Почему IDA не сворачивает константы и как это исправить
Почему IDA не сворачивает константы и как это исправить 👨💻 В последнее время в ВПО все чаще встречается обфускация, где константы заменяют на арифметические вы…
Распознаем STL-код легко
Распознаем STL-код легко 😐 Нередко в процессе реверс-инжиниринга мы сталкиваемся с STL-кодом, анализ которого на первый взгляд кажется затруднительным. Неопытны…
Деобфусцируем имена функций .NET вручную
Деобфусцируем имена функций .NET вручную 🙌 ВПО на .NET обожает пакеры, обфускацию (имен, CFG и прочего) и многоэтапные рефлективные подгрузки образов. При этом…
Идея для правила корреляции в SIEM
Идея для правила корреляции в SIEM 💡 Хотя отслеживание всей цепочки атаки, описанной в постах выше, дает полную картину, самым сильным и простым для реализации…
Продолжаем воспроизводить атаку из поста выше 🔼
Продолжаем воспроизводить атаку из поста выше 🔼 3️⃣ Создаем публичный триггер API Gateway (скриншот 1) В конце надо выставить функцию в интернет. Добавили к Lam…
☁️ AWS-бэкдор как услуга: закрепление в облаке через Lambda
☁️ AWS-бэкдор как услуга: закрепление в облаке через Lambda Ландшафт облачных угроз постоянно эволюционирует, и атакующие все чаще используют легитимные сервисы…
Инструмент группировки APT31. CloudyLoader
Инструмент группировки APT31. CloudyLoader 🌩 В одном из инцидентов команде PT ESC IR попался интересный вредоносный файл, который загружает полезную нагрузку в…
Генерация COM vtable в IDA
Генерация COM vtable в IDA 🐍 В процессе разбора одного из вариантов Snake Keylogger нужно было разобраться, какие managed-методы нативный модуль вызывает через…
Operation Tartaria — VTDoor
Operation Tartaria — VTDoor 🚪 Про Operation Tartaria мы уже рассказывали в нескольких постах — часть 1 и часть 2. В одном из кейсов командой PT ESC IR, кроме мо…
Operation Tartaria Part 2
Operation Tartaria Part 2 Помимо пассивного бэкдора PlugX, нам удалось обнаружить еще одну его версию, которая мимикрировала под запуск Яндекс Браузера. {"…
Operation Tartaria — PlugX 🤝 DevTunnels
Operation Tartaria — PlugX 🤝 DevTunnels В конце мая завершился PHDays Fest, в рамках которого на треке Defense команда 4RAYS рассказала про особенности работы п…