#psexec

Sunday Round up for the week ending the 26th of March, As stated last weeks still looking for feedback on how I can tweak this posts format - let me know:

Articles:

How to Get Started Using Java Cryptography Securely: http://www.veracode.com/blog/research/how-get-started-using-java-cryptography-securely

Strange But True Application Security Failures: https://img.readitlater.com/i/www.veracode.com/sites-default-files-styles-media_responsive_widest-public-strange-but-true-application-security-failures-image-png-itok-m3Tnnv_P/RS/w1408.png?url=http%3A%2F%2Fwww.veracode.com%2Fsites%2Fdefault%2Ffiles%2Fstyles%2Fmedia_responsive_widest%2Fpublic%2Fstrange-but-true-application-security-failures-image.png%3Fitok%3Dm3Tnnv_P

Ransomware operators are hiding malware deeper in installer packages: https://blogs.technet.microsoft.com/mmpc/2017/03/15/ransomware-operators-are-hiding-malware-deeper-in-installer-packages/

Wellcome to revfirmware.ml: https://revfirmware.ml/

That Is Not My Child Process!: https://blog.didierstevens.com/2017/03/20/that-is-not-my-child-process/amp/

.NET Reverse Enginering - Part 2: http://codepool.me/NET-Reverse-Enginering-Part-2/

Combining Responder and PsExec for Internal Penetration Tests: https://community.rapid7.com/community/infosec/blog/2017/03/21/combining-responder-and-psexec-for-internal-penetration-tests

Tracking Online Counterfeiters: https://www.sans.org/reading-room/whitepapers/detection/tracking-online-counterfeiters-37697

An Android Phone Makes A Better Server Than You’d Think: http://hackaday.com/2017/03/22/an-android-phone-makes-a-better-server-than-youd-think/

Twitter:

"Virtual machine escape fetches $105,000 at Pwn2Own hacking contest [updated]" #informationsecurity #feedly https://t.co/L7lJISXHQK

— The Security Sleuth (@Security_Sleuth) March 19, 2017

"European Data Protection Supervisor Publishes Priorities for 2017" #privacy #feedly https://t.co/K6K7mkh9t7

— The Security Sleuth (@Security_Sleuth) March 19, 2017

"A simple command allows the CIA to commandeer 318 models of Cisco switches" #informationsecurity #feedly https://t.co/0o8hLTIXCJ

— The Security Sleuth (@Security_Sleuth) March 20, 2017

"Your Next Steps if Your AppSec Program Is in the Expanded Stage" #informationsecurity #feedly https://t.co/228tas6Nkt

— The Security Sleuth (@Security_Sleuth) March 20, 2017

"Phill Moore's Round-Up Of This Month In Forensics" #forensics #feedly https://t.co/0gCa7fT1ag

— The Security Sleuth (@Security_Sleuth) March 21, 2017

"Why American Farmers Are Hacking Their Tractors With Ukrainian Firmware" #tech #feedly https://t.co/RdW5IpkKwv

— The Security Sleuth (@Security_Sleuth) March 21, 2017

"Strategies for Rapid Adoption of a Security Programme Within a Large Enterprise" #informationsecurity #feedly https://t.co/oDgjcFMhVW

— The Security Sleuth (@Security_Sleuth) March 22, 2017

"Hackers Using Fake Cellphone Towers to Spread Android Banking Trojan" #infosec #feedly https://t.co/12huZuGw2b

— The Security Sleuth (@Security_Sleuth) March 22, 2017

"Shielding MAC addresses from stalkers is hard and Android fails miserably at it" #informationsecurity #feedly https://t.co/uUOyQu9LjS

— The Security Sleuth (@Security_Sleuth) March 23, 2017

"Breaking: Wikileaks reveals CIA's Apple MacOS and iPhone Hacking Techniques" #infosec #feedly https://t.co/TzA9vgz9b8

— The Security Sleuth (@Security_Sleuth) March 23, 2017

Read last weeks round up here

شهد شهر أغسطس 2025 ظهور مجموعة تهديد سيبراني جديدة تُعرف باسم The Gentlemen، حيث أطلقت حملة برمجيات فدية متطورة استهدفت مؤسسات في قطاعات مختلفة حول العالم، مع تركيز ملحوظ على منطقة آسيا والمحيط الهادئ. ووفقًا لتقرير تحقيق حديث، تمكنت المجموعة من اختراق بيئات مؤسسية معقدة باستخدام سلسلة هجمات متقدمة وأدوات مخصصة لتعطيل أنظمة الحماية. تكتيكات متطورة واستخدام أدوات مشروعة أظهرت الحملة مستوى عالٍ من…

