Live and recent posts from across the Fediverse tagged #обфускация, aggregated by home.social.
Матрёшка с Remcos внутри: как JS-файл, «картинка» и MSBuild передают друг другу эстафету
Привет, Хабр! Сегодня я хочу рассказать о том, как один невзрачный .js-файл превратился в шесть слоёв упаковки, и в самом центре этой матрёшки сидел старый знакомый Remcos. Раскрыть матрешку.
https://habr.com/ru/articles/1093948/
#вредоносное_по #jscript #powershell #обфускация #msbuild #rat #dfir #process_hollowing #remcos #cyberchef
DENOmination Group: Deno в цепочках атак на российские организации
В 2026 году отдел киберразведки PT ESC зафиксировал серию атак, объединенных использованием легитимной среды выполнения Deno для запуска вредоносного JavaScript-кода. Загрузочный компонент получил публичное название DinDoor; в подробно исследованных MSI- и LNK-ветках за ней следует полнофункциональный агент удаленного доступа DenoRAT. Целями этих действий на территории Российской Федерации стали предприятия ОПК, военные структуры, банки, финансовые и консалтинговые организации. В качестве фишинговых приманок злоумышленники используют документы военной и финансово-кредитной тематики. В статье последовательно рассматриваются две основные цепочки первоначального запуска: MSI-ветка, выявленная в рамках фишинговой рассылки с финансовой тематикой, и LNK-ветка. Отдельно разбирается вредоносный установщик DeltaScan, выявленный при исследовании той же инфраструктуры и использующий сходную многостадийную схему запуска Deno. Совокупность пересечений в логике, техниках и сетевой инфраструктуре позволяет нам рассматривать эти эпизоды как активность одного актора.
https://habr.com/ru/companies/pt/articles/1079682/
#вредоносное_программное_обеспечение #кибератаки #хакерские_инструменты #целевые_атаки #вредоносный_код #обфускация #deno #rat #цепочка_атаки_хакера #фишинг
Callfuscated — Виртуализация, MBA, opaque predicates и мусорные инструкции в одном задании
Подробное решение задания, в котором есть многие техники обфускации. Каждую технику я снял и рассказал как. Есть решение этого таска по трассировке. Я решаю иначе: снимаю обфускацию слой за слоем, чтобы на каждом шаге оставалась работающая декомпиляция.
GOFFEE (Paper Werewolf): Как мы разбирали агента COW — наследника Poseidon
В ходе одного из расследований мы наткнулись на группу серверов, где злоумышленники закрепились с помощью Go-агентов для C2-фреймворка Mythic. Всё выглядело стандартно: systemd-юниты, периодические колбэки, знакомая многим архитектура. Но когда мы попытались разобрать сами файлы, начались сюрпризы. Исполнительные файлы были обфусцированы Garble и дополнительно упакованы UPX. Однако упаковщик оказался модифицированным: служебные заголовки оказались частично удалены или повреждены, и upx -d отказывался работать. После ручного восстановления мы всё-таки распаковали образцы, но исходных имён функций, пакетов и типов в коде практически не осталось — Garble сделал своё дело. Первичные признаки указывали на агента Poseidon, который ранее уже встречался в атаках GOFFEE. Мы сверили находки с публичными версиями Poseidon и его форком Freyja — и поняли, это не они. Перед нами оказалась самостоятельная ветка разработки. Мы назвали её COW — по внутреннему имени, сохранившемуся в некоторых образцах. В первой части мы расскажем: - как восстановили происхождение COW и почему его основой стал именно Poseidon, а не Freyja; - как нашли другие версии агента с новыми возможностями; - как проследили развитие COW и сравнили его с публичными агентами Mythic. Но обо всём по порядку...
