[恶意软件分析]
Bitter APT 组织将孟加拉国列为新攻击目标
  Bitter（又称 T-APT-17、蔓灵花）是一个长期针对中国、巴基斯坦等国家进行攻击活动的 APT 组织，也是目前最活跃的针对国内目标进行攻击的境外 A
阅读文章: 49
年资: 03
咖啡: 9000+
最新文章
[恶意软件分析]Mustang Panda 使用新型 Korplug 变种 Hodur
  Mustang Panda（野马熊猫）又名 PKPLUG，其名称源于该组织将 PlugX 恶意软件作为 DLL 侧加载包的一部分通过 ZIP 压缩文件进行投
阅读
[威胁情报]摩诃草组织以巴基斯坦相关政府机构文件为诱饵的攻击活动分析
  摩诃草，又名Hangover、Patchwork、白象等，该APT组织被广泛认为来自南亚地区某国，其最早攻击活动可以追溯到2009年11
阅读
[威胁情报]Lazarus组织以虚假工作机会为诱饵攻击金融科技行业员工
  Lazarus组织是来自朝鲜的APT组织，该组织长期针对韩国、美国进行渗透攻击，Lazarus经常使用社会工程学攻击来接近目标,并以提供
阅读
[威胁情报]Lazarus组织使用工作机会诱饵展开攻击
  Lazarus（T-APT-15）组织是来自朝鲜的APT组织，该组织长期对韩国、美国进行渗透攻击，此外还对全球的金融机构进行攻击，堪称全
阅读
[威胁情报]Gamaredon滥用社交软件Telegram攻击乌克兰组织
  Gamaredon是一个俄罗斯的APT攻击组织,首次出现于2013年，主要是针对乌克兰进行网络间谍活动。在Gamaredon最近的一次攻
阅读
[安全研究]APT-C-48(CNC)组织利用摆渡攻击针对军工和教育行业发起网络攻击
APT-C-48 组织首次被发现是在 2019 年，因其武器库中的远程控制木马 PDB 路径包含 "cncclient" 字符串，该组织被命名为 CNC。
阅读
[威胁情报]APT29组织使用DropBox和Google Drive释放恶意负载
  APT29又叫Nobelium、CozyBear，归属于俄罗斯,从2008年一直以政府、外交官、政治和智库部门。在最近发现该APT组织开
阅读
[安全研究]攻击者利用美国政府承包商和 PSA Plus 招聘信息投递 Cobalt Strike Beacon
最近发现一个恶意活动，该活动使用模块化攻击技术并向受害者机器投递 Cobalt Strike 木马。攻击者通过携带 CVE-2017-0199 漏洞的钓鱼邮件发起攻击，当受害者打开
阅读
[安全研究]DeathStalker组织利用Janicab木马新变种攻击律师事务所
  DeathStalker是一个独特的APT威胁组织，专门针对金融机构和律师事务所进行定向攻击。与传统网络犯罪组织不同，该组织不受直接经济利益驱动，不部署勒索
阅读
[移动安全]双尾蝎APT组织利用恶意Android程序攻击中东地区
自2016年1月起,双尾蝎组织(APT-C-23)针对巴勒斯坦地区的教育机构、军事机构等重要领域发起了长期、有组织、有针对性的网络攻击活动。该组织的攻击平台覆盖Windows与An
阅读
[安全研究]Symbiote: 几乎不可能被检测到的 Linux Rootkit 深度分析
分析 Symbiote 如何用 LD_PRELOAD 藏进进程和流量，并留下 PAM 后门。
阅读
[APT]BPFdoor：利用BPF技术绕过防火墙的隐形Linux后门
  BPFDoor是专门为Linux和Solaris系统设计的后门程序，攻击者可以远程连接到linux shell以获得受害者设备的访问权限，背后所属的APT组
阅读
[恶意软件分析]BlackLotus：首个绕过安全启动的 UEFI Bootkit（下篇）
继续看恶意 EFI、安全启动绕过、内核驱动和持久化。
阅读
[恶意软件分析]BlackLotus：首个绕过安全启动的 UEFI Bootkit（上篇）
分析 BlackLotus 如何利用 CVE-2022-21894 在安全启动开启时完成初始部署。
阅读
[威胁情报]新组织NewsPenguin 使用高级间谍程序针对巴基斯坦组织
  最近有安全研究人员发现以前未被发现的APT组织正在滥用即将举行的巴基斯坦国际海事博览会和会议(PIMEC-2023)作为主题来对巴基斯坦
阅读
[逆向工程]Shellcode 转可执行程序：从二进制代码到 EXE 的转换实战
用 YASM 和 GoLink 把 Shellcode 包装成可调试的 Windows 可执行文件。
阅读
[漏洞挖掘]威联通 QuTScloud privWizard.cgi 命令注入分析
登录后，QuTScloud c5.0.1.2148 的上传文件名会被拼进 system 删除命令。
阅读
[恶意软件分析]Lazarus分发伪装成加密货币应用程序的AppleJeus恶意软件
  Lazarus团伙是一个长期活跃的APT组织，武器库十分强大，拥有对多平台进行攻击的能力，近年来，该团伙多次被安全厂商披露，但从未停止进
阅读
[恶意软件分析]Lazarus组织以日本瑞穗銀行等招聘信息为诱饵的攻击活动分析
  Lazarus是朝鲜国家资助的APT组织，该组织自成立以来一直活跃至今，因2014年11月针对索尼影视娱乐公司的攻击活动Operatio
阅读
[威胁情报]疑似Lazarus组织针对韩国的攻击活动分析
Lazarus组织，又称HIDDEN COBRA、APT38、Zinc、Guardians of Peace等，是朝鲜半岛地区最活跃的APT组织之一。该组织的攻击目标涉及波兰、智利
阅读
