|
![]() DCSync: особенности выполнения атаки и возможные варианты детектирования, Часть 2Четверг, 19 Января 2023 г. 12:07 (ссылка)
Привет, Хабр! В предущей статье мы разобрали основы и механизмы работы атаки DCSync, а также рассмотрели несколько наиболее популярных утилит для ее реализации: mimikatz, secretsdump, DSInternals и существующие между ними различия. В результате анализа стало понятно, что у всех утилит прослеживается один и тот же принцип проведения атаки и присутствует одинаковый фактор для ее выявления - DRSReplicaSync. В этой части я сфокусируюсь на потенциальных способах детектирования DCSync. https://habr.com/ru/post/709942/?utm_source=habrahabr&utm_medium=rss&utm_campaign=709942 ![]() DCSync: особенности выполнения атаки и возможные варианты детектирования, Часть 1Четверг, 12 Января 2023 г. 11:28 (ссылка)
DCSync - атака, позволяющая злоумышленнику выдавать себя за контроллер домена (DC, domain controller) с целью получения учетных данных пользователей для последующего горизонтального перемещения в сети и/или доступа к конфиденциальной информации. https://habr.com/ru/post/709866/?utm_source=habrahabr&utm_medium=rss&utm_campaign=709866
![]() Разбор вредоносных файлов APT KimsukyСреда, 21 Декабря 2022 г. 11:28 (ссылка)
Доброго времени суток, Хабр! В этой статье я продолжу исследование вредоносного ПО на реальных сэмплах, используемых различными АРТ-группировками, в частности группировки Kimsuky. APT Kimsuky известна своими фишинговыми кампаниями с целью проникновения в организации и кибершпионажа. В этом году злоумышленники активно работали и на территории Российской Федерации. Я не буду углубляться в описание всех тактик и инструментов данной группировки, которые постоянно развиваются и о которых уже было сделано достаточно исследований, доступных в открытых источниках. Основное внимание будет уделено практической части – расследованию инцидента, связанного с распространением Kimsuky вредоносных документов форматов Power Point и Microsoft Office Word. Давайте приступим. Читать далееhttps://habr.com/ru/post/706046/?utm_source=habrahabr&utm_medium=rss&utm_campaign=706046
![]() UAC Bypass и вариации на тему детектирования, Часть 2Понедельник, 28 Ноября 2022 г. 10:53 (ссылка)
Всем привет! В этой части мы разберем методы обхода UAC в более прикладном ключе. Для этого мы выделили 7 разных методов, которые считаем наиболее интересными. В первой части статьи мы увидели, что не все способы покрываются классификацией, которая была представлена, в частности методы 38, 55 и 59. Ранее о них уже также было упоминание. Поэтому здесь мы рассмотрим как и те методы, которые попали в нашу классификацию, так и те, которые не попали. В предыдущей части мы рассмотрели основные способы обхода UAC, которые используют в своей основе DLL Hijacking, Registry, COM, привели небольшой обзор источников событий и возможный вариант по детектированию UAC Bypass, который базируется на базе COM. Читать далееhttps://habr.com/ru/post/694630/?utm_source=habrahabr&utm_medium=rss&utm_campaign=694630
![]() UAC Bypass и вариации на тему детектирования. Часть 1Среда, 26 Октября 2022 г. 11:27 (ссылка)
Привет, Хабр! Сегодня мы хотим рассказать о возможных вариантах обхода контроля учётных записей пользователей (UAC) и способах их детектирования. Если коротко, UAC (User Account Control) – механизм, поддерживаемый всеми последними версиями Windows, который призван предотвратить несанкционированныадминистративные действия, потенциально опасные для системы. UAC Bypass является достаточно распространённой атакой среди вредоносного ПО. Из последних ярких примеров – червь Raspberry Robin, который использует утилиту fodhelp.exe. Малварь, обнаруженный Microsoft в сетях сотен организаций, способен обходить User Account Control (UAC) в зараженных системах с помощью легитимных инструментов Windows. Поэтому мы решили не проходить UAC Bypass стороной, а подробно его изучить. В данной статье мы проведем подробный разбор большого числа рабочих способов по обходу UAC и классифицируем их в категории, которые наиболее точно отражают возможный вариант выполнения атаки. После чего рассмотрим потенциальные способы детекта UAC Bypass. Но для начала предлагаем ознакомиться с самим механизмом работы UAC немного глубже. Если для вас UAC не нуждается в представлении, то можете сразу переходить к разделу Способы обхода UAC. Читать далееhttps://habr.com/ru/post/694570/?utm_source=habrahabr&utm_medium=rss&utm_campaign=694570
