-60%

Оформить подписку на «Хакер»:

4000 руб

на 1 год

 450 руб

на 1 месяц

Хакер #313. Вызов для Windows

Все крутые вредоносы стараются прятать использование вызовов WinAPI и NTAPI, ведь наличие подозрительных функций в коде может привести к блокировке исполнения программы. Существует не так много документированных способов скрывать эти вызовы. В этом номере мы разберем новейшие методы, которыми пользуются хакеры и пентестеры для скрытия от антивируса каверзных действий в Windows.

Также в номере:

  • Учимся легально клонировать чужие продукты
  • Исследуем программы в графической надстройке Cutter для Radare2
  • Разбираем по винтикам виртуальную машину игры «Мор (Утопия)»
  • Исследуем баг в Telegram, позволяющий авторизоваться без клауд-пароля и уведомлений
  • Тестируем новые модели для создания картинок на своем компьютере
  • Прошиваем маршрутизатор программатором, сделанным из Arduino
  • Проходим 4 машины с площадки Hack The Box
Содержание
(Подписчикам уже доступно 26 статей)

COVER STORY

Кривая дорожка

Обфусцируем вызовы WinAPI новыми способами

Все крутые вредоносы стараются прятать использование вызовов WinAPI, ведь наличие подозрительных функций в коде может привести к блокировке исполнения нашей программы. Существует не так много документированных способов скрыть вызовы WinAPI, однако у меня есть пара любопытных разработок, и я готов ими поделиться. Мы попрактикуемся в сканировании памяти, исследовании компонентов Windows и даже немного затронем RPC.

Тихий вызов

Маскируем вызовы NTAPI от средств защиты

Все чаще системы EDR стали прибегать к такой могучей технике, как трассировка стека вызовов, чтобы обнаруживать деятельность зловредных приложений и портить жизнь редтимерам. В этой статье я расскажу, как работает этот метод, а потом попробуем сыграть в прятки с EDR и вызвать NTAPI так, чтобы даже раскрутка стека не обнаружила подвоха.

ВЗЛОМ

Мод (Утопия)

Разбираем по винтикам виртуальную машину Pathologic

Много лет назад я пытался узнать, как работает игра «Мор. Утопия» на самом деле. Но тогда формат ее скриптов оказался мне не по зубам. Сегодня мы вскроем движок игры, чтобы узнать, как работают скрипты. И даже напишем собственный декомпилятор для неизвестного языка программирования!

На радаре — Cutter

Исследуем программы в графической надстройке Cutter для Radare2

Дизассемблирование и отладка программ — весьма непростой и трудоемкий процесс, а значит, заниматься этим нужно с комфортом. Этот самый комфорт вместе с удобным интерфейсом и предлагает специальная надстройка для Radare2 под названием Cutter. Как она работает? Сейчас разберем на простых примерах.

«Пасхалка» в Telegram

Как я нашел способ авторизоваться без клауд-пароля и уведомлений

Разработчики Telegram не сидят без дела: в мессенджере с каждым годом все больше функций. Но некоторые из них, если перефразировать «Собачье сердце», могут превратиться «из классной фичи в мерзкий баг». Этот материал — о любопытной уязвимости, с которой я столкнулся, расследуя, как украли 200 миллионов рублей в крипте зимой 2025 года.

InstallShield изнутри

Препарируем виртуалку инсталлятора в x64dbg

В сегодняшней статье мы подробнее разберем работу виртуальной машины установщика InstallShield в динамике при помощи нашего любимого отладчика x64dbg на примере инсталлятора одного технического приложения.

Реверс по-французски

Изучаем приложение, написанное на WLanguage в среде WinDev

Иногда в мои руки попадают весьма экзотические продукты, для исследования которых отсутствуют проверенные инструменты, а информации о них в интернете — кот наплакал. Давай разберем именно такой случай и расковыряем приложение, созданное в среде WinDev.

Алмазный билет

Как использовать доверие Kerberos в своих целях

Атака «Алмазный билет» (Diamond Ticket) — это новое слово в мире эксплуатации Active Directory (AD). Она завязана на хитроумные недочеты в аутентификации и авторизации Kerberos. В этой статье мы разберем все технические тонкости этой атаки: выясним, какую роль играют Privilege Attribute Certificates (PAC), и узнаем, почему окружение AD так уязвимо. Напоследок вооружим тебя подробными советами по обнаружению угрозы.

Уроки форензики

Исследуем инцидент по следам в GitHub

Сегодня мы шаг за шагом пройдем процесс анализа инцидента: по собранным артефактам узнаем подробности о подозрительной активности, а затем изучим код вредоноса по изменениям на GitHub. Особое внимание уделим практическому применению методологии MITRE ATT&CK и использованию OSINT-методов для детального исследования инцидента.

