Комментарии / Профиль emeritus / Хабр

emeritus 12 часов назад

Написал в личку

emeritus вчера в 11:37

Очень круто. Я ковырял прошивку 2024 года, было бы интересно посмотреть эту. Есть возможность скинуть?

В 2024 FW лежали статические паттерны всех флагов. Один флаг можно было взять только после дампа прошивки. Там и ключ однозначно об этом говорил j00_C4nt_kn0W_Th4t_wiTH0ut_DumPing_tH3_Firmw4r3)

за восьмой флаг давали всего 600 OFC. За все "доступные" флаги давали 900 OFC.

У меня немного не сходится арифметика. Не помню точно, но за analyst + hidden_payload давали 260 OFC, за первую часть cub_3 давали еще 50 OFC

Где-то публично писали, что всего за бейдж 900 OFC?

emeritus вчера в 10:37

Отлично! У меня было подозрение, что рикроллом всё не заканчивается, но не догадался как.
Зато такое точно при помощи LLM не вытащишь.
Теперь придётся еще второй флаг получать)

Можно по подробнее про память? Как это стало понятно? Удалось снять прошивку?

LNK — это гораздо больше, чем просто ярлык к файлу

emeritus 26 авг в 12:10

Сейчас проверил и оказалось, что эти задания легко пройти при помощи LLM. Кроме куба, конечно.

Закинул HEX из hidden_payload в чат с GPT и она мне выдала сразу все 2 флага за 13 минут и рассказала как их получить.

Ответ ChatGPT

Нашёл два флага:

OFFZONE{Th1s_1s_0nly_Th3_B3g1nn1ng_A7E6FE25}
OFFZONE{Y0u_D1d_1t_B578E7F3}

1. HEX → Base64

Из таблицы нужно оставить только шестнадцатеричные строки, объединить их и декодировать:

grep -Eo '[0-9A-Fa-f]{64}' input.txt |
    tr -d '\n' |
    xxd -r -p > layer1.b64

Начало результата:

UEsDBBQAAAAAAAAAIQ...

UEsDB — характерное начало ZIP, закодированного в Base64:

base64 -d layer1.b64 > outer.zip
file outer.zip

Получаем:

Zip archive data

2. Повреждённый ZIP

При проверке архива возникает ошибка:

unzip -t outer.zip

bad CRC f8da00e2 (should be 71578a5d)

Архив содержит один файл:

badge.jpg

В Base64 намеренно изменён регистр одного символа. На смещении 582 находится O, хотя должно быть o:

...AEJYWVOg...
         ^
...AEJYWVog...

Исправляем:

python3 - <<'PY'
from pathlib import Path

data = bytearray(Path("layer1.b64").read_bytes())

assert data[582] == ord("O")
data[582] = ord("o")

Path("layer1.fixed.b64").write_bytes(data)
PY

base64 -d layer1.fixed.b64 > outer.fixed.zip
unzip -t outer.fixed.zip
unzip outer.fixed.zip

Теперь CRC совпадает:

badge.jpg OK
No errors detected

Повреждение затрагивало ICC-профиль JPEG: сигнатура XYS\xa0 после исправления превращается в нормальную XYZ . Совпадение CRC 71578a5d подтверждает, что замена правильная.

3. Первый флаг — EXIF

Смотрим метаданные изображения:

exiftool -Copyright badge.jpg

Результат:

Copyright : OFFZONE{Th1s_1s_0nly_Th3_B3g1nn1ng_A7E6FE25}

Или через ImageMagick:

identify -format '%[EXIF:Copyright]\n' badge.jpg

Первый флаг:

OFFZONE{Th1s_1s_0nly_Th3_B3g1nn1ng_A7E6FE25}

4. Данные после конца JPEG

Проверяем сигнатуры внутри файла:

grep -aob $'\xff\xd9' badge.jpg
grep -aob $'PK\x03\x04' badge.jpg

Получаем:

1072: JPEG EOI
1074: PK...

Маркер FF D9 завершает JPEG на смещении 1074, а сразу после него начинается ещё один ZIP. Вырезаем его:

dd if=badge.jpg of=inner.zip bs=1 skip=1074 status=none
unzip -l inner.zip

Внутри один файл:

text.txt

Извлекаем содержимое:

unzip -p inner.zip text.txt

pHsL5tvBiZEsLNpeUcfUXyKZhSbxRn3eUJ4p1z

5. Base58 → второй флаг

Строка использует алфавит Base58: в ней нет неоднозначных символов 0, O, I и l.

Декодировать можно в CyberChef операцией From Base58 либо Python:

s = "pHsL5tvBiZEsLNpeUcfUXyKZhSbxRn3eUJ4p1z"
alphabet = "123456789ABCDEFGHJKLMNPQRSTUVWXYZabcdefghijkmnopqrstuvwxyz"

number = 0
for char in s:
    number = number * 58 + alphabet.index(char)

result = number.to_bytes((number.bit_length() + 7) // 8, "big")
print(result.decode())

Результат:

OFFZONE{Y0u_D1d_1t_B578E7F3}

Дополнительная проверка ZIP-полей, ICC, пиксельных LSB и Steghide-структур других флагов не выявила. Итог — два флага.

emeritus 13 мая в 09:16

Иконку с дельфином и оригинальной надписью можно найти на windows93.net и она даже работает

</offtop>

«Прислали видео ДТП. Кажется, ты его знаешь…»

emeritus 27 мар в 19:05

Вообще хоть раз кому-нибудь приходили такого рода ссылки/файлы в WeChat и другие мессенджеры, отличные от Telegram|Whatsapp|MAX?
Интересно как креативят китайские хакеры, рассылая подобное.