How to Run a Program in Windows as the SYSTEM (LocalSystem) Account

Local System Account The LocalSystem account is a service control manager-defined local account. Because the security subsystem does not recognize this account, you cannot specify its name in a LookupAccountName call. It has extensive privileges on the local computer and serves as the network computer. The SYSTEM (a.k.a. LocalSystem) account, which has a high privilege level, owns many Windows…

Black Basta Ransomware Becomes Major Threat in Two Months

Home › Cybercrime Black Basta Ransomware Becomes Major Threat in Two Months By Kevin Townsend on June 24, 2022 Tweet Security researchers have assessed the Black Basta ransomware threat level as HIGH, and the number of victims is still rising Black Basta ransomware has become a major new threat in just a couple months. Evidence suggests it was still in development in February 2022, and only…

AutoRDPwn - The Shadow Attack Framework #Powershell #Hacking #Windows

AutoRDPwn is a script created in Powershell and designed to automate the Shadow attack on Microsoft Windows computers. This vulnerability allows a remote attacker to view his victim’s desktop without his consent, and even control it on request. For its correct operation, it is necessary to comply with the requirements described in the user guide.

Requirements Powershell 5.0 or higher

Changes

Vers…

Ataque de ransomware a gran escala, golpea duramente a Europa

Madrid, 28 de junio de 2017 - Un ataque de ransomware a gran escala del que se ha comunicado que ha sido causado por una variante del ransomware Petya está golpeando actualmente a varios usuarios, particularmente en Europa. Esta variante, que Trend Micro ya detecta como RANSOM_PETYA.SMA, es conocida por utilizar tanto el exploit EternalBlue como la herramienta PsExec como vectores de infección. Tanto a usuarios como a organizaciones se les aconseja seguir los siguientes pasos de mitigación inmediatamente para prevenir y evitar la infección:

• Aplicar el parche de seguridad MS17-010 • Desactivar el puerto TCP 445 • Restringir las cuentas con acceso al grupo de administradores

Trend Micro también protege a sus clientes contra esta amenaza con Predictive Machine Learning y otras importantes funciones de seguridad frente al ransomware que se encuentran en Trend MicroXGen™ security. Actualmente, la compañía está trabajando en el análisis de esta amenaza y actualizará esta publicación tan pronto tenga más detalles disponibles.

Corriente de infección

Como se mencionó anteriormente, la entrada inicial de este ransomware en el sistema implica el uso de la herramienta PsExec, una herramienta oficial de Microsoft utilizada para ejecutar procesos en sistemas remotos. También utiliza la vulnerabilidad de EternalBlue -previamente empleada en el ataque de WannaCry- que se dirige a una vulnerabilidad en Server Message Block (SMB) v1. Una vez en un sistema, esta variante Petya utiliza el proceso rundll32.exe para ejecutarse por sí misma.  El cifrado real es llevado a cabo por un archivo llamado perfc.dat, ubicado en la carpeta de Windows.

Este ransomware añade entonces una tarea programada, que reinicia el sistema después de al menos una hora (Mientras tanto, la Master Boot Record (MBR) también se modifica para que el encriptador realice el cifrado y se muestre la nota de rescate correspondiente. Inicialmente, se muestra una notificación falsa de CHKDSK, es decir, cuando el cifrado se lleva a cabo realmente. Normalmente el ransomware, no cambia las extensiones de los archivos cifrados. Más de 60 extensiones de archivos están dirigidas al cifrado, vale la pena señalar que las extensiones de archivo objetivo se centran en los tipos de archivo utilizados en la configuración de la empresa; imágenes y archivos de vídeo (dirigidos por otros ataques de ransomware) están particularmente ausentes.

Figura 1. Diagrama de infección

Figuras 2 y 3. Avisos de Ransomware que se muestran después del reinicio

Aparte del uso del exploit EternalBlue, hay otras similitudes a WannaCry. Al igual que este ataque, el proceso de rescate de esta variante Petya es relativamente simple: también utiliza una dirección Bitcoin codificada, haciendo que el descifrado sea un proceso mucho más laborioso por parte de los atacantes. Esto contrasta con los ataques anteriores de Petya, que tenían una interface de usuario (UI) más desarrollada para este proceso. A cada usuario afectado se le pide que pague un rescate de 300 dólares. Hasta este momento, se han pagado aproximadamente 7.500 dólares en la dirección de Bitcoin. Como en todos los ataques de ransomware, Trend Micro aconseja no pagar el rescate –en este caso, esto es particularmente importante, ya que la cuenta de correo electrónico mencionada en la nota de rescate ya no está activa.

PsExec y línea de Comando de Información de Administración de Windows (WMIC) Petya utiliza hábilmente los procesos legítimos de Windows PsExec y Windows Management Information Command-line, que es una interfaz que simplifica el uso de Windows Management Instrumentation (WMI).

