Тег
15 материалов · RSS
В начале этого года мы провели киберучения в формате Purple Teaming в одной из крупных компаний. Основная цель — пронаблюдать, как работают и люди, и средства защиты в реальных условиях. В этой статье я сделаю фокус именно на средствах защиты:…
На прошлой неделе ИБ-компания Huntress опубликовала исследование, основанное на том, что злоумышленник установил пробную версию ее продукта. Однако в итоге компания подверглась критике, так как у многих возникли опасения по…
В этой статье я покажу вектор таргетированной атаки на трафик между EDR/XDR и сервером SOC. Через Bring Your Own Vulnerable Driver пропатчим Driver Signature Enforcement ядра Windows, после чего загрузим свой неподписанный…
Все чаще системы EDR стали прибегать к такой могучей технике, как трассировка стека вызовов, чтобы обнаруживать деятельность зловредных приложений и портить жизнь редтимерам. В этой статье я расскажу, как работает этот метод, а потом попробуем сыграть…
Мы проводили пентест одной большой компании с хорошим бюджетом на ИБ и обнаружили баг в коробочном решении WebTutor. Эта уязвимость позволила нам получить доступ во внутреннюю сеть, где мы столкнулись с EDR и антивирусом. Обойти их помогла…
За последний год EDR и XDR значительно повысили уровень защиты от фишинга. Особые трудности доставляет эвристический анализ. Классическая рассылка документов теперь почти не работает. В качестве альтернативы я выбрал Rogue RDP как средство доставки и технику…
Группировка RansomHub использует легитимный инструмент TDSSKiller, созданный «Лабораторией Касперского», для отключения EDR-служб в целевых системах, сообщили аналитики Malwarebytes.
Операторы вымогателя RansomHub используют новую малварь для отключения EDR-защиты во время BYOVD-атак (Bring Your Own Vulnerable Driver, «Принеси свой уязвимый драйвер»).
19 июля 2024 года обновление EDR-решения CrowdStrike Falcon спровоцировало один из масштабнейших сбоев в истории, сопоставимый с хаосом 2017 года, который возник после атаки WannaCry. Из-за проблемного обновления продукта CrowdStrike…
На пути атакующего часто стоят системы EDR, цель которых — обнаружить атаку и сообщить о ней первой линии обороны SOC. Чтобы оставаться незамеченными, пентестерам приходится обходить мониторинг. В этой статье поговорим о том, как именно это делается…
Пентестерам часто приходится иметь дело со средствами мониторинга, которые необходимо обойти раньше, чем безопасники поднимут тревогу. В этой статье я расскажу, что может сделать команда обнаружения и реагирования, чтобы не проморгать атаку и вовремя заметить,…
В «Хакере» часто обсуждается скрытие процессов и системных вызовов, обфускация кода и прочие способы обхода AV/EDR. Но что, если ты хочешь не только следовать инструкциям, но и самостоятельно искать такие техники? Для этого нужно как минимум понимать…
Средства защиты, в частности EDR, любят ставить хуки. Хук — это специальная инструкция, которая позволяет перехватить поток управления программы при вызове определенной функции и в результате контролировать, отслеживать и изменять данные, переданные этой функции. В этой статье…
Можно бесконечно наблюдать за тремя вещами: горящим огнем, текущей водой и событиями в операционной системе. И если в Windows средства мониторинга и журналирования уже хорошо изучены пользователями и системными администраторами,…
Специалист из компании SafeBreach придумал, как превратить популярные EDR (endpoint detection and response) и антивирусы Microsoft, SentinelOne, TrendMicro, Avast и AVG в вайперы. Для этого эксперт использовал встроенную в защитные…
