифры с ее обратной стороны. Причем даже в адресной строке пользователя мамонта будет отображаться настоящий адрес сайта. Коварно, правда?

• Есть еще куча вариантов: спуфинг с помощью украденных данных биометрии, GPS-спуфинг для взлома навигационной системы и отправления жертвы куда Макар телят не гонял, SMS-спуфинг с подменой названия адресата на более уважаемое. Есть даже спуфинг голосовых сообщений. До чего техника дошла, что буквально после нескольких фраз нейросетка сможет воспроизвести голос кого угодно. Хоть вашего лучшего друга, хоть президента любой страны на выбор.

• Как себя обезопасить? Все просто – на слово не верьте, делайте факт-чекинг. Не ходите по левым ссылкам и не открывайте непонятные письма. Ну и конечно используйте двухфакторку, а для регистраций на сайтах юзайте левую почту. А еще, обратите внимание на грамматику. Мошенники – те еще грамотеи бывают. Все татары кроме я. Удачи в делах!

• Дополнительную информацию можно найти в группе @mycroftintel

S.E. ▪️infosec.work *▪️*** VT

*? *Bug Bounty. Roadmap и объемное руководство.

• Нашел интересную статью, а точнее Roadmap, где описан процесс обучения одного студента, который смог в Bug Bounty и почти за год заработал 15000$. Материал содержит много полезных ссылочек на обучающий материал, инфографику, статистику ну и вот это всё... Если хотели погрузиться в эту тему, то рекомендую к изучению:

➡ Ссылка на Roadmap.

• Но это еще не всё! У меня тут в загашнике есть ссылка на очень объемное руководство по Bug Bounty, такое объемное, что постарайтесь не запутаться в обилии информации. Материал содержит полезные инструменты, лабы, ресерчи, кейсы из жизни и еще очень много полезных ссылок. Будет весомым дополнением к сегодняшней статье.

➡ Ссылка на руководство.

S.E. ▪️infosec.work *▪️*** VT

*? *Не шуми...

• Данный материал написан в соавторстве с @mycroftintel

• Знаете, какое главное правило настоящего разведчика? Правильно, не шуметь. А если ты шумишь – то все твои дальнейшие действия будут напрасны. Так вот, как проводить OSINT на машине, которая издает столько сетевого шума, что на него сбегутся все враги вокруг? И я о том-же. Делать этого совершенно не стоит.

• Винда очень сильно шумит. Это факт. Возьмите WireShark и помониторьте свою сетевую активность в режиме покоя. В первый раз, когда я это сделал, у меня волосы дыбом встали. Ну те, что остались. Вот, например. Открываете вы Edge, еще никуда не зашли, а вас уже спалили. Он отправляет запрос на dzen.ru, dzeninfra.ru, bing.com, microsoft.com, azureedge.net, yandex.ru, mail.ru, adfox.ru, yastatic.ru, vk.ru и много-много кому еще. И это, повторюсь, даже не переходя ни на какой сайт. Просто открыли Edge – и об этом узнали все крупнейшие технологические компании России.

• Тот-же офис, даже если вы просто включили Ворд – начинает фонить. Идут запросы от PowerPoint и Excel на live.com, office.com и microsoft.com. И так каждое приложение от крупного бренда. Панель управления Nvidia пингует свой материнский сайт, Adobe, AnyDesk, Razer, Logitech и все остальные делают ровно тоже самое. Представляете, какой шум стоит? Это как тысячу попугаев закрыть в жарком и душном трюме.

• А что сама Винда? Она тоже шумит. Запустите диспетчер задач и повыбирайте процессы. Большинство из них будут делать свои запросы. Например, wlidsvc.exe пингует live.com, служба CDP User Svc (отвечает за подключенные пользовательские устройства) – activity.windows.com, служба Widgets – assets.msn.com, служба Microsoft Gaming Install Services – как ни странно, gamepass.com. И опять же, это только поверхностный анализ траффика.

• Что делать? Варианта два – пересаживаться на Линукс – он потише. Или лечить Винду с помощью файрволла. Я уже неоднократно повторялся, что без него вся ваша активность будет утекать наружу непонятно кому. А так, что случилось в Вегасе – останется в Вегасе. Всем безопасности!

• Дополнительную информацию можно найти в группе @mycroftintel

S.E. ▪️infosec.work *▪️*** VT