|VolatileDataCollector|

🕵️‍♂️Что же, боевое крещение прошел инструмент(VolatileDataCollector) который отлично справляется со сбором волатильных(изменчивых, если кто начинает - на живую, а не вытаскивание артефактов с дампа цифрового носителя) данных при криминалистическом анализе(DFIR или computer forensics only). Работает очень шустро, понятно и выдает ожидаемый результат в ожидаемом виде за что он почти сразу попал в основной мой арсенал.

В нем нет ничего сверхъестественного, просто как и говорил: работает быстро и получаешь на выходе в одном и том же виде волатильные данные(кто сталкивался с похожими инструментами, поймет). В результате работы мы получаем отчет на основе волатильных данных в виде текстового файла(пример отчета тут).

Какие волатильные данные можно с его помощью сдампить(лучше запускать с правами администратора за счет получения доступа ко всем процессам)?
Вот список:

💾Информация об ОС: имя пользователя, имя машины и версия в анализируемой системе.
💾Сведения о процессе: PID, имя, PPID, путь, командная строка, количество потоков, количество i/o операций  и время.
💾Загруженные на данный момент DLL
💾Драйверы
💾Environment(окружение)
💾Корневые сертификаты(миниатюра и имя для юзера и машины, с которой снимаем волатильные данные)
💾Открытые дескрипторы(открытые файлы, открытые записи реестра и тому подобные вещи)
💾Кэш ARP
💾Конфигурация IP
💾Кэш DNS
💾Активные сетевые соединения(TCP/IP): адреса, порты, PID и время когда было установлено соединение
💾Активные входы в систему
💾Память ядра винды 

🕵️‍♂️Well, the baptism of fire was a tool(VolatileDataCollector) that copes well with the collection of volatile (volatile, if anyone starts - live, and not pulling artifacts from a digital media dump) data during forensic analysis (DFIR or computer forensics only). It works very smartly, clearly and gives the expected result in the expected form, for which it almost immediately got into my main arsenal.

There is nothing supernatural about it, just like I said: it works fast and you get volatile data at the output in the same form (anyone who has encountered similar tools will understand). As a result, we get a report based on volatile data in the form of a text file (an example of a report here).

What volatile data can be dumped with it (it is better to run with administrator rights by gaining access to all processes)?
Here is the list:

💾OS information: user name, machine name and version in the analyzed system.
💾Process information: PID, name, PPID, path, command line, number of threads, number of I/O operations and time.
💾Currently loaded DLLs
💾Drivers
💾Environment
💾Root certificates (thumbnail and name for the user and the machine from which we remove volatile data)
💾Open descriptors (open files, open registry entries, and similar things)
💾ARP cache
💾IP Configuration
💾DNS Cache
💾Active network connections(TCP/IP): addresses, ports, PID and the time when the connection was established
💾Active logons
💾kernel memory

#DFIR #forensics

#anonymity #privacy #security #canarytokens #deanonymization

🕵️‍♂️Продолжая пост про детектирование Canary Tokens/логгеров в различных форматах файлов. Наткнулся на инструмент от "красного" для "красных", который по сути был разработан из-за потенциальной компрометации, в ходе проделываемой наступательной работы посредством логгеров/канареек, которые отстукивали о некоторых действиях SOC-специалистам.

Canary Hunter как раз был создан для борьбы с канарейками, которые чаще всего генерируются и в дальнейшем отслеживаются с помощью бесплатного сервиса canarytokens.org, ранее упомянутого в предыдущем посте. Чем же он лучше, чем приведенные в предыдущем посте ps и bash - скрипты?

Преимущество заключается в количестве поддерживаемых форматов файлов, в которые запихивают канарейку и мы можем проверить:
Docx, Xlsx, PDF( в таком случае, у нас должен быть инструмент для анализа вредоносных PDF - документов - PdfStream Dumper), reg(чувствительные маркеры команд посредством записи реестра, обычно используется когда необходимо получить уведомление о исполнении заданной нами программы на хосте атакующим или в вредоносных целях - жертвой, причем второй сценарий более частый), AWS конфиги, WireGuard конфиги, kubeconfig и MySQL дампы со встроенными канарейками.

