CH0R0ng

Tech

[0xor0ne @0xor0ne]

Series on using LLMs for vulnerability research (@ZephrFish)

MCP: https://t.co/MT4LbPOVGU
Harness: https://t.co/Boa1uD5BQu

#infosec #llm

[Vivek | Cybersecurity @VivekIntel]

🧠 AI-Powered Reverse Engineering for IDA Pro

IDAssist is an open-source IDA Pro plugin that brings AI directly into your reverse engineering workflow. It helps security researchers and malware analysts understand binaries faster using modern LLMs.

✨ Key Features:
• 🧠 AI-powered function explanations
• 💬 Interactive binary chat with context awareness
• 🔄 Smart function & variable rename suggestions
• 🕸️ Semantic Knowledge Graph
• 📚 RAG document search
• 🤖 ReAct Agent for autonomous analysis
• 🔌 Supports OpenAI, Anthropic, Ollama, Bedrock & more

🔗 https://t.co/l4Ymfakoyu

#CyberSecurity #ReverseEngineering #IDAPro #MalwareAnalysis #ThreatIntelligence #Python #OpenSource #LLM

[Tom Dörr @tom_doerr]

Aggregated IP blocklists updated every 2 hours

https://t.co/qOHL7nLhGL

[Md Ismail Šojal 🕷️ @0x0SojalSec]

A scanner that checks GitHub repos for AI supply chain attacks using 40,000+ detection 200+ CVEs patterns.

Scans any GitHub repo instantly for supply chain attacks, weaponized configs, and hidden compromises, Repo poisoning, prompt injection, MCP tool abuse, leaked keys in Claude/Cursor history catches it all in seconds.

- https://t.co/7OD6oGHgBA

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

マルウェア解析や脆弱性研究で使うWindowsカーネルのデバッグを、LLMエージェントから29のツールで動かせるMCPサーバーが公開されています。Windowsの定番デバッガWinDbgの中核エンジンを直接呼び出す方式で、別のデバッガ(cdb[.]exe)を裏で起動して操る従来のPython実装と違い、入出力のパイプが詰まって固まったり、デバッガの異常終了にサーバーごと巻き込まれたりしない構成。カーネル(OSの中核)のデバッグを主目的にしつつ、アプリ側(ユーザーモード)を解析するFridaやdbgsrv、実行を丸ごと記録して巻き戻せるTTD、スナップショットを戻す際のデバッグ接続の自動切断も一つにまとめています。

【要点の整理】
・カーネルデバッグはネットワーク越しの接続(KDNET)・ブレークポイント設定・1命令ずつのステップ実行・任意のWinDbgコマンド実行に対応し、ブルースクリーン(BSOD)も通常の停止と区別して検知。ただし実行を再開させるg/t/p系のコマンドはブロックされ、LLMが停止中の対象をうっかり走らせる事故を防ぐ

・VM制御はVMware-Workstation-Proに対応し、起動・停止・一時停止・スナップショット復元・画面キャプチャに加え、稼働中の対象VM切り替えも可能。スナップショットを戻すときはカーネルデバッグやFrida・dbgsrvの接続を自動で切ってから巻き戻す。ゲストOS内のコマンド実行・ファイル転送・プロセス一覧/強制終了も行える

・アプリ側の解析は3系統。実行中のプロセスに割り込んで関数を観測・改変するFrida(仕掛けたフックはセッションをまたいで残せる)、対象を止めずに覗くリモート検査のdbgsrv、実行の記録・停止・取り出し・一覧ができるTTD。記録したTTDを後から照会する機能は現時点では未実装

・LLMエージェント向けの工夫として、全操作に制限時間を設けて固まらないようにし、各ツールの実行前にVMの電源やデバッグ接続などの前提条件を点検する仕組み(StateCoordinator)が、失敗を握りつぶさず次の操作を示すエラーを返す。現在の状態は専用ツールで一括取得できる

詳細は以下を参照：
https://t.co/lAoCFP7Nfz

[Nicolas Krassas @Dinosn]

AI-powered offensive security agent with 7,300+ actionable security skills. Autonomous pentesting powered by MITRE ATT&CK (2,000+ Atomic tests), CIS Benchmarks (1,500+ controls), OWASP, NIST. https://t.co/IMTnJF3pht

[EchoXuAI @apivixtls]

我写的一个项目突然就火了？现在还是懵逼状态，今天一天涨了1200多star 以及几百个fork 然后刷x刷到了自己的项目，本人现在还是很懵，哈哈哈。https://t.co/rtbl7BVuz6

[冬天 @seventhoce56019]

分享一个比较危险的项目

逆向工程以前是安全大佬的专属技能，现在有人把它做成了技能包，直接喂给 AI。

项目叫 reverse-skill，核心思路很简单：只要塞一个routing.md进去，告诉 AI 遇到不同的安全任务该走哪条路。AI 拿到之后自动分诊，自己决定用什么工具、什么方法。
覆盖 20 多个子技能方向：APK 逆向分析、IDA 静态分析、JS 前端逆向、固件安全、EDR 绕过、漏洞利用……基本上安全攻防常见场景都能覆盖。