https://habr.com/ru/companies/angarasecurity/articles/1072676/
#apt #вредоносы #реверсинжиниринг #mythic #обфускация #linux #расследование #анализ_кода #goffee #paper_werewolf
187 064 инструкции ради одного флага: Разбор HTB Callfuscated (Insane)
Что делать, если статический анализ crackme выдает 187 064 инструкции мусорного кода? Идти в динамику! В этой статье разбираем таск Callfuscated с HTB: пишем свой ptrace-трассировщик, создаем валидируемый x86-64 эмулятор на Python, снимаем дампы памяти и сводим сложную VM-обфускацию к арифметике первого курса. Прочитать решение
https://habr.com/ru/articles/1061634/
#hackthebox #htb #reverse_engineering #ptrace #эмулятор #обфускация #python #ctf #виртуальная_машина #mba
[Перевод] Обфусцированный bash-скрипт CDN Akamai продаётся потребителям в розничных магазинах
Когда жена сказала мне: «Давай покажу футболку, которую я нашла...», у меня не было совершенно никаких предположений, но я определённо не ждал увидеть напечатанный на спине обфусцированный bash-скрипт, который выводит сообщение-пасхалку. Я не любитель кликбейтных заголовков, но понимаю, почему редакторам они так нравятся. Заголовок статьи, строго говоря, совершенно правдив, но, наверно, не в том смысле, в котором вы бы ожидали. Обфусцированный код на самом деле оказался пасхалкой, он распространяется в магазинах Uniqlo в рамках кампании Peace for All на замечательных футболках, дизайн которых разработала Akamai.
Вырезаем 99% мусорного кода с помощью SSA в Binary Ninja (Flare-On 12)
Мы из огроменной функции, в которой 4185 (!) строк декомпиляции из-за мусорного кода получим всего 35 строк при помощи API Binary Ninja для решения 7 задания из Flare-On 12 ("The Boss Needs Help")
https://habr.com/ru/articles/1050502/
#flareon #деобфускация #reverseengineering #binary_ninja #обфускация
Relocation-Based Predicate — врём в IDA по-новому
Базовые механизмы Windows создавались для защиты программ, но сегодня мы заставим их работать против реверс-инженеров. Показываю новую технику обфускации: как с помощью ASLR и таблицы релокаций создать ложную ветку выполнения, которая сейчас остаётся абсолютно невидимой для статических анализаторов.
https://habr.com/ru/articles/1043458/
#reverse_engineering #ASLR #обфускация #PE #релокации #opaque_predicate #IDA_Pro #антианализ #ассемблер
Как создать настоящий приватный мессенджер?
Существуют решения для анонимного взаимодействия в интернет пространстве, такие как Tor, I2P и Freenet, но они ориентированы на весь интернет и избыточны для простого общения. Их сложность и архитектура могут быть неудобны в условиях ограниченного доступа к сети. Поэтому возникает идея более простой и специализированной системы. XXCore — это лёгкая p2p-архитектура с доверенными узлами, построенная на PipeNet и модифицированном SSU2.
https://habr.com/ru/articles/1020480/
#мессенджер #приватность #сети_передачи_данных #сети #обфускация #noise_protocol_framework #c++ #криптография
Защита программ без IF: ретро-анализ библиотеки TViorProtect (Delphi 7)
Что если защита от копирования вообще не содержит ни одного условного перехода? Ретро-разбор библиотеки 2009 года, где вместо if (key == valid) используется вычисление адреса следующей функции, любая ошибка в данных уводит процессор в никуда. Классический взломщик ищет в дизассемблере инструкции JZ/JNZ и инвертирует их ("Magic Jump"). Здесь этот приём не работает: нет точки принятия решения, нет и цели для патча. Вместо этого серийный номер диска, CRC32 исполняемого файла и системная дата складываются в единственно верный адрес перехода. Чуть изменил данные - получил Access Violation в случайном месте памяти.
https://habr.com/ru/articles/1008824/
#Delphi_7 #Pascal #WinAPI #Защита_программного_обеспечения #Обфускация #Антиотладка #Ретро #x86 #Программирование
Как не сломать Android-приложение при защите от реверса
Привет, Хабр! На связи Александр Ананикян, аналитик сервиса по защите мобильных приложений от реверс‑инжиниринга. Мы в команде PT MAZE делаем «кнопку», которая превращает мобильные приложения в самый запутанный лабиринт для хакера. Защита мобильного приложения от реверс‑инжиниринга и взлома — обязательный этап, который стоит учитывать при разработке релизной сборки. Протекторы используют обфускацию (запутывание), шифрование и другие техники, чтобы затруднить статический анализ и защитить код от модификаций злоумышленниками. Но у многих разработчиков присутствует страх сломать приложение применением таких техник.