🕵️‍♂️Continuing the post about detecting Canary Tokens/loggers in various file formats. I came across a tool from red teamer for red teamers, which in fact was developed due to potential compromise, in the course of the offensive work being done through loggers/canaries that tapped some actions to SOC specialists.

Canary Hunter was just created to combat canaries, which are most often generated and further tracked using a free service canarytokens.org , previously mentioned in the previous post. How is it better than the ps and bash scripts given in the previous post?

The advantage lies in the number of supported file formats into which the canary is stuffed and we can check:
Docx, Xlsx, PDF (in this case, we should have a tool for analyzing malicious PDF documents - PdfStream Dumper), reg (sensitive command markers by means of a registry entry, usually used when it is necessary to receive notification of the execution of a program we set on the host by an attacker or for malicious purposes by a victim, and the second scenario is more frequent), AWS configs, WireGuard configs, kubeconfig and MySQL dumps with built-in canaries.

#anonymity #privacy #security #canarytokens #deanonymization

#DFIR #forensics #memory #dump

|Collect-MemoryDump|

🕵️‍♂️Попался мне на глаза PS скрипт, идущий с набором программ(необходимо после скачивания релиза еще зависимости скачать для полноценной работы PS скрипта) для создания снепшотов памяти из живой системы, по совокупности удовлетворяющий требованиям при проведении криминалистического исследовании следов на цифровом носителей с установленной ОС. Перед тем как начнется сбор памяти, происходит проверка размера физической памяти и имени хоста на исследуемой машине, а затем проверка свободного объема памяти на диске для сохранения файла дампа памяти и уже по выбору используемого инструментария - получаем различные данные.

Функционал:

💾Дамп физической памяти в необработанном виде 
💾Сбор файлов дампа Microsoft Crash  
💾Сбор коллекции файлов подкачки(pagefile) 
💾Поиск зашифрованных томов в исследуемом хосте
💾Сбор ключей восстановления BitLocker
💾Проверка на наличие в системе установленных средств защиты конечных точек: AV и EDR
💾Обогащение процесса работы DFIR-специалиста за счет перечисления всей необходимой информации с исследуемого хоста
💾Создание безопасного архивного контейнера, который будет защищен с помощью пароля

🕵️‍♂️I caught sight of a PS script that comes with a set of programs (it is necessary to download dependencies after downloading the release for the full operation of the PS script) to create memory snapshots from a live system, collectively satisfying the requirements for conducting a forensic examination of traces on digital media with the OS installed. Before the memory collection begins, the size of the physical memory and the hostname on the machine under study are checked, and then the free amount of memory on the disk is checked to save the memory dump file and, by choosing the tools used, we get various data.

Functionality:

💾Dump of physical memory in raw form 
💾Collecting Microsoft Crash dump files  
💾Collecting a collection of pagefile 
💾Search for encrypted volumes in the host under investigation
💾Collecting BitLocker recovery keys
💾Checking for the presence of installed endpoint protection tools in the system: AV and EDR
💾Enriching the work process of a DFIR specialist by listing all the necessary information from the host under study
💾Creating a secure archive container that will be password protected

#DFIR #forensics #memory #dump

📕"Software Memory Safety” Cybersecurity Information Sheet

The NSA has released a new bulletin(guidance) about how attackers exploit software in which vulnerabilities associated with working (managing) memory stick out, or rather its unsafe management, and nothing new is said in this regard.

Also, the NSA gives recommendations for improving security by:
💾It is preferable to use programming languages that are safe for memory (C#, Go, Java, Ruby, Rust, and Swift)
💾Use SAST/DAST solutions for software security testing
💾Using compiler parameters, tools and OS configuration to "complicate" the operation of memory problems
💾The use of CFG, ASLR and DEP to "cause pain" and reduce the chances of an attacker developing an escape.

