[恶意软件分析]
Bitter APT 组织将孟加拉国列为新攻击目标
  Bitter（又称 T-APT-17、蔓灵花）是一个长期针对中国、巴基斯坦等国家进行攻击活动的 APT 组织，也是目前最活跃的针对国内目标进行攻击的境外 A
阅读把样本拆开再写下来
这里放逆向、渗透测试和漏洞挖掘的研究笔记。从最新的一篇开始看。
文章: 33
年资: 03
咖啡: 9000+
最新文章
[恶意软件分析]Mustang Panda 使用新型 Korplug 变种 Hodur
  Mustang Panda（野马熊猫）又名 PKPLUG，其名称源于该组织将 PlugX 恶意软件作为 DLL 侧加载包的一部分通过 ZIP 压缩文件进行投
阅读
[安全研究]APT-C-48(CNC)组织利用摆渡攻击针对军工和教育行业发起网络攻击
APT-C-48 组织首次被发现是在 2019 年，因其武器库中的远程控制木马 PDB 路径包含 "cncclient" 字符串，该组织被命名为 CNC。
阅读
[安全研究]攻击者利用美国政府承包商和 PSA Plus 招聘信息投递 Cobalt Strike Beacon
最近发现一个恶意活动，该活动使用模块化攻击技术并向受害者机器投递 Cobalt Strike 木马。攻击者通过携带 CVE-2017-0199 漏洞的钓鱼邮件发起攻击，当受害者打开
阅读
[安全研究]DeathStalker组织利用Janicab木马新变种攻击律师事务所
  DeathStalker是一个独特的APT威胁组织，专门针对金融机构和律师事务所进行定向攻击。与传统网络犯罪组织不同，该组织不受直接经济利益驱动，不部署勒索
阅读
[移动安全]双尾蝎APT组织利用恶意Android程序攻击中东地区
自2016年1月起,双尾蝎组织(APT-C-23)针对巴勒斯坦地区的教育机构、军事机构等重要领域发起了长期、有组织、有针对性的网络攻击活动。该组织的攻击平台覆盖Windows与An
阅读
[安全研究]Symbiote: 几乎不可能被检测到的 Linux Rootkit 深度分析
分析 Symbiote 如何用 LD_PRELOAD 藏进进程和流量，并留下 PAM 后门。
阅读
[APT]BPFdoor：利用BPF技术绕过防火墙的隐形Linux后门
  BPFDoor是专门为Linux和Solaris系统设计的后门程序，攻击者可以远程连接到linux shell以获得受害者设备的访问权限，背后所属的APT组
阅读
[恶意软件分析]BlackLotus：首个绕过安全启动的 UEFI Bootkit（下篇）
继续看恶意 EFI、安全启动绕过、内核驱动和持久化。
阅读
[恶意软件分析]BlackLotus：首个绕过安全启动的 UEFI Bootkit（上篇）
分析 BlackLotus 如何利用 CVE-2022-21894 在安全启动开启时完成初始部署。
阅读
[逆向工程]Shellcode 转可执行程序：从二进制代码到 EXE 的转换实战
用 YASM 和 GoLink 把 Shellcode 包装成可调试的 Windows 可执行文件。
阅读
[威胁情报]疑似Lazarus组织针对韩国的攻击活动分析
Lazarus组织，又称HIDDEN COBRA、APT38、Zinc、Guardians of Peace等，是朝鲜半岛地区最活跃的APT组织之一。该组织的攻击目标涉及波兰、智利
阅读
[安全研究]Lazarus组织以工作机会为诱饵，分发macOS恶意软件
  Lazarus在最近发起了新的一轮攻击活动,在这次攻击中，攻击者通过社会工程学向受害者发送一个伪装成PDF文件的MacOS二进制文件，在文件内部嵌入一个主题
阅读
[安全研究]Fin7通过XLL扩展投递恶意程序JSSLoader
  该组织属于民间APT组织，自2015年以来，FIN7成员参与了针对100多家美国公司的高度复杂的恶意软件活动，主要集中在餐馆，游戏和酒店行业。
