Windows zero‑day CVE‑2019‑1132 exploited in targeted attacks | WeLiveSecurity
ESET research discovers a zero-day exploit that takes advantage of a local privilege escalation vulnerability in Windows In June 2019, ESET researchers identified a zero-day exploit being used in a highly targeted attack in Eastern Europe. The exploit abuses a local privilege escalation vulnerability in Microsoft Windows, specifically a NULL pointer dereference in the win32k.sys component. Once th
DoublePulsar Initial SMB Backdoor Ring 0 Shellcode Analysis
One week ago today, the Shadow Brokers (an unknown hacking entity) leaked the Equation Group's (NSA) FuzzBunch software, an exploitation framework similar to Metasploit. In the framework were several unauthenticated, remote exploits for Windows (such as the exploits codenamed EternalBlue, EternalRomance, and EternalSynergy). Many of the vulnerabilities that are exploited were fixed in MS17-010, pe
Endpoint Protection - Symantec Enterprise
最新バージョンの Backdoor.Proxybox には、「rxsupply」という低レベルのファイルシステムドライバがバンドルされていました。この悪質なドライバは、侵入先のコンピュータで滞留時間を少しでも長くするために、マルウェアが使うファイルへのアクセスを拒否するように設計されています。このドライバの機能と、カーネルのファイルシステムへのアクセスをフックする仕組みについてまとめたのが次の図です。 図 1. 悪質なファイルシステムフィルタが仕掛けられたファイルシステムのデバイススタック 悪質なドライバ rxsupply は、システムの起動時に Windows によってサービスとしてロードされます。ドライバのエントリポイントは次のような手順を実行して、ファイルシステムフィルタとして機能します。 まず、独自の IRP フィルタ関数を設定します。 図 2. ドライバのエントリ: IRP ハン
ブートコードの解析はBochsを使え
ブレークポイントを設定する さて、ブートコードは0x7c00番地に読み込まれてから実行されるのであった。そこでブレークポイントをブートコードの開始番地である0x7c00に設定する。 Next at t=0 (0) [0x000ffff0] f000:fff0 (unk. ctxt): jmp f000:e05b ; ea5be000f0 <bochs:1> lb 0x7c00 そしてブレークポイントまで実行を進める。 <bochs:2> c こうすることでブートプロセスにおけるBIOSコードの実行を一気に済まして、0x7c00番地に読み込まれたブートコードの入口で止まることができる。このときのbochsコンソールは以下のようになっている。 (0) Breakpoint 1, 0x7c00 in ?? () Next at t=485348 (0) [0x00007c00] 0000:7c0
Aaron's: Explorations with adore-ng
Monday, July 30, 2007 Explorations with adore-ng As part of my studying for the SANS GCIH certification I thought I would take some time to really get to know several of the tools mentioned on the Certifications Bulletin. The first item is the adore rootkit. I will be studying adore-ng-0.56 on a RedHat 9 install. What I hope to understand better through this process: How to compile and 'install' t
VFSとファイルシステムの基礎技術
現在のLinuxは、複数のファイルシステムが選択できる。だが、どれを選べばよいのだろうか？ ファイルシステムにはそれぞれ特性がある。本連載では、基礎技術から各ファイルシステムの特徴、パフォーマンスを検証する。（編集局） カーネル2.4から、Linuxは本格的にエンタープライズを意識したOSとしての機能を備えるようになった。その特徴の1つがファイルシステムの信頼性である。Linuxの場合、当初に実装されたext2からジャーナリングファイルシステムであるext3やReiserFS、そして商用ファイルシステムとして発展してきたJFSやXFSが取り込まれ、複数のファイルシステムが選択できるようになっている。 本連載は、これらのファイルシステムの違いを把握し、ファイルシステムを選択するための指針となるような情報を提供する。 ファイルシステムとは 私たちは通常、データの「読み込み」「書き込み」などの操
Endpoint Protection - Symantec Enterprise
ここ数日間シマンテックは、少なくとも過去 2 年間ひっそりと活動を続けている新しい脅威を解析してきました。この脅威について独自の解析結果を発表している CrySyS からも連絡を受けています（CrySyS はこの脅威を「Skywiper」と呼んでいます）。W32.Flamer は、イランの National CERT が最近報告した脅威とも同じものである兆候があります。手に入れたサンプルを解析したところ、複数のコンポーネントを利用する複雑なコードが見つかりました。実行可能ファイルは、一見すると問題ないように見えますが、詳しく調べると悪質な機能が巧妙に隠されています。 この脅威の内部コードの複雑さは、今までに解析してきたマルウェアの中でもトップクラスの複雑さを持つと言える Stuxnet や Duqu のコードにも匹敵します。この 2 つと同様、W32.Flamer のコードも個人が書いたも
『Programming Windows 8 Apps』 の第1章を翻訳しました - Windows 開発統括部 Blog - Site Home - MSDN Blogs
In Visual Studio 2022 17.10 Preview 2, we’ve introduced some UX updates and usability improvements to the Connection Manager. With these updates we provide a more seamless experience when connecting to remote systems and/or debugging failed connections. Please install the latest Preview to try it out. Read on to learn what the Connection ...
Overview of Early Launch AntiMalware - Windows drivers
This section provides information about developing Early Launch Antimalware (ELAM) drivers for Windows operating systems. It provides guidelines for antimalware developers to develop drivers that are initialized before other boot-start drivers, and that ensure that subsequent drivers do not contain malware. It assumes that the reader is familiar with developing kernel-mode drivers, specifically bo
Malware Analysis Tutorial 28: Break Max++ Rootkit Hidden Drive Protection
Learning Goals: Practice WinDbg for Intercepting Driver Loading Practice IMM for Modifying Binary Code Trace and Modify Control Flow Using IMM Applicable to: Operating Systems Assembly Language Operating System Security 1. Introduction One typical feature of Max++ is its ability to hide malicious files in a hidden drive. In this tutorial, we show you how to modify the malware itself to break its h
skywiper_v1.05
Technical Report by Laboratory of Cryptography and System Security (CrySyS Lab) http://www.crysys.hu/ Budapest University of Technology and Economics Department of Telecommunications http://www.bme.hu/ This report contains information provided by anonymous parties and hence references were edited to preserve their anonymity sKyWIper (a.k.a. Flame a.k.a. Flamer): A complex malware for targeted atta
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
WithSecure Countercept MDR
GitHub - conix-security/zer0m0n: zer0m0n driver for cuckoo sandbox
https://wiki.koeln.ccc.de/images/4/49/Openchaos-malware-unix.pdf
Malware Analysis Tutorial 29: Stealthy Library Loading II (Using Self-Modifying APC)
Loading...
http://www.takedowncon.com/Portals/3/documents/presentation_slides/Your-Master-Boot-Record-Held-Hostage-Nicolas-Brulez.pdf
Google Code Archive - Long-term storage for Google Code Project Hosting.
My presentation at REcon 2012 Montreal
Naked Security – Sophos News
