C2 hunting: часть 1
C2 hunting: часть 1. Расширяем видимость сетевой инфраструктуры хакеров 😜 Часто при исследовании атаки, анализе TI или DFIR специалист сталкивается с сетевыми и…
Атаки группы Team46
Атаки группы Team46 😎 Вчера, 4 сентября, исследователи из компании «Доктор Веб» выпустили интересный отчет о несостоявшейся атаке на российского оператора грузо…
Проксирование WebSocket nginx — обнаружение полезной нагрузки
Проксирование WebSocket nginx — обнаружение полезной нагрузки 👀 Проверка конфигураций различных служб иногда помогает найти неизвестное вредоносное ПО, которое…
Кстати, про Offzone
Кстати, про Offzone 🙂 Обещали опубликовать в канале последнюю версию презентации с доклада про маневры ExCobalt — публикуем 🤝 Презентация В ней — про фишинг, эк…
Где искать сетевые индикаторы компрометации на Windows?
Где искать сетевые индикаторы компрометации на Windows? Например, в кэше DNS 💡 Кэш DNS — механизм кэширования записей соответствия доменных имен IP-адресам (и н…
Эксфильтрация в промышленных масштабах
Эксфильтрация в промышленных масштабах 😐 APT-группировка Cloud Atlas атакует российские компании с 2019 года, занимается шпионажем и кражей конфиденциальной инф…
Hellhounds остается одной из самых продвинутых группировок, атакующих компании на территории России
🫡 Hellhounds остается одной из самых продвинутых группировок, атакующих компании на территории России Про деятельность Hellhounds мы уже рассказывали в статьях…
DPAPI — популярный вектор для атак на ОС семейства Windows
DPAPI — популярный вектор для атак на ОС семейства Windows 💻 Ключи Wi-Fi, сертификаты, учетные данные, cookies браузеров, DropBox, Skype — и это только часть ми…
Cobalt Strike Beacon и MSBuild
🥷 Cobalt Strike Beacon и MSBuild Практика наших расследований инцидентов показывает, что злоумышленники все еще используют Microsoft Build Engine для компиляции…
Расследуя инцидент, мы обнаружили полезный артефакт smb_context
💻 Расследуя инцидент, мы обнаружили полезный артефакт smb_context C:\Windows\SysWOW64\smb_context.log — журнал событий smb от одного именитого антивирусного вен…
Exchange_SSRF
📬 Exchange_SSRF Наша практика показывает, что достаточно большое количество организаций все еще не установили обновления на свои публичные почтовые серверы Micr…
utmpdump двойного назначения
utmpdump двойного назначения В дефолтных никсах мало форензик информации (vs win) и очень много полезных утилит. Например, есть «прекрасная» утилита, позволяюща…