阅读
[安全研究]DoNot组织在其框架中引入浏览器窃取模块
  Donot“肚脑虫”（APT-Q-38）是疑似具有南亚背景的APT组织，其主要以周边国家的政府机构 为目标进行网络攻击活动，通常以窃取敏感信息为目的。该组织
阅读
[安全研究]Kimsuky APT继续使用AppleSeed后门攻击韩国政府
Kimsuky 是一个源自朝鲜的 APT 组织，也被称为 Mystery Baby、Baby Coin、Smoke Screen、BabyShark、Cobra Venom 等，最
阅读
[网络安全]Daxin：专为隐蔽通信而设计的驱动级后门
Daxin 是一个高度复杂的 Rootkit 后门，具有精巧、隐蔽的命令与控制（C&C）功能。它使远程攻击者能够与未直接连接到互联网的安全设备进行通信，允许攻击者深入渗透目标网络并
阅读
[安全研究]APT41的Moonbounce恶意程序：潜入UEFI固件的深度威胁分析
APT41（也称为双龙、Winnti）是一个自2012年起就活跃至今的高级持续性威胁组织。该组织具有独特的双重运作模式，既执行国家支持的网络间谍活动，也从事经济利益驱动的网络犯罪行
阅读
[逆向工程]恶意软件样本分析：RTF 远程模板注入攻击
本文记录了一次面试过程中进行的恶意软件样本分析，该样本利用 RTF 远程模板注入和 CVE-2017-11882 漏洞进行攻击，展示了从初始投递到持久化执行的完整攻击链。
阅读
[系统安全]MBR结构与引导代码深度分析
早期对 MBR（主引导记录）的分析笔记，包含结构、分区表和引导代码。
阅读
[逆向工程]使用 Docker 编译 AOSP 源码绕过 Android 反调试
在研究 Android 逆向工程时，常常会遇到应用的反调试机制。通过编译定制化的 Android 系统，我们可以从源码层面绕过这些检测。然而，传统的 AOSP 编译过程存在诸多痛点
阅读
[安全研究]安卓游戏资源解密
一位同学在群里分享了一个游戏，需要对游戏资源进行解密分析。首先反编译查看源码，没有发现明显的加密逻辑。使用 Android Killer 查看资源文件，发现在 res/raw 目录
阅读
[Pwn]Pwnable.kr shellshock
用破壳漏洞让题目自带的 bash 打出 flag。
阅读
[安全研究]Reversing-kr-Windows-kernal
运行程序后发现，在输入数据之前需要先点击 Enable 按钮。
阅读
[Pwn]Pwnable.kr leg
把三段 ARM 汇编加起来，凑出 key。
阅读
[Pwn]Pwnable.kr mistake
运算符优先级让程序从标准输入读密码。
阅读
[逆向]Reversing.kr AutoHotkey1
从 Exe corrupted 找到两段 key，拼出 AuthKey。
阅读
[逆向]Reversing.kr Ransomware
脱掉 UPX 后顺着 Key 字符串，还原勒索题的校验。
阅读
[Pwn]Pwnable.kr bof
用缓冲区溢出把比较值覆盖成 0xcafebabe。
阅读
[Pwn]Pwnable.kr random
rand 没有变化的 seed，异或一次就能拿到 key。
阅读
[Pwn]Pwnable.kr flag
脱掉 UPX 壳，从 flag 程序里取出真正的 flag。
阅读
[Pwn]Pwnable.kr fd
文件描述符练习：从 ssh 里的 fd 题拿到 flag。
阅读
[逆向]Reversing.kr Direct3D FPS
从 Game Clear 字符串跟进，改掉第一人称游戏的通关判断。
阅读
关于我
安全研究者。写逆向、渗透测试和漏洞挖掘的笔记，偏好把二进制拆开再记下来。
- 位置
- 实验室
- 角色
- 安全研究
- 最爱
- 调试器断点