Метод чистой комнаты

Учимся легально клонировать чужие продукты

Прочитав статью, ты узнаешь, как законодательство смотрит на дизассемблирование чужого кода и как не попасть под нарушение DMCA. Мы изучим юридическую практику на примере таких проектов, как Wine, ReactOS, ScummVM, а также воссозданного игрового движка GTA 3.

HTB LinkVortex

Повышаем привилегии в Linux через симлинки

В этом райтапе я покажу, как можно повысить привилегии в Linux, используя ссылки на важные файлы. Но прежде чем получить доступ к операционной системе, мы посканируем веб‑приложение и выгрузим его исходные коды для анализа. Также прочитаем критические данные через LFI в системе Ghost.

HTB Administrator

Эксплуатируем цепочку уязвимых ACL для захвата домена

В этот раз я покажу, как можно эксплуатировать цепочку чрезмерных разрешений Active Directory. Мы завладеем FTP-сервером, потом разберемся с менеджером паролей и вытащим из него учетку пользователя. Затем проэксплуатируем еще одну цепочку чрезмерных разрешений для выполнения DCSync и захвата всего домена.

HTB Vintage

Ломаем лабораторию Active Directory

Сегодня я покажу процесс эксплуатации цепочки уязвимостей в Active Directory. Небезопасные списки доступа дадут нам сессию на хосте, а учетную запись администратора мы сможем заполучить, обнаружив сохраненные учетные данные и группу с делегированием.

HTB Ghost

Пробираемся через лес Active Directory

В этот раз мы пройдем путь от LDAP Injection и LFI до Command Injection в веб‑приложении. Захватив Linux-машину в домене, получим пользовательский тикет Kerberos и проведем DNS Spoofing. После получения еще одной доменной учетки скомпрометируем учетную запись службы ADFS и с помощью техники Golden SAML сделаем токен для доступа к сайту от имени админа.

ADMIN

Аудит по-взрослому

Применяем Tetragon на практике (и убеждаемся в силе eBPF)

На дворе весна, хочется чего‑то легкого, свежего и нового. Вот, например, свежая идея: нельзя ли вести логи в Linux, не прописывая для auditd сто тысяч раз пути к критичным конфигам и исполняемым файлам? Рядом девопсеры обсуждали Cilium и какой‑то Tetragon, который может писать логи в JSON. Мы решили тоже попробовать!

Оракул в коробочке

Запускаем продукты Oracle в контейнерах

В последнее время использование программ Oracle в России значительно усложнилось — в частности, они недоступны для скачивания напрямую с сайта разработчика. Но все эти программы существуют в виде образов контейнеров на общедоступных ресурсах, в том числе на hub.docker.com. В этой статье я покажу, как их оттуда устанавливать.

11 апреля 2025 года

GEEK

ZX-мания

Изучаем современные версии ZX Spectrum

Если ты наивно полагаешь, будто ZX Spectrum навсегда остался где‑то в далекой эпохе видеосалонов и жвачек «Турбо», спешу тебя удивить: он живее всех живых. Современные клоны культового компьютера поражают разнообразием: от минималистичных DIY-плат до глянцевых ретрокомпов с HDMI, которые вызывают у старых гиков флешбэки, а у молодых — недоумение и легкую зависть. Погнали разбираться, на каких железках люди пытаются запускать «Саботера» в 2025 году.

Программатор из Arduino

Прошиваем маршрутизатор подручными средствами

В этой статье мы изготовим программатор микросхем 25-й серии из клона Arduino UNO, рассчитаем резистивный делитель для согласования уровней напряжения, подключим к программатору трехвольтовый чип памяти, сделаем резервную копию его содержимого и запишем новые данные.

Lumina 2 и HiDream

Тестируем новые модели для создания картинок на своем компьютере

В последние месяцы новые модели генеративных ИИ стали появляться с завидной регулярностью. Большинство таких моделей — проприетарные, как, например, новый генератор картинок ChatGPT; некоторые можно скачать, но для их работы нужны профессиональные видеокарты с 80 Гбайт видеопамяти. Я же хочу рассказать о двух новых моделях, которые можно запустить на обычном компьютере с обычной видеокартой.

Busy Bar

Устройство от создателей Flipper, которое поможет меньше отвлекаться

Компания Павла Жовнера Flipper Devices, известная благодаря Flipper Zero, анонсировала новый девайс — Busy Bar. Он в меньшей степени ориентирован на хакеров, но может пригодиться в повседневной работе. Он должен помочь тебе не отвлекаться и другим — не отвлекать тебя.