![]() Рубим под корень: расследование атаки на хост с закреплением и запуском rootkitВторник, 27 Сентября 2022 г. 12:31 (ссылка)
Привет, Хабр! В предыдущей статье мы разобрали пример фишинга с использованием зловредного PDF вложения на примере задания GetPDF от CyberDefenders. Сегодня мы поговорим о руткитах (от англ. root – корневой, kit –набор, в данном контексте означает получение неограниченного доступа) – типе вредоносного ПО, предназначенного для предоставления злоумышленнику прав суперпользователя на устройстве жертвы без ее ведома. А также потренируемся в расследовании инцидента, связанного с атакой и заражением этим зловредом. Читать далееhttps://habr.com/ru/post/686724/?utm_source=habrahabr&utm_medium=rss&utm_campaign=686724
![]() Golden Ticket: разбираем атаку и методы ее детектаВторник, 13 Сентября 2022 г. 10:43 (ссылка)
Привет, Хабр! Сегодня мы хотим поговорить об атаке с применением известной техники Golden Ticket (Золотой билет). О том, что лежит в основе Golden Ticket атак и какие механизмы их реализации существуют, написано уже много. Поэтому в этой статье мы сфокусируемся на способах детектирования. Те, кто хорошо знаком с Active Directory (AD), согласятся, что несмотря на то, что протокол аутентификации Kerberos, по-прежнему остается одним из самых безопасных, архитектурные особенности системы активно используются злоумышленниками для проведения кибератак. В том числе и с помощью Golden Ticket, которая нацелена на уязвимые системные настройки, слабые пароли или распространение вредоносного ПО. Атаки с использованием Золотых билетов весьма опасны. Злоумышленник не только нарушает обычные рабочие процессы аутентификации, но и получает неограниченный доступ к любой учетной записи или ресурсу в домене AD. Многие специалисты уже довольно долгое время стремятся задетектировать технику Golden Ticket и на сегодняшний день есть разные методы для ее обнаружения. Мы разберем основные существующие примеры детекта Золотых билетов и расскажем о том, почему, как нам кажется, эти методы могут не сработать. А также приведем способ детектирования, который, опираясь на нашу практику, оказался более эффективным для выявления подобных атак. Мы не беремся утверждать, что предложенный нами метод является единственным верным способом детектирования Golden Ticket, скорее наша цель поделиться с вами успешным опытом обнаружения подобной атаки. Читать далееhttps://habr.com/ru/post/686784/?utm_source=habrahabr&utm_medium=rss&utm_campaign=686784
![]() «Золотой стандарт» или что умеют современные Deception-решения: развертывание, реалистичность, обнаружение. Часть 2Четверг, 11 Августа 2022 г. 16:26 (ссылка)
В предыдущей статье мы рассказали о разновидностях ловушек и приманок. Итак, когда приманки готовы, осталась самая малость - разложить их по нужным хостам. Тут в дело вступает другой критерий выбора Deception-решения, а именно, каким способом доставляются приманки на хосты. Читать далееhttps://habr.com/ru/post/682058/?utm_source=habrahabr&utm_medium=rss&utm_campaign=682058
![]() Лучшие практики MITRE для построения SOCСреда, 13 Июля 2022 г. 11:34 (ссылка)
Привет, Хабр! Меня зовут Гриша. В компании R-Vision я занимаюсь внедрением наших продуктов, которые, как правило, сопровождаются созданием сопутствующих процессов. Достаточно часто в своей практике я пользуюсь MITRE. В этой статье хочу поделиться своими размышлениями на тему этих самых матриц MITRE и их прикладного использования. Читать далееhttps://habr.com/ru/post/676460/?utm_source=habrahabr&utm_medium=rss&utm_campaign=676460
![]() «Золотой стандарт» или что умеют современные Deception-решения: ловушки и приманки. Часть 1Среда, 27 Апреля 2022 г. 11:31 (ссылка)
"Золотой стандарт" или что умеют современные Deception-решения: ловушки и приманки. Часть 1 Читать далееhttps://habr.com/ru/post/663186/?utm_source=habrahabr&utm_medium=rss&utm_campaign=663186
|
|
LiveInternet.Ru |
Ссылки: на главную|почта|знакомства|одноклассники|фото|открытки|тесты|чат О проекте: помощь|контакты|разместить рекламу|версия для pda |