Publications Hubs Companies Users Comments

shanker Aug 25 2012 at 12:49

Обход проактивной защиты продуктов лаборатории Касперского. Видео демонстрация

1 min

5.7K

Довольно давно обнаружил возможность обойти проактивную защиту в продуктах лаборатории Касперского. Наконец, дошли руки сделать демку.

Последовательность действий:

1. Проверяем, что драйвера в системном каталоге нету (пытаемся его открыть через notepad)
2. Запускаем эксплоит, появляется запрос от Касперского об установке драйвера. Ничего не нажимаем (т.е. не даём согласия на установку)
3. Снова обращаемся к драйверу через notepad и вуаля: драйвер установлен!

Узявимые версии: Kaspersky Crystal 12.0.1.228, KIS/KAV 2012, KIS/KAV 2011. Возможно, и другие тоже.

Технических подробностей пока не раскрываю до связи с представителями лаборатории Касперского. Сообщу лишь, что уязвимость не связана с переполнением буфера и прочими похожими типами уязвимостей, и носит архитектурный характер. Стабильно воспроизводится на ОС Win (x32 и x64) XP, Vista, 7.

HonoraryBoT Sep 26 2012 at 18:30

Windows 8 – да будет SMEP!

5 min

52K

Positive Technologies corporate blog Information Security *

С приходом нового поколения процессоров Intel на базе архитектуры Ivy Bridge было представлено новое аппаратное средство безопасности. Оно называется Intel SMEP. Как и бит NX, предотвращающий исполнение кода на странице памяти, оно добавляет головной боли при эксплуатации уязвимостей режима ядра.

В свою очередь Microsoft реализовала поддержку SMEP в Windows 8, таким образом сделав эту ОС ещё безопасней. Однако, первая реализация «в лоб» поддержки SMEP получилась с небольшим изъяном, благодаря которому у атакующего всё ещё есть возможность относительно безболезненной для него эксплуатации уязвимостей.

Что такое SMEP?

+103

backtrace Jul 20 2016 at 10:26

Control Flow Guard. Принцип работы и методы обхода на примере Adobe Flash Player

16 min

21K

Digital Security corporate blog Information Security *Adobe Flash Reverse engineering *

Компания Microsoft не оставляет попыток победить в бесконечной войне с эксплоитописателями, раз за разом реализуя новые техники по защите приложений. На сей раз разработчики операционной системы Windows подошли к решению данного вопроса более фундаментально, переведя свой взгляд на корень проблемы. Работа почти каждого эксплоита так или иначе нацелена на перехват потока исполнения приложения, следовательно, не помешало бы "научить" приложения следить за этим моментом.
Концепия Control Flow Integrity (целостность потока исполнения) была описана еще в 2005 году. И вот, 10 лет спустя, разработчики из компании Microsoft представили свою неполную реализацию данного концепта — Control Flow Guard.

Что такое Control Flow Guard

Control Flow Guard (Guard CF, CFG) — относительно новый механизм защиты Windows (exploit mitigation), нацеленный на то, чтобы усложнить процесс эксплуатации бинарных уязвимостей в пользовательских приложениях и приложениях режима ядра. Работа данного механизма заключается в валидации неявных вызовов (indirect calls), предотвращающей перехват потока исполнения злоумышленником (например, посредством перезаписи таблицы виртуальных функций). В сочетании с предыдущими механизмами защиты (SafeSEH, ASLR, DEP и т.д.) являет собой дополнительную головную боль для создателей эксплоитов.

Читать дальше →

+32

VASExperts Sep 28 2017 at 08:36

DPI-дайджест: ИБ, виртуализация и регулирование

3 min

3.4K

VAS Experts corporate blog Information Security *System Analysis and Design *Algorithms *Development for e-commerce *

В 5-м тематическом дайджесте мы поговорим о сетевых технологиях, приведем базовую аналитику по информационной безопасности и материалы по следам нововведений законодателей.

Другие выпуски дайджеста:

Читать дальше →

ajaxtpm Dec 21 2017 at 17:37

Что-то не так с IDS сигнатурой

12 min

8.5K

Positive Technologies corporate blog Information Security *Network technologies *

Имена Snort и Suricata IDS знакомы каждому, кто работает в сфере сетевой безопасности. Системы WAF и IDS — это те два класса защитных систем, которые анализируют сетевой трафик, разбирают протоколы самого верхнего уровня и сигнализируют о злонамеренной или нежелательной сетевой активности. Если первая система помогает веб-серверам обнаружить и избегать атак, специфичных только для них, то вторая, IDS, способна обнаружить атаки во всем сетевом трафике.

Многие компании устанавливают IDS для контроля трафика внутри корпоративной сети. Благодаря механизму DPI они собирают транспортные потоки, заглядывают внутрь пакетов от IP до HTTP и DCERPC, а также выявляют как эксплуатацию уязвимостей, так и сетевую активность вредоносных программ.

Сердце и тех и других систем — наборы сигнатур для выявления известных атак, разрабатываются экспертами сетевой безопасности и компаниями по всему миру. Мы, команда @attackdetection, также занимаемся разработкой сигнатур для обнаружения сетевых атак и вредоносной активности. Далее в статье речь пойдет о обнаруженном нами новом подходе, который позволяет нарушить работу систем IDS Suricata и скрыть такую активность.

