In this short article I explain how I managed to bypass Advanced Threat Protection (ATP) -EDR- from Microsoft and dump the LSASS process without being detected.
Proof of Concept (PoC)
السلام عليكم، كيف الحال عساكم طيبين.
ندخل مباشره بالموضوع؟ طيب سلمكم الله خلوني اعرفكم على Attack Surface Reduction (ASR) هو عباره عن مجموعه rules تساعد في حماية الجهاز من بعض البرمجيات الخبيثه، على سبيل المثال تمنع ملف Microsoft office انه يسوي creating child processes …👇
في حال انك ما شفت شيء رهيب اليوم، تعال اوريك وريد. وريد عبارة عن Command & Control (C2) من تطوير المبدع
@Faisal_P27
والحلو بالموضوع ان C2 بالكامل over DNS 👏
اداة MailSniper لاختبار اختراق Microsoft Exchange 👍
في نظري اهم ميزتين في الاداه هي Password Spraying & Access Global Address List
تحميل الاداه:
دليل الاستخدام:
السلام عليكم ورحمة الله وبركاته،
الله يحيّيكم جميع في بوث
#Cyberani
في
#LEAP24
،
مجهّزين لكم CTF بيعجبكم بإذن الله والكل يقدر يشارك وبكافة المستويات 👌🏻
وبيكون فيه عدد كبير من الـ
- Flipper Zero
- YubiKey Security Tokens
- COINS
وغيرها من الجوائز.
طبعا هذي من غير الجائزة
لما نجي نسوي Phishing simulation يكون عندنا 3 templates تقريبًا.
الاولى وهو الاهم، يكون فيه اخطاء املائية واضحه ومكتوب بشكل عام بدون توجية لشخص بعينه. ويرسل غالبا من اي mail provider
الي يطيح بهالـtemplate هذا يحتاج كورس توعية مكثف ودعاء، لانه غير واعي بالي حصل او غير مكترث.
من على الرمضاء مشى حافي القدم٫ يستاهلك
ومن سقى غرسك عـرق دمـع و دم٫ يستاهلك.
حنا هلك يا دارنا برد و هجير
حنا هلك يا دارنا و خيرك كثير.
#saudinationalday92
آنستونا و نورتونا في بوث TCC والله 🥰❤️ شكرًا للي حاولو يحلون التحديات و سامحونا اذا قصرنا معكم بشيء و مبروك للي قدرو يحلّون معنا و فازو 🕺🏻
#AtHack
#athackcon
يامن دمانا في ثراك مخضوبة
سبحان من عزك بالاسلام سبحان
وخلى الشهادة من غلاك مخطوبة
من عهد سيدنا محمد إلى الآن
يادارنا مالك من العشق توبة
ومن المعزة مانبي منك غفران
- مشعل بن محماس الحارثي
سعدنا بتواجد الاخوات آلاء بخاري و وجدان العمري ببوث TCC وماقصروا عطونا نسخه من كتابهم
@CyberBklBasatah
، الله ينفع بهم
* الكتاب متواجد بجرير وايضا على متجر تشكيل
من الاشياء الجميله الي كانت بـ ليب
@ThawdSecurity
والتعرف على الحلول المقدمه من ذود. شركة واعده ونتمنى لهم التوفيق 🤍
* الي يبي بيانات التواصل معهم يتواصل عن طريق الخاص.
ايميل تصيدي, المقصد منه جمع معلومات والنصب
From: الهيئة العامة للترفيه <tadawul.offers
@gmail
.com>
جميع المعلومات المدخله بالصفحة ترسل الى:
hxxps://dashboard[.]org[.]sa[.]com/api/front-email
طيب، نبي نركز على وحده من rule بجزئيه credential theft والي هي تمنع موضوع LSASS dump, طيب هل معناته محد يقدر يوصل هالprocess الان؟! مستحيل فيه بعض processes تقدر توصل حتى لو كانت rule مفعله. شيك هنا وبتحصل مين الي عنده exclusions من هالرول.
@Pwn3dx
استمتع، ولا تعتمد على التمبلت الي يشرحها وايضا ابني التولز الخاصه فيك من الان واحفظها عندك، بتحتاجها بالاختبار.
لا تتردد ابد اذا احتجت مساعده 🙏
يـومٍ بـديـنـا في بطـوله وتاسـيـس
وشلون صار السيف فوق الوطن ظل
شالت طلايعنا سيوف ومتاريس
بمحمد ابن سعود بتوقيتها حل
اسس وطن مافيه لو شبر لابليس
ولا يعرف الغيره ولا يعرف الغلّ
مترامي اطراف وعزيز تظاريس
ماستعمره غازي ولا جاه محتل
تكاثر علي الله يجازيه كيف الحال
وانا يوم اسوق العمر له ما تكاثرته
وبعد كل هالتقدير والحب والاجلال
تغير وهقواته عليه مغيرته
خلصنا وقفلنا الصناديق بالاقفال
ومن جور حكمه كامل القلب حررته
طيب عرفنا وظيفه هالرول وعرفنا مين عنده استثناء ويقدر يوصل لـLSASS process بدون مشاكل، ببساطه راح نستخدم Process Hollowing technique عشان ننشاء process من الي موجوده باللسته فوق ونحقن Shellcode الي بيسوي لنا dump لLSASS
@buhaimedi
@Pwn3dx
@KasperskyKSA
لعلمك MD ب capacities الرهيبه الي عنده، بتخلي حياة threat actor جحيم. مثل
ASR rules, WDAC and AppLocker
ومن الظلم مقارنة نسخه مدفوعة مقابل نسخة built in عشان تكون عادله نحتاج MDE 👌بالاضافه الموضوع كله على بعضه cat and mouse game 😃
نقطة اخيره: الي قادر يتخطى MD يقدر على الباقين.