Белый Хакер

🎤 Windows сама заносит чужой код в память. PhantomBuffer превратил поле ввода в лазейку для EDR

Текстовое поле Windows оказалось неожиданным каналом для внедрения исполняемого кода в чужой процесс. Разработчик под псевдонимом Two Seven One Three 17 октября представил PhantomBuffer, экспериментальный инструмент обхода EDR, систем мониторинга угроз на компьютере.

По словам автора, проверка на одном неназванном защитном продукте прошла без предупреждений.

Обычно внедрение кода требует выделить память в другом процессе, записать туда полезную нагрузку и запустить выполнение. За такими действиями следят EDR, в том числе по вызовам VirtualAllocEx и WriteProcessMemory.

PhantomBuffer обходит оба вызова, используя штатный механизм Windows. Похожий способ скрывать внедрение кода ранее показали с помощью DLL.

🎤 Ссылка на чтиво

White Hat / max.ru/kind_hack

🎤 Анти‑антивирус: установка двух приложений по цене одного

Недавно нам на глаза попался APK‑файл с интригующим и внушающим доверие названием «Антивирус ФСБ.apk».

Установив его, мы обнаружили, что при запуске пользователя встречает интерфейс известной программы для управления звонками на Android — Right Dialer от разработчика Goodwy.

Вероятнее всего, выбор злоумышленников пал именно на это приложение, так как оно запрашивает большое количество разрешений: работа с контактами, выполнение звонков, доступ к камере и так далее.

🎤 Ссылка на чтиво

White Hat / max.ru/kind_hack