https://habr.com/ru/companies/pt/articles/990092/
#pt_maze #протектор #защита_мобильных_приложений #обфускация #защита_кода #шифрование_файлов #анализ_кода #control_flow #взлом #рефлексия
От обфускации к payload: вскрытие Snake Keylogger шаг за шагом
Snake Keylogger — один из тех .NET-образцов, что на первый взгляд кажутся простыми, но на деле используют нетривиальный способ упаковки полезной нагрузки. В этом материале я пошагово разберу процесс распаковки, покажу, как извлекаются скрытые PE-файлы, и объясню, что делает зловред после их загрузки в память.
Операция Phantom Enigma: бразильские пользователи под ударом вредоносного расширения
В начале 2025 года специалисты группы киберразведки TI-департамента экспертного центра безопасности Positive Technologies обнаружили вредоносное письмо, в котором предлагалось скачать файл с подозрительного сайта. Выявленная цепочка атаки приводит к установке вредоносного расширения для браузера Google Chrome , нацеленного на пользователей из Бразилии. В процессе исследования были обнаружены файлы, находящиеся в открытой директории злоумышленников, что позволило определить еще одну вариацию атаки с использованием Mesh Agent или PDQ Connect Agent вместо вредоносного расширения браузера. Там же располагались вспомогательные скрипты, содержащие в себе ссылки, в параметрах которых фигурировал идентификатор EnigmaCyberSecurity , — в честь него и была названа кампания.
https://habr.com/ru/companies/pt/articles/917248/
#киберразведка #фишинг #бразилия #киберпреступники #обфускация #вредоносное_программное_обеспечение #расширения #chrome_extension #microsoft_edge #цепочка_атаки_хакера
Прячем код по-настоящему: тёмные уголки обфускации R8 и ProGuard
Обфускация R8 ProGuard по умолчанию делает ставку на размер, а не на защиту кода. В статье — нестандартные словари, генерация уникальной обфускации на каждую сборку и методы, которые точно усложнят жизнь реверс-инженерам. Подробности
https://habr.com/ru/articles/909638/
#android #proguard #r8 #безопасность #реверсинжиниринг #реверсинженеринг #kotlin #java #обфускация #андройд
Прямая без препятствий. Часть 2. Защита мобильных приложений — выход найден?
В современных мобильных операционных системах нам по умолчанию недоступны права суперпользователя, а более-менее привилегированный доступ для приложений получить просто невозможно без использования уязвимостей. Поэтому невозможно сделать единое приложение, которое будет защищать все мобильное устройство из пользовательского пространства. Остается единственный выход — встраивать защиту прямо в защищаемое приложение. Меня зовут Николай Анисеня, и я продолжаю рассказывать о безопасности мобильных приложений. В предыдущей статье мы подробно поговорили о состоянии защищенности приложений и девайсов на настоящий момент. Если коротко — приятных новостей мало. Но выход есть. В этой статье расскажу о перспективах защиты.
https://habr.com/ru/companies/pt/articles/905726/
#pt_maze #уязвимости_мобильных_приложений #sdk #saas #телеметрия #защита_кода #controlflow #анализ_кода #обфускация #zero_trust
История авиасимуляторов
Глюк с мостами в MSFS 2020 Ходят слухи, что современные игровые симуляторы типа Microsoft Flight Simulator (MSFS) реально используются в обучении будущих пилотов. Честно говоря, в такие слухи не очень верится: это как изучать боевые искусства по Mortal Kombat. Но потрясающий реализм современных игр как бы намекает, что всякое возможно… Если дать игроку штурвал, шлем VR, кресло на гидравлической платформе с наклонами и тряской (5D), то это будет похоже на пилотирование настоящего самолёта. Есть реальные истории , как после многолетней игры на MSFS люди спокойно сдают на лицензию пилота, потому что в одномоторнике им известны все элементы управления. А на гражданском лайнере полёт вообще бóльшую часть времени на автопилоте.
