👨‍💻 Adaptive DLL Hijacking.

• В операционной системе Windows приложения и службы при запуске ищут DLL, необходимые для их правильного функционирования. Если эти DLL не найдены или их загрузка реализована небезопасным способом (DLL вызываются без использования полного пути), то можно повысить привилегии, заставив приложение загрузить и выполнить вредоносный DLL-файл. В этой статье описаны различные методы, которые можно использовать для перехвата DLL:

- Known DLLs;
- Safe Search;
- What is Export Table;
- How Export Table Cloning Process Work;
- Dynamic IAT patching: Modifying the Import Address Table;
- How Dynamic IAT Patching works?
— Advantages of Dynamic IAT Patching;
— Example Code Snippet (Simplified);
- Siofra;
- DLLSpy;
- Robbers;
- Explanation of module search order;
- Stack walking: Manipulating the call stack;
— Manipulating the Call Stack;
- Run-time table reconstruction: Rebuilding tables during execution;
— Adaptive DLL Hijacking Techniques;
— Advanced Techniques;
- Security Research.

• В качестве дополнительного материала: Perfect DLL Hijacking. Разбор техники.

#ИБ #DLL #RE

• Электронная почта остается основным средством служебной переписки в компаниях. Ее можно организовать как с помощью собственной инфраструктуры (например, развернув Microsoft Exchange Server), так и через облачные почтовые сервисы, такие как Microsoft 365 или Gmail. При этом в некоторых организациях нет доменного доступа к облачной почте. Как следствие, хакеры, взломавшие домен, не получают автоматически доступ к переписке и прибегают к дополнительным техникам, чтобы ее прочитать.

• В исследовании по ссылкам ниже вы узнаете о том, как APT-группа ToddyCat развивала свои методы для получения скрытого доступа к служебной переписке сотрудников целевых компаний.

• В первой части рассмотрены инциденты, которые происходили во второй половине 2024 - начале 2025 года:

• TomBerBil на PowerShell:
➡Детектирование.
• Кража писем из Outlook:
➡TCSectorCopy;
➡XstReader;
➡Детектирование.
• Кража токенов доступа из Outlook:
➡Детектирование.

• Во второй части исследования подробно описан механизм новой атаки и инструмент Umbrij, который используется для компрометации корпоративной переписки в сервисе Gmail. Такая атака позволяет ToddyCat с помощью браузера пользователя получить токены для протокола авторизации OAuth 2.0, которые можно использовать вне периметра скомпрометированной инфры для доступа к корп. почте.

• Umbrij:
➡Запуск;
➡Подготовка окружения;
➡Получение кода авторизации;
➡Результаты работы.
• Детектирование:
➡DLL sideloading;
➡Запуск браузера;
➡Отзыв стороннего доступа.
• Уменьшение рисков.
• Выводы.

#Исследование #Security