Читать дальше →

+10

IGHOR Jul 24 2017 at 05:50

Как разбить айфон и запустить сервис для 15 млн пользователей

15 min

54K

Software

Летом 2014-го мы с друзьями были на прогулке, и случилось историческое событие. Во время съемки видео, внезапно, iPhone 5C выпал с рук моей жены и разбился об бетонный пол.

Это на тот момент мне казалось печальной ситуацией. Но именно это стало толчком для запуска сервиса, который сейчас обслуживает более 15 млн пользователей.

При чем тут iPhone? Что за сервис? Как все это связано? Ответы под катом!

Читать дальше →

+65

103

VANSCoder Sep 11 2019 at 03:28

Прорываемся сквозь защиту от ботов

9 min

13K

Information Security *JavaScript *Delphi *Reverse engineering *

В последнее время на многих зарубежных сайтах стала появляться incapsula — система которая повышает защищённость сайта, скорость работы и при этом очень усложняет жизнь разработчикам программного обеспечения. Суть данной системы — комплексная защита с использованием JavaScript, который, к слову, многие DDOS боты уже научились выполнять и даже обходить CloudFlare. Сегодня мы изучим incapsula, напишем деобфускатор JS скрипта и научим своего ~~DDOS~~ бота обходить её!

Читать дальше →

+15

bassmack Dec 12 2018 at 09:14

Изучаем Adversarial Tactics, Techniques & Common Knowledge (ATT@CK). Enterprise Tactics. Часть 5

46 min

7.2K

Information Security *

Обход защиты (Defense Evasion)

Ссылки на все части:
Часть 1. Получение первоначального доступа (Initial Access)
Часть 2. Выполнение (Execution)
Часть 3. Закрепление (Persistence)
Часть 4. Повышение привилегий (Privilege Escalation)
Часть 5. Обход защиты (Defense Evasion)
Часть 6. Получение учетных данных (Credential Access)
Часть 7. Обнаружение (Discovery)
Часть 8. Боковое перемещение (Lateral Movement)
Часть 9. Сбор данных (Collection)
Часть 10 Эксфильтрация или утечка данных (Exfiltration)
Часть 11. Командование и управление (Command and Control)

В разделе «Обход защиты» описываются техники, с помощью которых злоумышленник может скрыть вредоносную активность и предотвратить своё обнаружение средствами защиты. Различные вариации техник из других разделов цепочки атаки, которые помогают преодолеть специфические средства защиты и превентивные меры, предпринятые защищающейся стороной, включены в техники обхода защиты. В свою очередь, техники обхода защиты применяются во всех фазах атаки.

Читать дальше →

+15

AleksanderP Oct 8 2019 at 17:05

Варианты использования решений для видимости сети (network visibility)

6 min

3.7K

Information Security *IT Infrastructure *Network technologies *Network hardware

Варианты использования решений для видимости сети (visibility)

Что такое видимость сети (Network Visibility)?

Видимость (Visibility) определяется словарем Вебстера как «способность быть легко замеченным» или «степень ясности». Под видимостью сети или приложения подразумевается удаление слепых зон, которые скрывают способность легко видеть (или количественно определять), что происходит в сети и/или приложениях в сети. Эта видимость позволяет ИТ-командам быстро изолировать угрозы безопасности и решать проблемы с производительностью, что в конечном итоге обеспечивает наилучшее взаимодействие с конечным пользователем.

Еще одно понимание — это то, что позволяет ИТ-командам контролировать и оптимизировать сеть наряду с приложениями и ИТ-сервисами. Вот почему видимость сети, приложений и безопасности абсолютно необходима для любой ИТ-организации.

Самый простой способ добиться видимости сети — это реализовать архитектуру видимости (visibility architecture), которая представляет собой комплексную end-to-end инфраструктуру, обеспечивающую в свою очередь видимость физической и виртуальной сети, приложений и безопасности.

Закладка фундамента сетевой видимости

Как только архитектура видимости будет создана, станет доступно множество вариантов использования. Как показано ниже, архитектура видимости представляет три основных уровня видимости: уровень доступа, уровень управления и уровень мониторинга.

Читать дальше →

sign5 Jun 9 2020 at 05:00

Remote Desktop глазами атакующего

5 min

29K

Digital Security corporate blog Information Security *IT Infrastructure *Remote work

1. Введение

Компании, у которых не были организованы системы удалённого доступа, в экстренном порядке разворачивали их пару месяцев назад. Не все администраторы были готовы к такой “жаре”, как следствие — упущения в безопасности: некорректная конфигурация сервисов или даже установка устаревших версий ПО с обнаруженными ранее уязвимостями. Одним эти упущения уже вернулись бумерангом, другим повезло больше, но выводы уж точно стоит сделать всем. Лояльность к дистанционной работе кратно возросла, и всё больше компаний принимают удалёнку как допустимый формат на постоянной основе.

Читать дальше →

+15

ajaxtpm Jul 22 2021 at 18:17

Разбор конкурса IDS Bypass на Positive Hack Days 10

6 min

2.2K

Positive Technologies corporate blog Information Security *Network technologies *

Уже второй раз на конференции Positive Hack Days проходил конкурс IDS Bypass. Как и в прошлый раз (прошлый разбор https://habr.com/ru/company/pt/blog/457932/), участникам предстояло не просто найти слабости в шести сервисах и утащить флаги, но и обойти IDS, которая будет им мешать. Помочь в обходе правил IDS должны были сообщения об их срабатываниях, алерты. И как известно по прошлому конкурсу, количество решений для заданий совершенно неограниченно. Поехали!

Поехали