BitlockMove - инструмент предназначенный для бокового перемещения с помощью Bitlocker. Создан на платформе .NET и может быть запущен из любой системы, способной загружать и выполнять сборки в памяти процесса.

Принцип работы
1️⃣Для компонента удалённого перечисления сеансов инструмент использует недокументированные API Microsoft, которые являются частью библиотеки winsta.dll. DLL связана с двоичным файлом, который является частью экосистемы Windows под названием qwinsta и может отображать информацию о сеансах на удалённом рабочем столе.
🔺WinStationOpenServerW - открывает дескриптор для указанного сервера.
🔺WinStationCloseServer - закрывает доступ к серверу.
🔺WinStationEnumerateW - перечисляет все сеансы в системе.
🔺WinStationQueryInformationW - получает информации о сеансе.

2️⃣В режиме атаки BitLockMove устанавливает удалённое соединение с целевым хостом через инструменты управления Windows (WMI) и выполняет запрос. Таким образом, получаются данные о состоянии службы удалённого реестра, и запрос пытается включить службу.

Путь к реестру создаётся для подготовки среды к перехвату COM. В частности, инструмент создаёт запись в реестре для ключа CLSID A7A63E5C-3877-4840-8727-C1EA9D7A4D50 и его подразделов. Этот ключ связан с BitLocker, поскольку процесс BaaUpdate.exe пытается загрузить этот отсутствующий ключ на устройствах Windows. Метод позволяет удаленно запустить процесс BitLocker. Это действие выполняется с помощью класса BDEUILauncher.

Режимы работы инструмента
🔺Перечисление (узнать, какие пользователи активны на целевом узле): BitlockMove.exe mode=enum target=<targetHost>.
🔺Атака (чтобы выполнить код в удалённой системе, необходимо указать целевое имя пользователя, путь к DLL, а также команду для выполнения): BitlockMove.exe mode=attack target=<targetHost> dllpath=C:\windows\temp\pwned.dll targetuser=local\domadm command="cmd.exe /C calc.exe".

🔺Обнаружение
Несмотря на то, что метод выполняется в контексте доверенного процесса BitLocker (BdeUISrv.exe), существует множество возможностей для его обнаружения на разных этапах.

Используемые инструментом API связаны с двумя библиотеками DLL: winsta.dll и wtsapi32.dll. Легальные инструменты, такие как qwinsta.exe и tsadmin.msc, загружают эти библиотеки в рамках своей функциональности. При обнаружении следует обращать внимание на события для нестандартных процессов, которые пытаются загрузить эти библиотеки.

🔺Следует отметить, что злоумышленники всегда могут внедрить свой имплант в один из этих доверенных процессов Microsoft. Однако это действие создаст дополнительные возможности для обнаружения, связанные с методом внедрения в доверенный процесс.

🐢CloudPEASS (Cloud Privilege Escalation Awesome Script Suite) - набор инструментов, использующий передовые методы для перечисления пользовательских разрешений (в зависимости от облака используются разные методы перечисления разрешений) и аналитические данные HackTricks Cloud, а также HackTricks AI для сопоставления конфиденциальных разрешений с потенциальными атаками.

💼AzurePEAS🖥
Предназначен для перечисления прав доступа в Azure и Entra ID средах, с особым вниманием к обнаружению путей повышения привилегий и выявлению потенциальных угроз безопасности.

Запустить AzurePEAS можно, указав токены в командной строке или задав их в качестве переменных среды:

python3 AzurePEAS.py [--arm-token <AZURE_MANAGEMENT_TOKEN>] [--graph-token <AZURE_GRAPH_TOKEN>]

🌐GCPPEAS🔍
Предназначен для перечисления разрешений в Google Cloud Platform (GCP), выявления потенциальных путей повышения привилегий и других векторов атак без изменения каких-либо ресурсов.
Проверки начинаются со сбора проектов, папок и организаций, которые может перечислить скомпрометированный субъект, а затем поиск расширяется для обнаружения виртуальных машин, функций, корзин хранилища и служебных учетных записей.