20多个子技能，安全攻防的门槛被AI又踩平了一截。是好是坏，各位自己掂量着看。

项目地址：https://t.co/tqd95pObVT

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

Windowsマルウェアのリバースエンジニアリング（解析）を基礎から扱う無料のハンズオン教材集「malwareunicorn」が公開されています。解析ツールの使い方を学ぶ入門から、暗号化されたコードの読み解きや、マルウェアが解析を妨害してくる手口（アンチ解析）への対処、さらにプロセスへのコード注入やmacOS向けの解析まで、段階的にカバー。解析用の仮想マシン（VM）と検体を使って手を動かす構成で、利用に料金や会員登録は不要。

制作者はマルウェア解析者のAmanda Rousseau氏。いずれも2019〜2021年の公開で新しい教材ではありませんが、入門から応用的なテーマまでを一通り扱う内容です。先日紹介したARM向け「Azeria-Labs」に続く、無料のハンズオン教材となります。

【収録ワークショップ】

・RE101：解析環境の構築やツールの使い方から、静的・動的解析までを手を動かして学ぶ入門編。x86・全11セクション構成

・RE102：RE101の続編。簡単な暗号化ルーチンの特定、解析回避（アンチ解析）技術、パッキング（実行ファイルを圧縮して中身を隠す手法）の読み解きを扱う全18セクション

・PE Injection Study：実在のランサムウェアCryptowallを題材に、別プロセスへコードを送り込んで実行させる「プロセスインジェクション」技術を抽出・再現する手順（Windows APCスレッドインジェクション、Go実装）

・macOS Dylib Injection：Mach-O（macOSの実行ファイル形式）のヘッダ解析、エントリポイント書き換え、シェルコード、dylib（動的ライブラリ）のメモリ上へのロードを扱うmacOS向け教材

・ほかに、リバースエンジニアリングの競技「Flare-On 6」（2019）全12問の解説や、逆アセンブラIDA用のチートシートも公開

詳細は以下を参照：
https://t.co/Omynicm0LQ

[Nicolas Krassas @Dinosn]

Visa Vulnerability Agentic Harness https://t.co/QuPbXnd52i

[Renzon @r3nzsec]

IRFlow Timeline v1.0.7 is live.

This one focuses on a problem I think DFIR teams will see more often: AI assistant usage becoming part of the investigation surface.

You can now collect and normalize local AI usage history from tools like Claude Code, ChatGPT Desktop, Cursor, GitHub Copilot, OpenAI Codex, Gemini CLI, Continue, Windsurf, and Claude Desktop into a unified timeline view.

Also added AI Secret Hunt, which helps identify secrets, tokens, API keys, private keys, and credentials that may have been pasted into AI assistants during real investigations or day-to-day engineering work.

The goal is simple: make AI app activity easier to preserve, search, tag, and correlate during incident response. AI usage is becoming part of the forensic record. We need tooling that treats it that way.

Link in the comment ⬇️

#DFIR #IncidentResponse

[NullSecurityX @NullSecurityX]

Wrote PoCs for three Notepad++ vulnerabilities (CVE-2026-48770/48778/48800) patched

stood out both are RCE via config file injection. Notepad++ passes commandLineInterpreter (config.xml) and UserDefinedCommands (shortcuts.xml) directly to ShellExecute() without any validation.

[Vaishnavi @_vmlops]

ANTHROPIC JUST DROPPED A ZERO TRUST PLAYBOOK FOR AI AGENTS

and it's not theory it's architecture

frontier AI compresses vulnerability-to-exploit timelines from months to hours

your agents face threats traditional access controls were never built to handle:
▫️ prompt injection through external data sources
▫️ tool poisoning via MCP server metadata
▫️ memory-based privilege retention across sessions
▫️ multi-agent pivot attacks

the framework breaks it into 3 tiers: Foundation, Enterprise, Advanced

https://t.co/uDuO9cq25H

[dago @dagomint]

@vercel @vercel_dev @ctatedev — We built ZeroScan: a native Supply Chain Anti-Malware PoC in ZeroLang v0.1.4, weighing in at just ~3.5KB. 🦠🛡️

✅ Zero false positives using std.mem.eql() ✅ Detects 10 verified threats (event-stream, node-ipc, protestware, etc.)

🔎 Real-world feedback for the team: We hit the limits of v0.1.4!

Without mutable variables or String support for helper function params, "clean" packages silently die at the end of main without producing output. 😅

Can’t wait for v0.2.0 to land and fix it!