https://habr.com/ru/companies/ruvds/articles/868594/
#IOCCC_Flight_Simulator #авиасимулятор #IOCCC #самолет #Пайпер_Чероки #jsFlightSim #ClojureScript #Obfuscated_C #обфускация #Иниго_Килес #Microsoft_Flight_Simulator #Stunt_Island #автопилот #Desert_Storm #Digital_Combat_Simulator #Eagle_Dynamics #AeroflyFS #FlightGear #TerraSync #электромеханическая_игра #XPlane #Laminar_Research #Prepar3D #ruvds_статьи
Полезные советы от Joy Dev: как правильно зарелизиться в сторе
С приходом санкций релиз в сторах превратился в творческую работу. Теперь это не просто загрузка кода, а сложный квест, требующий изобретательности, терпения и времени. В этой статье мы расскажем, какие шаги помогают обойти ограничения и успешно разместить приложение в Play Market, App Store и других площадках. Готовы узнать секреты? Тогда читайте нашу статью! А сфокусируемся мы на том, как обфускация затрудняет анализ кода во время ревью приложения при его релизе в стор.
Зоопарк группировок и уязвимые диски
В начале сентября 2024 года мы обнаружили подозрительный образ виртуального диска форматаVHDX — крайне редкое событие при просмотре потока данных. Анализ VHDX и всех связанных файлов позволил атрибутировать эту атаку группировке APT-C-60. Анализ VHDX и всех связанных файлов позволил атрибутировать эту атаку группировке APT-C-60. Одну из последних похожих кампаний в июле 2023 года описали в своей статье эксперты компании ThreatBook. Однако при сравнении удалось выделить различия как в файловой иерархии на диске, так и в используемых командах и инструментах. В этой статье мы опишем технику атаки через виртуальный диск, расскажем, почему мы считаем, что данная атака принадлежит именно группировке APT-C-60 и как эти злоумышленники связаны с хакерами из DarkHotel и других групп. Что за уязвимые диски?
https://habr.com/ru/companies/pt/articles/858612/
#вредоносное_по #расследование #apt #cybersecurity #кибергруппировки #vhdx #vhd #spyglace #bitbucket #обфускация
Скрипты VS Коробка. Как эффективно маскировать данные
В России о маскировании данных почти ничего не знают даже ИТ-руководители . Именно поэтому мы решили познакомить начинающих специалистов с методами обезличивания информации в базах данных (БД), а тем, кто уже знаком с технологией, предоставить продвинутые и удобные подходы к маскированию: от определения и категоризации данных в исходной БД до автоматизации всего процесса обезличивания (встраивание в pipeline CI/CD). Поговорим вот о чем: · что такое обезличивание, · для чего применяется маскирование данных, · почему нельзя передавать данные as is, · какие данные необходимо обезличивать, · почему звездочки не помогают, · этапы обезличивания с реальными примерами.
https://habr.com/ru/companies/garda/articles/858014/
#обфускация #обезличивание_данных #маскирование #сканирование_базы_данных #категоризация_данных #гарда #гарда_маскирование
Новые протоколы шифрования трафика
Несмотря на запрет отдельных сервисов, протоколы VPN по-прежнему широко используются в корпоративной среде и частными лицами. В последнее время использование стало затруднено из-за того, что зашифрованный трафик распознаётся и теряется на каналах связи. Выходом из этой ситуации может быть обфускация, когда трафик делают похожим на обычные HTTPS-пакеты. Компании-разработчики средств информационной безопасности представили несколько новых протоколов, предназначенных именно для этого. По словам разработчиков, новые протоколы работают эффективнее старых методов обфускации.
