Используем IoC нестандартно. Часть 1. Threat hunting
Используем IoC нестандартно. Часть 1. Threat hunting 🧐 Говоря об индикаторах компрометации, мы обычно имеем в виду реактивный подход к защите: на СЗИ появился д…
Идея для правила корреляции в SIEM
Идея для правила корреляции в SIEM 💡 Хотя отслеживание всей цепочки атаки, описанной в постах выше, дает полную картину, самым сильным и простым для реализации…
Продолжаем воспроизводить атаку из поста выше 🔼
Продолжаем воспроизводить атаку из поста выше 🔼 3️⃣ Создаем публичный триггер API Gateway (скриншот 1) В конце надо выставить функцию в интернет. Добавили к Lam…
☁️ AWS-бэкдор как услуга: закрепление в облаке через Lambda
☁️ AWS-бэкдор как услуга: закрепление в облаке через Lambda Ландшафт облачных угроз постоянно эволюционирует, и атакующие все чаще используют легитимные сервисы…
Полезный пятничный пост
Полезный пятничный пост 🫥 В ходе исследования угроз часто возникает потребность срочно изучить вредоносный файл/URL/домен. В этом посте мы собрали инструменты…
Curing a problem
Curing a problem 🔧 Недавно исследователи из ARMO представили статью и PoC вредоносного ПО Curing, которое использует интерфейс io_uring для обхода мониторинга ф…
Генерация COM vtable в IDA
Генерация COM vtable в IDA 🐍 В процессе разбора одного из вариантов Snake Keylogger нужно было разобраться, какие managed-методы нативный модуль вызывает через…
Углубление в импорты: продолжаем изучать способы статического резолва
Углубление в импорты: продолжаем изучать способы статического резолва 🕵️♂️ Ранее мы рассказывали, как может быть реализован статический резолв импортов. Однако…
All Hackers Go To Cloud
All Hackers Go To Cloud ☁️💻 В ходе расследования одного из инцидентов в полностью зашифрованной инфраструктуре мы выявили автономный веб-сервер с сайтом заказчи…
HTML-вложения как инструмент фишинга
HTML-вложения как инструмент фишинга 🤑 Популярным инструментом у злоумышленников становится доставка HTML-подобных вложений электронных писем, содержащих различ…
IoCs-детокс: защищаем TI от ложных индикаторов
IoCs-детокс: защищаем TI от ложных индикаторов ✋ Представьте ситуацию: ваша команда SOC получает свежий фид с индикаторами компрометации. В списке — сотни новых…
Trust but verify, или Как выбирать TI-источники с умом
Trust but verify, или Как выбирать TI-источники с умом 😏 В жизни подавляющего большинства SOC-центров наступает момент, когда требуется дополнить свой инструмен…