🔗 https://t.co/TE9A0nYqpc

[Nicolas Krassas @Dinosn]

Open-source AI-powered Security Operations Center — alert fusion, purple-team drills, agent-assisted triage, MITRE ATT&CK investigation. MIT-licensed, self-hostable. https://t.co/7KQie6MGsP

[Yoichi Kawasaki @yokawasa]

Gitの履歴やファイルをスキャンして、パスワードやトークンなどの100種類以上のパターンの機密情報を検知してくれるツール🔑
Gitのpre-commit hookに仕込めば、強制的にブロックできる。AIコーディングするならガードレールとして標準的に設定しておきたい
https://t.co/MZ0mpCmgbx

[Manuel Martinez (Curiosidades De Hackers) @HackersCuriosos]

🔎 Reconstrucción de una intrusión en Windows a partir de la $MFT: análisis forense basado exclusivamente en metadatos NTFS

En investigaciones forenses digitales solemos apoyarnos en múltiples fuentes de evidencia: registros del sistema, memoria volátil, telemetría EDR o artefactos de red. Sin embargo, existen escenarios donde estas fuentes no están disponibles y el análisis debe centrarse en artefactos mínimos.

Recientemente realicé un análisis forense sobre un servidor Windows comprometido utilizado como jump server administrativo, donde el único artefacto disponible fue la Master File Table ($MFT) del volumen NTFS. A pesar de esta limitación, el estudio de los metadatos permitió reconstruir una cadena de ataque coherente, identificar el vector inicial y comprender la intención operativa del adversario.

El análisis comenzó tratando el $MFT como fuente forense primaria. Atributos como $STANDARD_INFORMATION, $FILE_NAME y $DATA proporcionaron visibilidad suficiente para establecer una cronología fiable incluso sin acceso a los archivos originales.

Uno de los pivotes iniciales fue el directorio Downloads, donde se identificó la coexistencia de un archivo comprimido (https://t.co/wfIrTkQFzq) y un script PowerShell (x.ps1), un patrón recurrente en intrusiones modernas. El análisis del Alternate Data Stream Zone.Identifier reveló evidencia Mark-of-the-Web, confirmando la descarga desde una fuente externa sin necesidad de logs de navegador.

Un hallazgo relevante fue que el script PowerShell contenía datos residentes dentro del propio registro MFT, lo que permitió recuperar su contenido pese a la ausencia del artefacto original. El análisis del código mostró técnicas living-off-the-land mediante PowerShell (Invoke-Expression + descarga dinámica), apuntando a infraestructura externa en GitHub vinculada al framework Nishang y a un módulo de keylogging.

El comportamiento observado se alinea con MITRE ATT&CK T1056.001 (Input Capture: Keylogging), sugiriendo una intención clara de captura de credenciales privilegiadas, especialmente relevante considerando el rol del sistema como jump server administrativo.

Cadena de ataque inferida:

• Descarga inicial de archivo ZIP desde Internet
• Escritura en el directorio Downloads
• Generación de script PowerShell
• Ejecución mediante Invoke-Expression
• Descarga dinámica de payload desde infraestructura legítima
• Implementación de keylogger orientado a robo de credenciales

Este caso demuestra que la Master File Table no debe considerarse únicamente una estructura de metadatos. Con una metodología adecuada, el $MFT puede convertirse en una fuente forense suficiente para reconstruir actividad histórica y comprender ataques complejos incluso con evidencias muy limitadas.

- Articulo completo en el primer comentario

#DFIR #DigitalForensics #CyberSecurity #IncidentResponse #WindowsForensics
#ThreatHunting #ThreatIntelligence #BlueTeam #SOC #SOCAnalyst
#ThreatDetection #CyberDefense #SecurityOperations #ForensicAnalysis
#DFIRCommunity #Infosec #CyberThreats #LogAnalysis #ThreatInvestigation
#SecurityMonitoring #MalwareAnalysis #LivingOffTheLand #TeamViewer
#WindowsSecurity #ThreatAnalysis #CyberIncident

[SANS Japan @SANS_JAPAN]

サイバーセキュリティ分野でのキャリアに興味はありますか？
SANS「New to Cyber Career Guide」公開中。
職種ごとの役割、必要スキル、キャリアパスをコンパクトに解説しております。これからサイバー領域に挑戦したい方におすすめのガイドです👇
https://t.co/O8Ll6FoJS3

[Nicolas Krassas @Dinosn]

Fileless C2 agent written in pure x64 Assembly for Linux. Features stealth ICMP tunneling, memory-only execution via memfd_create, and terminal-independent daemonization. https://t.co/jEFhrmNg11

[Mandiant (part of Google Cloud) @Mandiant]

AI is enhancing dark web monitoring.

On the latest Defender's Advantage Podcast, hear how Google Threat Intelligence processes tens of millions of underground posts daily to help SOC teams cut through the noise and stay ahead of adversaries.

Listen now: https://t.co/hDIsMxX4uy