👩‍💻 Крутая серия статей - Hunting for Persistence in Linux:

- (Part 1): Auditd, Sysmon, Osquery (and Webshells);
- (Part 2): Account Creation and Manipulation;
- (Part 3): Systemd, Timers, and Cron;
- (Part 4): Initialization Scripts and Shell Configuration;
- (Part 5): Systemd Generators.

#Linux #Red_Team

😈 Нестандартные методы проникновения в практике Red Team команд и в тактике злоумышленников.

• Сегодня мы узнаем о нескольких трюках и приёмах для получения первоначального доступа к удаленной системе, которые непременно могут заинтересовать нас с точки зрения неожиданности и нестандартности подхода.

➡️ https://ics-cert.kaspersky.ru/

#Red_team

🦮 Делегирование Kerberos.

• «Злоупотребление ограниченным делегированием Kerberos на основе ресурсов» — как много в этом звуке! Точнее уже не просто звуке и даже не словосочетании, а целом классе наступательных техник в доменной среде Active Directory. В этой статье описаны актуальные сценарии атак при помощи делегирования Kerberos, для последующего повышения привилегий в системе.

• What is Kerberos delegation?
• Unconstrained;
• Constrained;
• Scenario for Protocol Transition works;
• Steps to Perform RBCD Attack;
• Resources;
• Security Researchers.

#Kerberos #AD #Red_team

🕷 Abuse SVCHost Methods.

• Практически, каждый пользователь Windows, неоднократно наблюдал в списке отображаемых диспетчером задач, несколько процессов с именем svchost.exe. Для разных версий Windows и в зависимости от установленных компонентов системы, количество таких процессов может составлять от нескольких штук до нескольких десятков. Однако, это вполне нормальное явление, поскольку svchost.exe – это главный процесс (Host process) для системных служб, загружаемых из динамических библиотек (.dll). Для запуска таких служб используется один и тот же исполняемый файл svchost.exe, размещенный в системном каталоге \Windows\system32\

• Одной из важнейших задач, решаемой большинством компьютерных вирусов, является маскировка в системе после ее заражения и некоторые из них маскируются под процессы с именем svchost.exe, поскольку таким образом можно затеряться среди прочих, вполне легальных процессов с таким же именем. Как раз об этом и пойдет речь. По ссылке ниже можно ознакомиться с определенными методами, необходимые ссылками и примерами, которые являются актуальными и позволяют замаскировать малварь под SVCHost:

➡ https://redteamrecipe.com/abuse-svchost-methodsrtc0017

#Red_Team #Пентест

🍏 macOS Red Teaming.

• Gathering System Information Using IOPlatformExpertDevice;
• Targeting Browser and Diagnostic Logs;
• Manipulating the TCC Database Using PackageKit;
• Leveraging Application Bundles and User-Specific Data;
• Taking Over Electron App TCC Permissions with electroniz3r;
• Exploiting Keychain Access;
• Signing Your Payload;
• Exploiting Installer Packages;
• Exploiting DMG Files for Distribution;
• Leveraging HealthInspector Utility;
• Generating Shared Secrets and Accessing Computer$ Password;
• Over-Pass-The-Hash;
• Kerberoasting;
• User Level Persistence with Launch Agents;
• User Level Persistence with Login Items;
• Folder Action Scripts;
• Dylib Insertion/Hijack;
• Evasion Techniques with XPC on macOS;
• Process Injection on macOS;
• In-Memory Loading on macOS.

#macOS #Red_team

👨‍💻 Red Teaming with LLMs.

- Uncovering Hidden Information in AI Security;
- Model Extraction: A Red Teamer's Guide;
- Model Fingerprinting;
- Prompt Injection;
- Restricted Prompting;
- Tabular Attack;
- Tree of Attacks (TAP) Jailbreaking;
- Data Augmentation, and Model Training in NLP.

#LLM #Red_Team

👨‍💻 50 Methods For Lsass Dump.