Установка токена среды и запуск GCPPEAS с нужными параметрами:

export CLOUDSDK_AUTH_ACCES_TOKEN=$(gcloud auth print-access-token)

# Запуск GCPPEAS
python3 GCPPEAS.py [--token <TOKEN>] [--extra-token <EXTRA_TOKEN>] [--projects <PROJECT_ID1>,<PROJECT_ID2>] [--folders <FOLDER_ID1>,<FOLDER_ID2>] [--organizations <ORGANIZATION_ID>] [--service-accounts <SA_EMAIL1>,<SA_EMAIL2>] [--billing-project <BILLING_PROJECT_ID>]

🔒AWSPEAS⚡️
Предназначен для перечисления разрешений AWS и выявления потенциальных путей повышения привилегий, предоставляя подробную информацию о состоянии безопасности системы AWS.

# Обычное использование с указанием профиля и региона
python3 AWSPEAS.py --profile <AWS_PROFILE> --region <AWS_REGION>

# Добавление конкретных AWS сервисов
python3 AWSPEAS.py --profile <AWS_PROFILE> --region <AWS_REGION> --aws-services s3,ec2,lambda,rds,sns,sqs

🤯PrivateGPT🔓

Готовый к использованию AI проект, предоставляющий частную, безопасную, настраиваемую и простую в использовании среду разработки GenAI. Использует большие языковые модели (LLMs), даже без подключения к Интернету. Обеспечивает 100% конфиденциальность, так как никакие данные не покидают среду выполнения.

🧩 Архитектура
PrivateGPT — это API, которое оборачивает RAG-пайплайн и предоставляет доступ к его примитивам.
🔺API построено на FastAPI и следует схеме API OpenAI.
🔺В основе RAG-пайплайна лежит LlamaIndex.

Архитектура PrivateGPT спроектирована так, чтобы легко расширять и адаптировать как само API, так и реализацию RAG.

Основные принципы архитектуры:
🔺Гибкость: используется процесс внедрения зависимостей, что позволяет разделять компоненты и уровни.
🔺Модульность: применяются абстракции LlamaIndex (LLM, BaseEmbedding, VectorStore), поэтому можно быстро менять конкретные реализации.
🔺Простота: минимум дополнительных слоёв и абстракций.
🔺Готовность к работе: из коробки доступна полноценная реализация API и RAG-пайплайна.

💻 Установка
Клонируйте репозиторий и перейдите в него:

git clone https://github.com/zylon-ai/private-gpt
cd private-gpt

Установите и настройте Python 3.11 с помощью pyenv:

pyenv install 3.11
pyenv local 3.11

Установите Poetry для управления зависимостями:

curl -sSL https://install.python-poetry.org | python3 -

PrivateGPT позволяет настраивать систему, от полностью локальной до облачной, выбирая используемые модули. Чтобы установить только необходимые зависимости можно использовать различные extras, которые можно комбинировать в процессе установки:

poetry install --extras "<extra1> <extra2>..."

Где <extra> может быть любым из следующих вариантов, описанных в документации.

👤 Использование профилей
PrivateGPT настраивается с помощью профилей, которые определяются с помощью YAML-файлов и выбираются с помощью переменных среды. Полный список настраиваемых свойств можно найти в settings.yaml.
Существующие профили можно использовать, установив для переменной среды PGPT_PROFILES определенное значение имени профиля:

export PGPT_PROFILES=my_profile_name_here

❓ Raven (Risk Analysis and Vulnerability Enumeration for CI/CD) - инструмент для обеспечения безопасности, предназначенный для массового сканирования рабочих процессов CI в GitHub Actions. Сохраняет обнаруженные данные в базе данных Neo4j.

🔺Здесь можно ознакомиться с популярными репозиториями, в которых были обнаружены уязвимости с помощью Raven.

😮Возможности
Инструмент обладает тремя основными функциями: download, index и report.

1⃣Download - позволяет загрузить рабочие процессы и действия, необходимые для анализа. Рабочие процессы можно загрузить как для нескольких аккаунтов (пользователей/организаций) одновременно, так и для общедоступных репозиториев GitHub, отсортированных по количеству звёзд. Выполнение этого шага является обязательным условием для анализа рабочих процессов.