[安全研究]Lazarus组织以工作机会为诱饵，分发macOS恶意软件
  Lazarus在最近发起了新的一轮攻击活动,在这次攻击中，攻击者通过社会工程学向受害者发送一个伪装成PDF文件的MacOS二进制文件，在文件内部嵌入一个主题
阅读
[安全研究]Fin7通过XLL扩展投递恶意程序JSSLoader
  该组织属于民间APT组织，自2015年以来，FIN7成员参与了针对100多家美国公司的高度复杂的恶意软件活动，主要集中在餐馆，游戏和酒店行业。
阅读
[安全研究]DoNot组织在其框架中引入浏览器窃取模块
  Donot“肚脑虫”（APT-Q-38）是疑似具有南亚背景的APT组织，其主要以周边国家的政府机构 为目标进行网络攻击活动，通常以窃取敏感信息为目的。该组织
阅读
[安全研究]Kimsuky APT继续使用AppleSeed后门攻击韩国政府
Kimsuky 是一个源自朝鲜的 APT 组织，也被称为 Mystery Baby、Baby Coin、Smoke Screen、BabyShark、Cobra Venom 等，最
阅读
[威胁情报]TraderTraitor：朝鲜国家赞助的 APT 瞄准区块链公司
  近期观察到Lazarus正在针对区块链技术和加密货币行业的各种组织，包括加密货币交易所、去中心化金融协议、游戏赚钱加密货币视频游戏、加密
阅读
[恶意软件分析]Lazarus利用 Log4Shell 漏洞投递恶意程序NukeSped
  2021年12月9日晚,基于Java的日志记录程序Log4j的一个远程执行漏洞(CVE-2021-44228)POC被公开。攻击者使用\
阅读
[网络安全]Daxin：专为隐蔽通信而设计的驱动级后门
Daxin 是一个高度复杂的 Rootkit 后门，具有精巧、隐蔽的命令与控制（C&C）功能。它使远程攻击者能够与未直接连接到互联网的安全设备进行通信，允许攻击者深入渗透目标网络并
阅读
[安全研究]APT41的Moonbounce恶意程序：潜入UEFI固件的深度威胁分析
APT41（也称为双龙、Winnti）是一个自2012年起就活跃至今的高级持续性威胁组织。该组织具有独特的双重运作模式，既执行国家支持的网络间谍活动，也从事经济利益驱动的网络犯罪行
阅读
[威胁情报]盲眼鹰针对厄瓜尔多的近期活动分析
  盲眼鹰又称APT-C-36,疑似来自南美洲,从2018年4月起至今针对哥伦比亚政府机构和大型公司（金融、石油、制造等行业）等重要领域展开
阅读
[逆向工程]恶意软件样本分析：RTF 远程模板注入攻击
本文记录了一次面试过程中进行的恶意软件样本分析，该样本利用 RTF 远程模板注入和 CVE-2017-11882 漏洞进行攻击，展示了从初始投递到持久化执行的完整攻击链。
阅读
[逆向]hook-usercall修饰的函数
usercall不是标准的调用约定，但是用IDA反编译时经常能看到,应该是IDA特有的
阅读
[系统安全]MBR结构与引导代码深度分析
早期对 MBR（主引导记录）的分析笔记，包含结构、分区表和引导代码。
阅读
[恶意软件分析]VB Crypt Payload分析
分析VB样本的时候发现有几种混淆方式，记录下。
阅读
[逆向]debug IDApython script
在网上搜索调试的方法也很久了，也没有找到方法。无意中在autore插件中发现如下这段代码。
阅读
[恶意软件分析]暗云：篡改驱动人生并改写 MBR 的 Bootkit
暗云样本分析：补丁后的驱动人生服务改写 MBR，引导期挂钩 ZwCreateSection，再保护磁盘并下发后续模块。
阅读
[逆向工程]使用 Docker 编译 AOSP 源码绕过 Android 反调试
在研究 Android 逆向工程时，常常会遇到应用的反调试机制。通过编译定制化的 Android 系统，我们可以从源码层面绕过这些检测。然而，传统的 AOSP 编译过程存在诸多痛点
阅读
[安全研究]安卓游戏资源解密
一位同学在群里分享了一个游戏，需要对游戏资源进行解密分析。首先反编译查看源码，没有发现明显的加密逻辑。使用 Android Killer 查看资源文件，发现在 res/raw 目录
阅读
[Pwn]Pwnable.kr shellshock
用破壳漏洞让题目自带的 bash 打出 flag。
阅读
[安全研究]Reversing-kr-Windows-kernal
运行程序后发现，在输入数据之前需要先点击 Enable 按钮。
阅读
[Pwn]Pwnable.kr leg
把三段 ARM 汇编加起来，凑出 key。
阅读
[Pwn]Pwnable.kr mistake
运算符优先级让程序从标准输入读密码。
阅读
[逆向]Reversing.kr AutoHotkey1
从 Exe corrupted 找到两段 key，拼出 AuthKey。
阅读
[逆向]Reversing.kr Ransomware
脱掉 UPX 后顺着 Key 字符串，还原勒索题的校验。
阅读
[Pwn]Pwnable.kr bof
用缓冲区溢出把比较值覆盖成 0xcafebabe。
阅读
[Pwn]Pwnable.kr random
rand 没有变化的 seed，异或一次就能拿到 key。
阅读
[Pwn]Pwnable.kr flag
脱掉 UPX 壳，从 flag 程序里取出真正的 flag。
阅读
[Pwn]Pwnable.kr fd
文件描述符练习：从 ssh 里的 fd 题拿到 flag。
阅读
[逆向]Reversing.kr Direct3D FPS
从 Game Clear 字符串跟进，改掉第一人称游戏的通关判断。
阅读