0x8hany

[JS0N Haddix @Jhaddix]

Want to learn AI / LLM Security Assessment? Don't have the money for a training?

Here are 🎯SEVENTY ONE🎯 FREE LLM security labs that we have curated for you!

Like and share! (Link Below)

<3 from @arcanuminfosec

[Tom Dörr @tom_doerr]

Simulated drone hacking without physical hardware

https://t.co/HDAUS7iVHJ

[connect24h @connect24h]

LLMがEDRを本気で解析し始めた…SpecterOpsがGPT-5.xでCortex XDRのYARAルール・フック・BIOC検知をサクサク抽出してる件がヤバい😂
シンプルなループハーネスだけで、従来手作業の解析が爆速化。 Red TeamのEDR回避が「誰でも」レベルに。
CSIRT学び：「ルールは秘密」と思って安心するのはもう古い。 行動検知・クラウド側強化、仮定を崩した防御設計を今すぐ見直せ！
https://t.co/6xHljbtpYM
#LLM #EDR #RedTeam #CSIRT

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

Windows-11-24H2／Windows-Server-2025で導入されたSMBの任意ポート接続機能を悪用し、2008年のMS08-068以来ふさがれてきたはずのNTLMリフレクション攻撃をローカルで復活させる手口のPoCエクスプロイトが、CVE-2026-24294に対して公開されています。同脆弱性はCVSS-7.8（Microsoft基準でImportant）として2026年3月10日付で既にパッチ提供済みで、Synacktivの研究者が報告した手法をもとにしたコードが今回実証された形です。

【要点の整理】

・攻撃の核心はセッション多重化の悪用。net-useコマンドで任意ポート上に持続的なTCP接続を開いたうえでPetitPotamによりLSASSへ自分自身への認証を強制すると、その認証情報が同一接続上で多重化され、従来のリフレクション対策が想定しない経路でSMBサービスへ中継されSYSTEM権限が得られる

・公開PoC上の影響対象はWindows-Server-2025のデフォルト構成。Windows-11-24H2はSMB署名が既定で強制されるため同じリレーはブロックされる

・脆弱性自体は2026年3月の月例更新で修正済みで、Microsoftは悪用の可能性を「高い」と評価している。該当パッチの適用状況を優先的に確認する価値がある

・このPoCはSynacktivが公表した手法を土台に、大部分がAI（GLM-5.1）によって書かれたとGitHub上で明記されている

詳細は以下を参照：
https://t.co/l3W3DBqTXd

[dbugs @ptdbugs]

Entropia — a programming language for creating Windows Shellcode and Beacon Object Files (BOF)

"Entropia" is a compiled language designed to generate position-independent x86-64 artifacts: Windows Shellcode and BOF modules for Cobalt Strike. The tool unifies the entire workflow—from compilation and linking to OPSEC modifications—into a single chain, removing the need for third-party utilities like "Donut" or "sRDI".
Runs on Linux and macOS, producing ready-to-use Windows artifacts as output.

Features:
• Compile ".etpy" directly into Shellcode (".bin") or BOF (".x64.o") without post‑processing.
• Built‑in OPSEC options: "poly", "nop_sled", "stack_strings", "direct_syscalls", "hashed_imports" and more.
• Inline assembly and Win32 API support via "use_c".
• Local BOF runner, debugger integrated with VS Code, and Win32 type generator.
• Automatic generation of Aggressor Scripts for BOF.

Unlike "Donut" and "sRDI", which handle isolated tasks like packaging and shellcode generation, "Entropia" delivers a full-fledged programming language with a built‑in compiler and OPSEC mechanisms. The project is currently in the pre‑1.0 stage but already looks like an appealing alternative to existing tools.

Tool: https://t.co/86GXW230WY
Creator: @EntropyKit

#dbugs_tools

[Mr.Un1k0d3r @MrUn1k0d3r]

I built software that I needed for years: an up-to-date, feature-rich, and maintained solution for thick client testing that allows hooking and intercepting network traffic before it gets encrypted. Search and replace, process watch, and more are built-in.
https://t.co/q5EbWINvoi

[YogSotho @YogSoth0]

#EDR Killer #2026 — Project "Silent Horizon"

Overview

Silent Horizon is a sophisticated, BYOVD (Bring Your Own Vulnerable Driver) based EDR (Endpoint Detection and Response) disabler for #Windows 11. It operates at the kernel level by loading a legitimately signed but vulnerable driver, gaining arbitrary kernel memory read/write capabilities, and surgically disabling EDR components from within kernel space — where EDR sensors cannot monitor.

