All posts for: Red Team

W ramach jednego z ostatnich projektów stanąłem przed zadaniem obejścia systemów bezpieczeństwa w Windows 11. System był w pełni zaktualizowany, a na początku korzystał z antywirusa ESET, który, mimo pozornej skuteczności, udało się ominąć za pomocą skryptu VBA uruchomionego w Excelu. W kolejnym etapie projektu poprosiliśmy o wyłączenie ESET. Jak się okazało, zamiast ułatwić sobie zadanie, sytuacja stała się bardziej skomplikowana, ponieważ domyślnie włączył się Windows Defender, również z pełnym pakietem aktualizacji bezpieczeństwa. Poprzedni payload przestał działać, więc musiałem znaleźć nowe rozwiązanie. W tym przypadku ratunkiem okazało się wykorzystanie LOLBins oraz mechanizmu poznanego podczas szkoleń SANS.

Podczas testów red team, po uzyskaniu dostępu do pierwszej maszyny, warto zestawić tunel, aby ułatwić i przyspieszyć dalsze rozpoznanie sieci wewnętrznej. Wykorzystanie SOCKS proxy i Metasploit nie jest optymalnym rozwiązaniem, ponieważ skanowanie sieci w poszukiwaniu kolejnego celu zajmuje bardzo dużo czasu. W takiej sytuacji warto poszukać alternatywnego rozwiązania, które zwiększy efektywność pracy. Idealnym narzędziem w tym przypadku okazuje się Ligolo-ng — proste, lekkie i szybkie narzędzie umożliwiające ustanowienie tuneli TCP/TLS za pomocą interfejsu tun, bez konieczności korzystania z SOCKS. Jednakże istnieje pewien problem. Narzędzie to jest dobrze znane nie tylko pentesterom, ale również analitykom cyberbezpieczeństwa, przez co łatwo podlega detekcji przez różne programy antywirusowe, w tym Windows Defender. W tym artykule pokażę, jak ominąć detekcję Windows Defendera, korzystając z dodatkowego narzędzia, jakim jest ThreatCheck. Opisana metoda sprawdziła się w mojej pracy podczas ostatnich testów.

Podczas realizacji jednego z projektów Red Team, jako punkt wejściowy do infrastruktury klienta otrzymaliśmy dostęp do komputera w sieci za pomocą TeamViewer. Nie posiadaliśmy jednak hasła użytkownika, na którym pracowaliśmy, więc za każdym razem, gdy komputer się blokował, musieliśmy prosić klienta o jego odblokowanie. Brak tego hasła powodował również inne problemy, dlatego postanowiłem zastosować lekką socjotechnikę, aby pozyskać potrzebne dane.