2⃣Index - преобразование загруженных данных в графовую базу данных Neo4j. Этот процесс включает в себя установление связей между рабочими процессами, действиями, заданиями, этапами и т. д.

3⃣Report - простой способ сообщать о подозрительных результатах. Например, данный процесс можно внедрить в процесс непрерывной интеграции для pull requests и запускать там.

🔺Установка
Raven использует два основных Docker-контейнера: Redis и Neo4j. Команда make setup запустит docker compose.

pip3 install raven-cycode
#OR
git clone https://github.com/CycodeLabs/raven.git
cd raven
make setup

👨‍💻Использование
Доступ ко всем рабочим процессам и действиям, связанным с учетной записью.

raven download account --token $GITHUB_TOKEN --account-name microsoft --account-name google --debug

Сканирование общедоступных репозиториев GitHub.

raven download crawl --token $GITHUB_TOKEN --min-stars 100 --max-stars 1000 --debug

После завершения процесса загрузки или в случае прерывания с помощью сочетания клавиш Ctrl+C необходимо приступать к индексированию всех рабочих процессов и действий в базе данных Neo4j.

raven index --debug

На данном этапе можно создать отчёт с помощью библиотеки запросов.

raven report --severity high --tag injection --tag unauthenticated

Cisco предупреждает: уязвимость SNMP в IOS может привести к RCE или DoS (CVE-2025-20352)

Cisco выпустила предупреждение о серьёзной уязвимости в подсистеме SNMP для IOS и IOS XE, которая уже эксплуатируется в реальной среде и может позволить удалённому атакующему выполнить произвольный код с привилегиями root или вызвать отказ в обслуживании (DoS).

❓ Что произошло
Исследователи и представитель Cisco обнаружили эксплуатацию уязвимости после того, как в одной из сетей были скомпрометированы локальные учётные записи администратора. Уязвимость связана с переполнением стека в обработке SNMP-запросов: специально сформированный пакет SNMP, отправленный по IPv4 или IPv6, может привести к DoS или к выполнению кода.
Технические детали
• Идентификатор уязвимости: CVE-2025-20352 (CVSS: 7.7).
• Корень проблемы: стек-overflow в реализации SNMP (всех поддерживаемых версий SNMP).

🕷️ Условия успешной эксплуатации
Для успешной эксплуатации необходимы конкретные привилегии/учётные данные:
• Чтобы вызвать DoS, атакующему нужны учетные данные SNMPv2c (или ранее) — например, строка сообщества read-only — либо действительные учётные данные SNMPv3.
• Чтобы выполнить произвольный код как root, атакующему требуется SNMPv1 или v2c read-only community и одновременно административные (privilege 15) или эквивалентные права на устройстве.

Это означает, что неавторизованный внешний атакующий без учётных данных не сможет использовать уязвимость напрямую; однако компрометация локальных административных учётных записей существенно повышает риск.

📝 Какие устройства затронуты
Cisco подчёркивает, что все устройства с включённым SNMP, у которых не исключён конкретный OID, считаются уязвимыми. Конкретно в уведомлении упомянуты также некоторые устройства Meraki (MS390) и Cisco Catalyst 9300, если они работают под Meraki CS 17 и ранее. Проблема исправлена в Cisco IOS XE Software Release 17.15.4a. (IOS XR и NX-OS не затронуты).

❗️ Рекомендации для администраторов
1. Проверьте, включён ли SNMP на ваших устройствах и кто имеет к нему доступ.
2. Ограничьте SNMP-доступ по IP-фильтрам и спискам управления доступом (ACL) — разрешайте только известным, доверенным хостам.
3. Поменяйте или отозвите старые SNMP community-строки и пересмотрите настройки SNMPv3 (используйте сильные учетные данные и шифрование).
4. Мониторьте логи и команду show snmp host для аномалий.
5. По возможности обновите уязвимые устройства до Cisco IOS XE 17.15.4a (или версии с исправлением) как можно скорее.

🚩 Новые задания на платформе HackerLab!