Key Features

- BYOVD Kernel Access: Supports four vulnerable driver primitives for maximum compatibility
- Multi-EDR Targeting: Detects and disables 10+ major EDR products
- Comprehensive Disabling: Removes process, thread, and image load callbacks; patches ObRegisterCallbacks; unregisters ETW Threat Intelligence; patches IRP dispatch and DriverObject major functions
- Stealth Mode: Minimal output option for operational use
- Clean Cleanup: Unloads vulnerable driver and removes registry traces
- Pattern Scanning: Dynamic kernel structure discovery via code patterns
#security #hacking #0days #malware #drivers

[中島佑允(YusukeNakajima) @nakajimeeee]

【EDR解析・回避研究】商用EDRの検知ロジックをリバースエンジニアリングして再実装——「heavener」の全貌

研究者「otterpwn」が6ヶ月をかけて開発した「heavener」は、SentinelOne・Cortex XDR・CrowdStrike・Sophosの検知ロジックを実際のベンダーアーティファクト（MLモデル、YARAルール、行動スクリプト）ごとリバースエンジニアリングし、ライブWindowsテレメトリに対して評価するEDRエミュレーションエンジンである。EDRライセンスなしに「本物と同等の判定」を再現するという試みだ。

アーキテクチャはカーネルドライバー（minifilter）とETWプロバイダーから25種のイベントを収集し、ProcessModelによる文脈付与を経てIEdrModuleインターフェースへ渡す。SentinelOneモジュールはLuaJITランタイム上で203本のLuaスクリプトを動作させ、Cortex XDRモジュールはNASAのJohnson Space CenterでAIを目的に開発されたCLIPSエキスパートシステムに7967本のプロダクションルールを投入し、スタックスプーフィング検知やDirect/Indirect Syscall判定、byte-patchによるEDRアンフック検知まで再現する。

CrowdStrikeはチャンネルファイルの解析が未解明のため静的MLのみ。ETW Threat Intelligenceプロバイダー取得のためELAMドライバーを活用してPPL-AMサービスを実装している点も特筆すべき設計だ。

攻撃シナリオをJSONでキャプチャ・リプレイできる仕組みにより、カーネル環境なしで検知挙動を繰り返し検証できる。クラウド側レピュテーションや動的解析は再現不能という限界はあるが、ペイロード開発者にとって「EDRに焼かれずに検知ロジックを理解する」実用的な手段となっており、防御側にとっては検知ロジック流出リスクを改めて認識させる研究である。

https://t.co/v0nGy1rGxp

[International Cyber Digest @IntCyberDigest]

Someone released what is basically an offline VirusTotal without burning your payload: a security researcher reverse-engineered four major EDRs (SentinelOne, Cortex XDR, CrowdStrike, and Sophos) and extracted their detection logic from on-disk agent binaries, ML models, YARA rules, and behavioral scripts.

The project rebuilds the kernel telemetry stack those products run on, including Windows process, thread, registry, and handle callbacks plus a file-system minifilter. It even reconstructs access to the ETW Threat Intelligence provider that Windows normally reserves for protected anti-malware processes. Thus, both the detection rules and the sensor layer can be replicated outside the vendor’s agent.

[Mohamed Alzhrani @0xMaz]

Hello guys،

Do you want to Bypass all production EDR ?

Read my new research to enjoy in kicking EDRs defenses.

https://t.co/Y0QMWXM9GZ

The proof-of-concept implementation is available at https://t.co/CAUeRcumK5

#Maldev

[Nico @nicos_ai]

Google ha acabado con la mafia de las GPU 💀

VS Code ahora se conecta directamente a Google Colab.

→ Obtienes una GPU T4 gratuita dentro de tu editor.
→ Tus archivos locales. Su potencia de cómputo.

[Clandestine @akaclandestine]

CVE-2026-42530 NGINX RCE

[Mr.Un1k0d3r @MrUn1k0d3r]

We often talk about EDR evasion, but what about honeypot detection. Nothing new here, but a good reminder that detecting honeypots makes a difference during red team exercises.

https://t.co/C3aKVSHg0V

I included code to get the data without a direct LDAP query.

#redteam

[White Knight Labs @WKL_cyber]

When WDAC blocks your implants, Electron apps become the way in.

The post walks through using Loki C2 to backdoor signed applications like Mailspring and communicate over Azure Blob Storage via HTTPS. ⬇️
https://t.co/7dWMTHrN8w

[cr3ghost @cr3ghost]

Your EDR is running. Detecting everything. Alerting on nothing.

EDRSilencer blocks all EDR outbound traffic using Windows Filtering Platform. The agent keeps running. Detections keep firing. Nothing reaches the cloud. No alerts. No telemetry. Blind.

Works against Defender, SentinelOne, CrowdStrike, Cortex XDR, Carbon Black, Elastic, Trellix, FortiEDR, ESET, TrendMicro, and more.

Additional techniques covered: WFP filters, hosts file manipulation, NRPT rules, null sinkholing, firewall rules.

If your SOC relies on cloud-based alerting and you are not monitoring for WFP filter creation, you have a problem.

https://t.co/9y586rIknx
https://t.co/egLu98X3bC

Authors: @ipurple

#DefenseEvasion #ThreatIntel #InfoSec

[S3cur3Th1sSh1t @ShitSecure]

After “The Art of Evasion” @x33fcon I’m publishing NimSyscallPacker to the public. This is the most advanced public Packer/Loader I’m aware of:

https://t.co/ftd24bHryj

[SEKTOR7 Institute @SEKTOR7net]

Weaponizing Windows Drivers: A Hacker's Guide for Beginners - mechanics of Bring Your Own Vulnerable Driver (BYOVD) attacks.

A post by @SecurityJoes

Source: https://t.co/v1dvBImJ6X

#maldev #malwaredevelopment #redteam #blueteam

[0x8hany @Haniawad]

@Wego Hello @wego @AJET_TR when I can get my Refund? 80 days already completed on following up WF12ZF4PXPL26
..
Emails, DM, is automated