• Если не сильно углубляться в теорию, то Local Security Authority Subsystem Service (он же LSASS) — это процесс (исполняемый файл C:\Windows\System32\lsass.exe), ответственный за управление разными подсистемами аутентификации ОС #Windows. Среди его задач: проверка «кред» локальных и доменных аккаунтов в ходе различных сценариев запроса доступа к системе, генерация токенов безопасности для активных сессий пользователей, работа с провайдерами поддержки безопасности (Security Support Provider, SSP) и др.

• В домене Active Directory правит концепция единого входа Single Sign-On (SSO), благодаря которой процесс lsass.exe хранит в себе разные материалы аутентификации залогиненных пользователей, например, NT-хеши и билеты Kerberos, чтобы «пользачу» не приходилось печатать свой пароль в вылезающем на экране окошке каждые 5 минут. В «лучшие» времена из LSASS можно было потащить пароли в открытом виде в силу активности протокола WDigest (HTTP дайджест-аутентификация), но начиная с версии ОС Windows Server 2008 R2 вендор решил не включать этот механизм по умолчанию.

• При успешном дампе LSASS злоумышленнику чаще всего остается довольствоваться NT-хешами и билетами Kerberos, это все равно с большой вероятностью позволит ему повысить свои привилегии в доменной среде AD за короткий промежуток времени. Реализуя схемы Pass-the-Hash, Overpass-the-Hash и Pass-the-Ticket, злоумышленник может быстро распространиться по сети горизонтально, собирая по пути все больше хешей и «тикетов», что в конечном итоге дарует ему «ключи от Королевства» в виде данных аутентификации администратора домена.

• В этой статье представлены 50 методов извлечения данных аутентификации из памяти LSASS: https://redteamrecipe.com/50-methods-for-lsass-dumprtc0002

#Red_Team #Пентест #AD

😈 RedTeam Story #1: XSS, LFI, Logrotate.

• MITRE ATT&CK Techniques and Tactics;
• Attack Context;
• Methodology;
• Evasion Mechanism;
• Goal;

• Exploitation of Website;
• Privilege Escalation and Lateral Movement;
• Post-Exploitation;
• Automation and Scripting;
• Persistence;
- MITRE ATT&CK Techniques and Tactics Sorted by Tactics;
- Attack Context;
• Scripting;
- Creating and Testing a Bash Reverse Shell;
- Verifying the Reverse Shell;
- Establishing a Reverse Shell Connection;
- Analyzing Root Crontab and Persistence Mechanisms;
— Reviewing Crontab;
— Root Reset Script;
— Log Rotation Configuration;
— Automated Root Login Script;
— Database Cleanup Script;
• Privilege Escalation;

#Red_Team

👨‍💻 Windows Privileges for Fun and Profit.

• SeAssignPrimaryToken;
• SeAudit;
• SeBackup;
• SeCreatePagefile;
• SeChangeNotify;
• SeCreatePagefile;
• SeSystemtime;
• SeTakeOwnership;
• SeTcb;
• SeTrustedCredManAccess;
• SeCreateToken;
• SeDebug;
• SeImpersonate;
• SeIncreaseBasePriority;
• SeIncreaseQuota;
• SeLoadDriver;
• SeRelabel;
• SE_CHANGE_NOTIFY_NAME (SeChangeNotifyPrivilege);
• Resources.

#Red_Team

🔘 Resetting Hardware for Red Teamer.

• Cisco ASA 5500 Series Firewall;
• Siemens SIMATIC S7-1200 PLC;
• Palo Alto Networks PA-220 Firewall;
• Ubiquiti EdgeRouter X;
• Schneider Electric Modicon M221 PLC;
• Honeywell Experion PKS Controller;
• Hikvision DS-7600 NVR;
• APC Smart-UPS SMT1500RM2U;
• GE RX3i Controller;
• Cisco Catalyst 2960 Switch;
• Rockwell Automation Allen-Bradley CompactLogix PLC;
• Juniper EX2200 Switch;
• Siemens SIMATIC S7-1500 PLC;
• Dell PowerEdge R640 Server;
• Aruba Networks 2930F Switch;
• Axis M3106-LVE Network Camera;
• Fortinet FortiGate 30E Firewall;
• Yokogawa CENTUM VP DCS Controller;
• Panasonic KX-NS700 PBX;
• Mitsubishi Electric MELSEC-Q Series PLC.

#Red_Team #Hardware