🎢 Категория Разное — Ну кам-он!

⚙️ Категория Реверс-инжиниринг — Я работаю в криптовалюте

Приятного хакинга!

GOST — Простой туннель на Golang

GOST (GO Simple Tunnel) — это мощный инструмент-туннель и прокси, написанный на Go, который позволяет создавать цепочки прокси, выполнять переадресацию портов, устраивать обратные прокси и многое другое.

⚡️ Основные возможности GOST
⏺️ Поддержка множества протоколов: HTTP, HTTPS, HTTP2, SOCKS4(A), SOCKS5, Shadowsocks и др.
⏺️ Многопортовое слушание и прокси-цепочки (multi-level forward chaining)
⏺️ Переадресация TCP/UDP портов, обратный прокси, прозрачный прокси (transparent proxy)
⏺️ Поддержка туннелирования UDP поверх TCP, маршрутизация, контроль доступа, балансировка нагрузки
⏺️ Динамическая конфигурация, плагины, Web API, WebUI, GUI-клиенты


⬇️ Установка и запуск
• Скачать бинарники или собрать из исходников:

git clone https://github.com/go-gost/gost.git  
cd gost/cmd/gost  
go build

🖥 Пример использования
➡️ Простой прокси

./gost -L https://:8080

Запускает HTTP-прокси на порту 8080.

➡️ Переадресация порта TCP

gost -L tcp://:2222/192.168.1.100:22

Локальный порт 2222 направляется на SSH-порт 22 удалённой машины.

➡️ Использование цепочки проксей (proxy chain)

gost -L=:8080 -F=quic://remote:9000 -F=socks5://another:1080

Трафик сначала идёт через QUIC, затем через SOCKS5 и далее к конечной точке.

🪛 Применение и кейсы использования
➡️ Обход ограничений сети, проксирование трафика через цепочки, туннелирование.
➡️ Обратный прокси / туннельная проксификация: открытие доступа к внутренним сервисам через NAT-файрволы.
➡️ Вредоносное применение: злоумышленники используют GOST для проксирования трафика к C2-серверам.

🍁 Когда за окном холоднее, в Академии становится жарче — потому что осенью начинается новая волна курсов: от Пентеста и DevSecOps до Основ в ИБ и Цифровой Криминалистики.

Что мы предлагаем:

🎃 WAPT — веб-пентест с практикой, где вы не просто читаете про XSS — вы его находите.

Теперь ещё больше практики: +6 новых видео, +16 лабораторных и +15 экзаменационных заданий. Добавлена виртуалка для Mac M-чипов и улучшена стабильность лаборатории.

🎃 DevSecOps — системная безопасность CI/CD, облаков и контейнеров.

Старт первого потока — 10 ноября 2025 со скидкой 10%: 125 990 ₽ 113 391 ₽

🎃 Основы ИБ — идеальный старт, если вы только заходите в профессию, и хотите избежать хаоса.

Курс даст фундамент, с которого начинают карьеру в ИБ. Linux, сети, атаки, защита — всё, без чего не попасть в профессию. А первый поток — уже со скидкой!

И многое другое!

Все курсы включают:
🟧экспертную проверку заданий;
🟧доступ к виртуальным лабораториям;
🟧поддержку от преподавателей с опытом OSCP, CEH, CISSP;
🟧разборы атак и защитных мер, а на WAPT — живые вебинары с куратором!

Смотрите карту курсов ЗДЕСЬ
— и стройте свой путь: от основ до экспертизы.

И помните:
«Лучшее время начать было год назад. Второе лучшее — сейчас!»

Увидимся в лабораториях! 😎
🥇 @CodebyManagerBot

Исследователи из SpecterOps продемонстрировали инструменты для извлечения памяти процесса LSASS через протокол WMI. В данной статье приведены отличные от Win32_Process классы, позволяющие достичь той же функциональности.

1️⃣MSFT_MTProcess (CreateProcess)
Наиболее близкий к Win32_Process класс WMI. Win32_Process — это канонический пример горизонтального перемещения в WMI, и именно его в основном используют для этих целей.

