31 Jul 2026, 05:42 UTC392 views8 reactionsread 8 August 2026 CIG: загрузка только DLL, подписанных Microsoft
В Windows есть Code Integrity Guard (CIG), он же Binary Signature Policy. Параметр MicrosoftSignedOnly запрещает процессу загружать PE-модули, не подписанные Microsoft. Обычный Authenticode-сертификат компании или собственный сертификат не подойдёт.
#define _WIN32_WINNT 0x0602
#include <windows.h>
#include <stdio.h>
int main(void)
{
PROCESS_MITIGATION_BINARY_SIG…
custom 51974067030411308558
28 Jul 2026, 09:52 UTC≈1,470 views19 reactionsread 8 August 2026 Photo
Дампим SAM/SYSTEM через 7-Zip
Знакомая ситуация: вы на машине юзера, нужно достать хеши, но reg save или copy блокируются EDR, файлы заблокированы самой Windows, а антивирус палит известные утилиты.
Но на рабочих станциях часто установлен 7-Zip! И у него есть крутая недокументированная фича - прямое чтение диска (raw disk access).
А можно использовать и для DFIR извлекать MFT и т.д.
Чем проще и банальнее тем …
custom 519740670304113085516custom 53795964970231481443
4 Jun 2026, 13:09 UTC≈1,030 views10 reactions2 Starsread 8 August 2026 Windows Installer cache
Каждый установленный MSI кэшируется в C:\Windows\Installer\ под случайным именем (*.msi).
Механизм self-repair позволяет перезапускать custom actions от имени NT AUTHORITY\SYSTEM, если установка была per-machine.
Когда MSI устанавливается с привилегиями SYSTEM (per-machine install), Windows сохраняет копию пакета в Installer cache. Дальше любая команда вида:
msiexec /fa {PRODUCT-CODE-GUID}
з…
custom 53795964970231481448custom 51974067030411308552
15 May 2026, 10:47 UTC930 viewsread 8 August 2026 Forwarded from @freedomfoxPhoto
#apt #bypass
EntryPoint hijacking - техника для скрытого исполнения кода
https://ipurple.team/2026/05/13/entrypoint-hijacking/
Чат в МАХ
Канал в МАХ
Telegram ✉️ @freedomfox
14 May 2026, 15:44 UTC≈1,010 viewsread 8 August 2026 File
File, posted without a caption
14 May 2026, 15:30 UTC≈1,010 views4 reactionsread 8 August 2026 В Windows существует важный нюанс, о котором редко говорят в прикладном контексте защиты EDR.
Между моментом, когда объект нового процесса уже становится доступен из user mode, и моментом, когда kernel-mode драйвер безопасности получает/обрабатывает уведомление о его создании, может существовать короткий TOCTOU-разрыв.
Иными словами: прикладной код в некоторых сценариях успевает «попасть в окно» раньше, чем драйвер…
custom 51974067030411308554
14 May 2026, 07:30 UTC773 views3 reactionsread 8 August 2026 Photo
ThreadPort - минимальный Windows x64 CLI-инструмент для контролируемых лабораторных сценариев, который загружает указанную DLL в уже запущенный процесс по имени исполняемого файла.
Проект предназначен для обучения, отладки собственных DLL, демонстрации классического механизма LoadLibraryW через удаленный поток и исследования защитной телеметрии Windows/EDR/Sysmon в разрешенной среде.
https://github.com/JO1CaRE/Thre…
custom 51974067030411308553
12 May 2026, 14:33 UTC774 views5 reactionsread 8 August 2026 Photo
PE64 Revenant — утилита для принудительной загрузки .dll библиотеки в выбранный AMD64-исполняемый файл Windows с помощью создания новой исполняемой секции в бинарнике.
Скрипт добавляет или переиспользует секцию .run (можно назвать иначе), записывает в неё минимальный x64 loader-stub, перенаправляет AddressOfEntryPoint на этот stub, вызывает LoadLibraryW для указанной DLL, после чего передает управление исходной точк…
custom 51974067030411308555
21 Feb 2026, 21:46 UTC≈1,300 views12 reactions5 Starsread 8 August 2026 Photo
MFTShadowForge - консольный инструмент для форензики NTFS с поддержкой правил корреляции на пути. (Написан на Rust)
- извлекает MFT с диска (например, C:) в raw
- парсит raw MFT в JSONL
- восстанавливает полный путь, вытаскивает метки времени 0x10/0x30
- имеются встроенные правила на timestomping
- поддерживает свои правила корреляции по пути и ставит FitsRules
Жду комментарии по улучшению,доработке и внедрению нов…
custom 519740670304113085511custom 53795964970231481441
15 Jan 2026, 10:14 UTC≈1,270 views10 reactions1 Starread 8 August 2026 Forwarded from @s0ld13r_chPhoto
Living of the Land AI 🔥
Несколько недель назад мы с @ThreatHuntingFather дискутировали на тему AI‑агентов и APT‑техник. Меня давно интересовал вопрос, как можно «вооружать» легитимные AI‑агенты для задач Red Team и adversary emulation, оставаясь в рамках минимального шума 😃
В итоге эта идея выросла в нечто большее - Living of the Land AI или LOLAI 😇
LOLAI это база знаний которая описывает:
• векторы атак с исполь…
custom 51974067030411308557custom 53795964970231481443
5 Dec 2025, 12:49 UTC≈2,010 views10 reactionsread 8 August 2026 Photo
ELF HEADERS
В исполняемых файлах формата ELF присутствуют заголовки и служебные структуры, которые не являются критичными для непосредственной загрузки и выполнения бинарного модуля операционной системой или динамическим загрузчиком, но активно используются утилитами анализа при парсинге файла. Умышленное искажение таких заголовков позволяет формировать вредоносные программы, которые будут приводить к сбоям и аварий…
custom 51952124471992772325custom 54585870272702806075
27 Nov 2025, 15:53 UTC≈2,770 views17 reactionsread 8 August 2026 Photo
Удаляем драйвер через smss.exe
Кто-то меня спрашивал как удалить драйвер AV/EDR, потому что службу мы уже смогли и перезаписать и удалить, а с драйвером так сделать было невозможно.
В общем я что то потыкал и удалил драйвер с перезагрузкой хоста.
Открываем:
HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management
И в параметр ExistingPageFiles записываем путь к драйверу AV/EDR (начало пути \??\C:\ …
custom 51952124471992772327custom 54585870272702806076custom 51974067030411308554
Showing the 12 most recent of 17 posts we hold for @byteoflife. View and reaction counts are the latest single reading for each post, not a live figure, and a recent post is still accumulating both. A view count marked ≈ was rounded by Telegram before we ever saw it — t.me prints views in full below 1,000 and to three significant figures above, so ≈1,200,000 means somewhere between 1,150,000 and 1,249,999. Unmarked counts are exact. Text is reproduced from the public post preview and truncated for length.