Из самого запоминающего, что я видел при рассылке Мамонта, было отсюда

Тут и сразу доступ к протоколу со спутников Глонасс))) Ну как такое не скачать?

А родные и знакомые порой поражают: когда объясняешь как пароль настроить или приватность включить -- сложно и зачем. А приложение скачать-поставить-дать разрешения -- легко и что такого.

emeritus 6 фев в 07:33

Можете уточнить, general purpose bit flag меняют в local file header или central directory?

В record каждого файла и в dirEntry.

emeritus 6 фев в 07:25

Вообще "защита" тут конечно громко сказано. Наоборот, любой сканер должен обратить внимание на такую странность. Но имеем, что имеем, и я обратил на это внимание.

На Android 14 спокойно установился. Но дальше не прошёл проверку самим вредоносом - ему не понравился набор ПО.

Интересно с какой версии Android добавили такую проверку. Есть ссылка на такую новость?

Всё равно надо учесть, что по статистике последние версии Android (15 и 16) не более чем 40% пользователей.

emeritus 5 фев в 19:38

Так становится еще хуже. Если раньше для входа через веб требовался логин+пароль+код из смс, то теперь очень часто только логин+код. А логин совпадает с номером телефона) И всё.

emeritus 5 фев в 19:25

Посоветуете модель аппаратного 2FA ключа с USB+NFC, который стоит не дорого и можно без проблем купить?

emeritus 5 фев в 19:21

Так надо чтобы регулятор выдал волшебный пендель.

И мы будем авторизовываться через мессенджер MAX)

А если серьезно, то токен — очень хороший вариант, но не везде применимый.

emeritus 5 фев в 12:34

TOTP — отличная рекомендация для Госуслуг, спасибо. Только не все банки поддерживают TOTP
Вообще использовать отдельный телефон для всего критически важного — банки, госуслуги, один из возможных способов защиты. Со своими плюсами и недостатками.
Такой способ рекомендовал Кевин Митник в своей книге «Искусство быть невидимым».

emeritus 5 фев в 06:44

Для любителей YARA — правило для выявления таких образцов

Yara

rule malware_android_Mamont_Obnal {
meta:
    description = "[ MALW ] Detected Android Mamont by strings"
    author = "Gantimurov/Angara MTDR"
    date = "2026-02-02"
    tlp = "WHITE"
    hash = "66d7064c66f59c5678fa27c677abb887"

strings:

        $s1 = "checkNativeRoot" ascii wide
        $s2 = "checkNativeEmulator" ascii wide
        $s3 = "checkNativeFrida" ascii wide
        $s4 = "/system/sd/xbin/su" ascii wide

        $c1 = "getSrvConfigA" ascii wide
        $c2 = "getSrvConfigB" ascii wide
        $c3 = "getSrvEndpoint" ascii wide

        $f1 = "assets/metadata_dog.dat" ascii wide
        $f2 = "lib/arm64-v8a/libmetamask_loader.so5" ascii wide

condition:
    uint32be(0) == 0x504B0304 and  // Android APK
        any of ($f*) or (3 of ($s*) and any of ($c*))
}

emeritus 7 дек 2025 в 12:37

Все верно. Поэтому "зеленый" вердикт от Virustotal или антивируса ни в коем случае не гарантия того, что файл или ссылка безопасная.
Но если явно "красный", то открывать точно не стоит.

emeritus 7 дек 2025 в 12:25

Вот так бы APK с Max-ом разобрать, что и куда он отправляет.

Уже было очень поверхностное исследование https://habr.com/ru/articles/938518/
Но надо смотреть какие изменения в коде были за это время, функционал мог добавиться разный, даже если разрешения не поменялись.
Сегодня явного вредоносного функционала нет, а завтра?

emeritus 7 дек 2025 в 12:16

Как-то не впечатляет. Лет десять назад на почту без спам-фильтров валилось великое множество зловредов, были среди них и JAR-файлы.

Злоумышленнику нет никой задачи впечатлить исследователя. Главная - пройти статические фильтры и усложнить беглый анализ. Тут всё работает по схеме "время стоит денег" и времена, когда хакеры писали код для того, чтобы показать свои технические навыки, уже ушли.
В вашем случае JAR файлы были сложнее, потому что должны были пройти возможную проверку антивирусом на стороне почтового сервера.
В большинстве случаев в вирусах Мамонт-like никто даже строки не шифрует - антивирусов на телефонах нет. И, к сожалению, это всё работает и довольно успешно.

Если хочется почитать, про более сложные вещи - у Angara Securityвыходила статья про BT MOB Rat - там и тех поддержка есть и более сложные алгоритмы противодействия исследованию.

emeritus 7 дек 2025 в 12:09

Формулировка "перед тем скачать, проверить" явно кривоватая.
Если пришла ссылка на файл, то её можно проверить через Virustotal - там может и не файл вовсе.
Если прям пришёл файл в сообщении, то можно воспользоваться телеграм-ботом от Доктор Веб (https://telegram.me/drwebbot).