https://habr.com/ru/companies/globalsign/articles/853808/
#VPN #Stealth #обфускация #TLSтуннелирование #TCP #UDP #клоакинг #OpenVPN #WireGuard #IKEv2 #PPTP #L2TP #BBR #стеганография #WebTunnel
Анализ виртуальной машины на примере VMProtect. Часть 2
В первой части статьи мы рассмотрели общий вид работы конвейера виртуальной машины, а также немного коснулись возможных подходов для анализа виртуальной машины. В этой части статьи не приводится гарантированного способа снятия виртуализации, я просто хочу поделиться опытом анализа ВМ который позволяет более-менее понять что-то о работе ВМ и может быть полезен при анализе схожих реализаций. Анализировать!
https://habr.com/ru/articles/835768/
#malware #vmprotect #reverseengineering #реверсинжиниринг #вредоносное_программное_обеспечение #исследование #обфускация #антиотладочные_приемы
Обфускация и деобфускация JavaScript: основы и инструменты
В цифровом мире информационная безопасность важна для обеспечения непрерывной работы бизнеса и защиты конфиденциальности пользователей. Однако, несмотря на внедрение различных мер защиты, веб‑приложения — важные мишени для злоумышленников, которые постоянно ищут уязвимости для эксплуатации. Один из методов защиты веб‑приложений от атак — обфускация JavaScript.
https://habr.com/ru/companies/skillfactory/articles/814801/
#безопасность_данных #информационная_безопасность #javascript #защита_данных #безопасность_сайтов #обфускация #безопасность_вебприложений #jsfuck #минификация
[Перевод] Обфускация сетевого трафика и автоматическая интернет-цензура
Интернет‑цензоры ищут способы выявить и заблокировать доступ в интернете к информации, которую они считают нежелательной. Для этих целей они часто используют такие сетевые инструменты, как глубокая проверка пакетов (Deep packet inspection, DPI), которые позволяют выявить такие соединения. В ответ активисты разработали и внедрили механизмы запутывания сетевого трафика. Они применяют специализированные криптографические инструменты, чтобы попытаться скрыть от DPI истинную природу и содержание соединений. Сегодня поговорим про обфускацию сетевого трафика и её роль в обходе интернет‑цензуры. Расскажем, из‑за чего возникла необходимость в инструментах запутывания, какие подходы к запутыванию существуют и как как цензоры могут обнаружить такую активность. Заодно обсудим проблемы, связанных с исследованием обхода цензуры, и способах решения этих проблем сообществом. Осторожно, много букв.
Протектор и LLVM-обфускатор. Сравнение двух подходов к решению задачи запутывания кода
Добрый день, Хабр! В данной заметке я постараюсь сравнить два разных подхода к задаче запутывания машинного кода – это протектор и обфускатор, построенный на базе LLVM-фреймворка. Нам пришлось с этим столкнуться, когда возникла задача защиты библиотек Guardant под разные операционные системы и разные ARM-архитектуры. Для x86/x64 мы используем протектор Guardant Armor , который является полностью нашей разработкой. В случае ARM-архитектуры было принято решение параллельно посмотреть в сторону открытых обфускаторов на базе LLVM с целью их модификации и использования для защиты своих продуктов.
https://habr.com/ru/companies/aktiv-company/articles/779990/
Фишеры вооружились редкими методами обфускации и Telegram-каналами #пользователи, #фишинг, #обфускация, #шифрование, #Telegram, #FireEye https://t.co/3Kzu6pN3Aq https://t.co/e9lJGutj2c
Источник: https://twitter.com/SecurityLabnews/status/1354338387277324288
Эксперты обнаружили новый сервис «обфускация как услуга» #APK, #API, #обфускация, #даркнет, #сервис https://www.securitylab.ru/news/514563.php https://twitter.com/SecurityLabnews/status/1334839887590273025/photo/1
Во втором квартале 2020 года число атак уменьшилось, но вредоносное ПО стало агрессивнее #кибератака, #отчет, #WatchGuard, #обфускация, #JavaScript, #Abracadabra https://www.securitylab.ru/news/512438.php https://twitter.com/SecurityLabnews/status/1309413595562807296/photo/1