#NSA #security #vulnerability #expoitation #SAST #DAST #AntiExploitation #fuzzing

📕"Software Memory Safety” Cybersecurity Information Sheet

У АНБ вышел новый бюллетень про то, каким образом атакующие эксплуатируют ПО, в котором торчат наружу уязвимости, связанные с работой(управление) с памятью, а точнее небезопасным ее управлением, причем ничего нового в этом плане не сказано.

Также АНБ дают рекомендации для повышения безопасности ПО:
💾Предпочтительнее использовать языки программирования, которые безопасны для памяти( C#, Go, Java, Ruby, Rust, и Swift)
💾Использовать SAST/DAST решения для тестирования безопасности ПО
💾Использование параметров компилятора, инструментов и конфигурации ОС для "усложнения" эксплуатации проблем с памятью
💾Использование CFG, ASLR и DEP для "причинения боли" и снижение самих шансов на разработку эскплоита атакующим.

#NSA #security #vulnerability #expoitation #SAST #DAST #AntiExploitation #fuzzing

📕Committee of Inquiry to investigate the use of Pegasus and equivalent surveillance spyware

🕵️‍♂️Пресса комитета PEGA опубликовала отчет о слежке за гражданами Европы посредством Пегасуса и аналогичного ему spyware. После предыдущих постов про анализ Пегасуса этот отчет отчет очень легко читался, ведь он по большей части не технический, пытаясь моментами казаться оным. Этот отчет можно рассматривать, как материал для общего понимания ситуации со spyware в Европе, которое используется для слежки.

#PEGA #spyware #NSO #Candiru #Israel #PegasusSpyware #investigation #forensics

|Spying on the price of lunch|

🕵️‍♂️Эта работа от том каким образом, имея дрон/БПЛА и устройство стоимостью в 20$(атака называется Wi-Peep), представленное исследователями можно использовать для шпионажа за жертвой(определение положения устройства в помещении с точностью примерно в 1 метр) , находящейся дома и не только или подкованными технически грабителями для обнаружения устройств, которые в дальнейшем могут быть украдены.

Все это осуществимо за счет лазейки в протоколе Wi-Fi 802.11ax, позволяющей злоумышленнику заставить жертву, у которой есть устройство с Wi-Fi - отправить пакеты данных обратно(polite WiFi). То есть устройство Wi-Fi с которым в ходе атаки связываемся в ответ выдает электронное приветствие в виде подтверждения или ACK(включая устройства, которые ранее не были аутентифицированы) и расположение вычисляется с учетом времени, которое затрачивается на получение ответа ACK(измерение полета).

⚠️Поэтому и результат атаки завязан на измерении времени на доставку пакета до жертвы и обратно(ответ ACK). Исследователи на фоне этого разработали относительно простую контрмеру - изменение времени ответа ACK даже на десятую часть микросекунды, что позволяет снизить точность этой шайтан-машины до 10-15 метров.

⬇️ Более подробно можно почитать в работе,
которую прикладываю ниже.⬇️

🕵️‍♂️This work is about how, having a drone / UAV and a $20 device (the attack is called Wi-Peep), presented by the researchers, can be used to spy on the victim (determining the position of the device in the room with an accuracy of about 1 meter), being at home and not only, or technically savvy robbers to detect devices that are in further can be stolen.

All this is possible due to a loophole in the Wi-Fi protocol 802.11ax, which allows an attacker to force a victim who has a device with Wi-Fi to send data packets back (polite WiFi). That is, the Wi-Fi device that we contact during the attack responds with an electronic greeting in the form of confirmation or ACK (including devices that have not been authenticated before) and the location is calculated taking into account the time it takes to receive an ACK response (flight measurement).

⚠️Therefore, the result of the attack is tied to measuring the time to deliver the package to the victim and back (ACK response). Against this background, researchers have developed a relatively simple countermeasure - changing the ACK response time by even a tenth of a microsecond, which reduces the accuracy of this shaitan machine to 10-15 meters.

⬇️You can read more in detail in
the work that I attach below.⬇️

#privacy #security #espionage #spy #drone #UAV #WiFi #Wireshark

📕Non-cooperative wi-fi localization & its privacy implications

#privacy #security #espionage #spy #drone #UAV #WiFi #Wireshark