В MSFT_MTProcess есть метод CreateProcess, который принимает аргумент командной строки, как и Win32_Process. Однако у этого класса есть существенный недостаток: он существует только в Windows Server 2016 и более поздних версиях. Это означает, что он недоступен на рабочих станциях, но вызовет выполнение данного двоичного файла, такого как Win32_Process.

2️⃣MSFT_MTProcess (CreateDump)
Вторым интересным методом для MSFT_MTProcess является CreateDump. Если необходимо удаленно/локально создать дамп процесса без добавления каких-либо новых инструментов, то можно использовать метод CreateDump.

Этот класс использует ту же технику, что и дамп через диспетчер задач (нажатие на процесс правой кнопкой мыши и создание дампа). Это загружает dbghelpd.dll и вызывает MiniDumpWriteDump в экземпляре процесса, который ему предоставляют. Однако цепочка выполнения процесса немного отличается. Вместо того, чтобы диспетчер задач загружал библиотеку DLL, тут уже есть процесс WmiPrvSE, который завершает загрузку и выполняет вызов функции.

⛏Инструменты
⏺️WMI_Proc_Dump.py — инструмент, использующий класс MSFT_MTProcess для удалённого дампа процесса при работе с Windows Server 2016 или более поздней версией. Он вызывает MSFT_MTProcess для дампа процесса, который автоматически записывается в C:\Windows\Temp\<Process_Name>.dmp.
Однако, если пользователь захочет переименовать это во что-то менее подозрительное, это можно сделать через CIM_DataFile.

python wmi-proc-dump.py user:pass@hostname -pid 580
python wmi-proc-dump.py user:pass@hostname -proc lsass.exe
python wmi-proc-dump.py user:pass@hostname -proc lsass.exe -rename chrome-debug.dmp

⏺️mtprocess.py - второй скрипт, реализующий метод CreateProcess класса MSFT_MTProcess. Кроме того, этот скрипт позволяет автоматически установить класс MSFT_MTProcess на рабочей станции.

python mtprocess.py -exec user:pass@hostname calc.exe
python mtprocess.py -exec -cimv2 user:pass@hostname calc.exe

DefectDojo — Платформа управления уязвимостями и DevSecOps

DefectDojo (django-DefectDojo) — это open-source решение для управления безопасностью приложений. Платформа объединяет сканеры, трекинг уязвимостей, автоматизацию, отчёты и аналитику на одной панели. Помогает командам DevSecOps, исследователям и инженерам безопасности управлять рисками, устранять дублирования и ускорять ответ на угрозы.

⚡️ Основные возможности DefectDojo
➡️ Импорт результатов от множества сканеров (SAST, DAST, SCA и др.).
➡️ Объединение и устранение дублирующихся уязвимостей (deduplication) и автоматическое подавление ложных срабатываний.
➡️ Модель «Продукт / Взаимодействие / Engagement» — позволяет отслеживать проект, период сканирования, сравнивать состояния, создавать отчёты по проектам и версиям.
➡️ Интеграции: с более чем 180 инструментами и платформами, включая Jira, репозитории кода, инструменты сканирования, LDAP, OAuth2/SAML и др.
➡️ Отчёты, метрики и визуализация — дашборды, метрики тенденций, отчёты для различных заинтересованных сторон.

⬇️ Установка и запуск
Клонируйте репозиторий:

git clone https://github.com/DefectDojo/django-DefectDojo.git
cd django-DefectDojo

Запуск через Docker Compose (предпочтительный вариант):

docker compose build
docker compose up -d

Администраторские учётные данные автоматически создаются через инициализатор.

⚙️ Преимущества DefectDojo
⏺️ Снижает ручную работу, помогая автоматизировать импорт, triage, отчёты.
⏺️ Централизует управление уязвимостями, предотвращает дубли и «шум» от одинаковых ошибок в разных сканах.
⏺️ Подходит как для малых команд, так и для крупных организаций, за счёт масштабируемости и множества интеграций.
⏺️ Прозрачность и видимость: дашборды, отчёты, метрики помогают донести состояние безопасности до руководства.