haz

Cyber Security Expert

[haz @AzizWho]

I've developed a new Red-Teaming tool called NoArgs. It dynamically hooks into Windows APIs to manipulate and hide process arguments.

By injecting it into a cmd process, it hides the arguments of every newly spawned processes at runtime, without leaving traces for logging applications that rely on information from the Process Environment Block (PEB).

Source and detailed info:

https://t.co/OH8cbJQi06

[haz @AzizWho]

الحمدلله

أنجزت شهادة OSCE³ من @offsectraining

من أعلى وأصعب الشهادات في مجال الأمن الهجومي، تشمل:

OSWE – OSED – OSEP

رحلة طويلة مليئة بالتحديات التقنية والتفاصيل العميقة
فخور جدًا بهذا الإنجاز

#osce3

[haz @AzizWho]

@hackerfantastic @CrowdStrike

[haz @AzizWho]

@NullByte0x 🫣🤝

[haz @AzizWho]

افضل Mitigation للتكنيك هذا هو تعديل الGroup Policy Settings وتشغيل الخاصيتين DisableThumbnailsOnNetworkFolders و DisableThumbnails :

[haz @AzizWho]

الكثير من الناس عنده مفهوم ان الملف الضار لازم يتم تشغيله (Executed) عشان يسبب الضرر الخاص فيه ,

اليوم بوريكم وبشرح كيف نقدر نستغل طريقة عمل الWindows وكيف نقدر نسرق الهاش (NTLMv2) الخاص باليوزر فقط عن طريق فتحه للمجلد او تحميل الملف بدون تشغيل اي برنامج خارجي .. مثل ماهو موضح في المقطع:

[haz @AzizWho]

هنا سويت طريقة حلوه بأن الملف خليته في فلاش وخليت الايقونه الخاصه فيه هي صورة pdf كذبيه ، وسميت الملف

test.pdf.library-ms

ولكن مثل ماذكرت سابقاً ان explorer.exe راح يخفي الامتداد حتى لو كنا مفعلين اظهار جميع الامتدادات .. ف بكذا اول ما نفتح الفلاش راح تتم عملية المصادقه من explorer نفسه عشان يسحب الايقونه بدون اي عملية من المستخدم:

[haz @AzizWho]

Option 1: Compile the dll and inject it to a live cmd instance, cmd has to be running prior to injecting .. (You can either create an injector to do this part or you can do it manually in ProcessHacker)

Option 2: Just download the exe that will launch cmd and inject NoArgs for you (ready-to-go) from here: https://t.co/fzdu8L5pu1

[haz @AzizWho]

I've developed a new Red-Teaming tool called NoArgs. It dynamically hooks into Windows APIs to manipulate and hide process arguments.

By injecting it into a cmd process, it hides the arguments of every newly spawned processes at runtime, without leaving traces for logging applications that rely on information from the Process Environment Block (PEB).

Source and detailed info:

https://t.co/OH8cbJQi06

[haz @AzizWho]

@NullByte0x 0x1F0

[haz @AzizWho]

🫡

[☣ KitPloit - Hacker Tools @KitPloit]

NoArgs - Tool Designed To Dynamically Spoof And Conceal Process Arguments While Staying Undetected https://t.co/RaHFYXVJIW

[إبراهيم بوحيمد | Ibrahim Buhaimed @buhaimedi]

مقالة جميله جدا عن

Kerberos Delegation

https://t.co/PUotUk9T55

للاسف ماعرف حساب الي كتبها عشان اسوي له منشن
ولكن هذا رابط حسابه في لينكدان

https://t.co/ZDK7Ntoyzb

[Nicolas Krassas @Dinosn]

NoArgs: dynamically spoof and conceal process arguments while staying undetected https://t.co/FnvWET0NoW

[haz @AzizWho]

١. تغيير اسم الفانكشن ماله فايده لان الكومبايلر راح يشيله.. بالاخير البرنامج ماراح ينرسل مع الdebug symbols.

٢. اوامر الاسمبلي ماتزيده تعقيد عالي بالضروره، انما تسويها بشكل يدوي بالضبط مثل ماتسويه ()isDebuggerPresent :

gs:[60h] + 0x2 -> True or False

ومن الممكن انها اكثر تعقيد ب شويتين للمحلل عن استخدام الwinapi

[haz @AzizWho]

@kira_321k

[haz @AzizWho]

او تغييرها dynamically عن طريق تعديل الSEH Pointer مباشره:

PEB -> TEB -> ExceptionList (SEH chain)

تغيير القيمه الى عنوان الshellcode الموجود في مكان ما في الملف ، ف اذا صار trigger لل exception ، بيتوجه للshellcode مباشره وكذا تكون اصعب ب شويتين وماراح يكون موجود مباشره بالكود (static) 👍🏼