Una vez que Petya se ha descargado, despliega psexec.exe como dllhost.dat en la máquina de destino. El malware también desgarta una copia de sí mismo en \\{nombre de máquina remota}\admin $\{malware filename}. A continuación, ejecuta la copia desplegada utilizando dllhost.dat localmente (que es el nombre de archivo de la herramienta PSExec) con los parámetros siguientes:

dllhost.dat \\{remote machine name} -accepteula -s -d C:\Windows\System32\rundll32 “C:\Windows\{malware filename}”,#1 {random number minimum 10} {enumerated credentials}

El formato de {enumerated credentials} es el siguiente:

"Un1: pw1" "un2: pw2" "un3: pw3" ... "unN: pwN"

Si esto no tiene éxito, entonces Petya utilizará WMIC.EXE para ejecutar el archivo en la máquina remota:

%System%\wbem\wmic.exe /node:”{node}” /user:”{user name}” /password:”{password}” process call create “C:\Windows\System32\rundll32 \”C:\Windows\{malware filename}\” #1 {random number minimum 10} {enumerated credentials}”

Petya utilizará PSExec o WMIC para difundir el malware a otros sistemas dentro de la red local. Si esta parte de la cadena de infección no funciona, solo entonces Petya explotará la vulnerabilidad EternalBlue.

Método de extracción de información Trend Micro ha descubierto que esta variante de Petya utiliza un método avanzado para extraer información del sistema infectado. Utiliza un Mimikatz personalizado, una herramienta de seguridad legítima, para extraer nombres de usuario y contraseñas. Los ejecutables Mimikatz de 32 bits y 64 bits se cifran y almacenan en la sección de recursos del ransomware. El método de extracción se ejecuta cuando el proceso de malware principal abre un conducto, que es utilizado por el Mimikatz personalizado para escribir sus resultados. Estos resultados son leídos por el proceso principal del malware. Como se mencionó anteriormente, Petya es capaz de extenderse a otros sistemas dentro de la red local utilizando esta información extraída.

Procedimiento de modificación del disco Antes del cifrado, Petya modificará primero el MBR como parte de su proceso. Inicialmente, el sector después Volume Boot Record (VBR) se escribe con código (0xBAADF00D), lo que hace que el sistema no arranque.

También accede a los siguientes sectores:

• Los sectores 0 a 18 (desplazamiento de disco 0 a 25FFh) se sobrescriben con su propio programa de arranque. • El sector 32 (desplazamiento del disco 4000h a 41FFh) se escribe con algunos datos aleatorios estructurados. • El sector 33 (offset de disco 4200h a 43FFh) se llena con 07h.

El MBR original está cifrado:

• El sector 34 (desplazamiento de disco 4400h a 45FFh) se escribe con el MBR original cifrado XOR.

Si el proceso anterior falla, sobreescribirá los sectores 0-9 con código (0xBAADF00D).

Soluciones de Trend Micro

Puedes encontrar más información sobre las soluciones de Trend Micro en este artículo.

Los siguientes hashes SHA256 están relacionados con esta amenaza:

027cc450ef5f8c5f653329641ec1fed91f694e0d229928963b30f6b0d7d3a745

64b0b58a2c030c77fdb2b537b2fcc4af432bc55ffb36599a31d418c7c69e94b1

파일자체는 jenkins로 ftp이용해서 전송 하겠는데, 문제는 서버 exe를 종료하고 다시 시작해야 하는 부분이다.

psexec이란걸 찾았는데 exe를 실행하면 프로세스에만 나오고 화면에는 안보이는 상태로 뜨더라.

더더욱 곤란하게 만드는건 내부ip로만 동작하고 외부 ip로는 연결도 안되고.

윈도우 하나에다가 jenkins를 설치해서 그걸로 종료하고 패치하면 될것도 같은데.

더 찾으면 뭐가 나오려나.

모르는건 나지만 나쁜건 윈도우야. 리눅스 만세.

2일차

예전에 봤었던 freeSSHd를 다시 찾게되었어.

기능은 원하는대로 동작하지만 아쉬운점은 putty에서 보는 화면이 비정상이야.

처음 접속할때부터 커서 위치가 이상해져서 멋대로 움직이더라구.

그래도 내가 명령어 안날리고 jenkins가 하니까 별 상관 없겠지.

아 라이센스는 찾아봐야겠다.

15.5.26

windows server 2012에 내장되어있는 powershell을 써보기로 했어.

원격 접속을 등록하는것부터 시작했는데, 바로 빨간 에러가 주르륵 뜨더라고.

ec2장치라서 그런것같지는 않고, 방화벽 인바운드에 http-in형식 하나 추가하라고 하던데