R

ozwój gotowych usług umożliwia wielu firmom przeniesienie całości lub części swojej infrastruktury, która była wcześniej ukryta w dedykowanym centrum danych do środowisk chmurowych. Oznacza to, że część informacji o usługach danej firmy można obecnie odkryć poprzez rekonesans w sposób, który w przeszłości nie zawsze był taki łatwy lub możliwy np. poprzez używanie widoków dla wewnętrznych i zewnętrznych stref DNS w celu ukrycia wewnętrznych domen firmowych. Istnieje wiele technik, które mogą przedstawić nam jakie domeny należą do konkretnej firmy np. rWHOIS, DNS, TLS itd., jednak wraz z pojawieniem się środowisk chmurowych dane te można pozyskać w dodatkowy sposób. Na dzień dzisiejszy firma Microsoft nadal dominuje w świecie IT dla przedsiębiorstw, a korzeniem każdej, większej firmy jest “drzewo” Active Directory, które służy do zarządzania grupami, użytkownikami, politykami i domenami w środowisku IT. Teraz, gdy coraz więcej wewnętrznych usług Active Directory zaczęło być przenoszonych na platformę chmurową Azure firmy Microsoft, badacze bezpieczeństwa mogą wykorzystywać te usługi do odkrywania domen przypisanych do konkretnej organizacji z bardzo wysokim poziomem pewności, co do informacji zwrotnej i bez polegania na (czasami) niespójnych danych z serwisów zewnętrznych. Nestori Syynimaa w tym celu stworzył moduł AADInternals PowerShell do przeprowadzania prac administracyjnych na usłudze Azure AD oraz Office 365. Jeśli nie potrafimy posługiwać się interpreterem poleceń PowerShell nie musimy się martwić, ponieważ twórca AADInternals udostępnił również internetowe narzędzie “OSINT“, aby rekonesans domen był znacznie łatwiejszy i bardziej dostępny dla większego grona użytkowników. Umożliwia ono uzyskanie ogólnodostępnych informacji na temat określonego najemcy (ang. tenant) usługi za pomocą interfejsów API Azure. Szczegóły są zwracane tylko dla pierwszych 20 domen. Jeśli trafimy na więcej pozycji niestety musimy użyć modułu PowerShell, aby uzyskać pełne informacje. Dla przykładu działania możemy odpytać się o takie domeny jak: ebay.com, bbc.co.uk lub olx.com.

Więcej informacji: Just looking: Azure Active Directory reconnaissance as an outsider

Aktualizacja w każdy: Poniedziałek

• Validin
• DNSViz
• DNS recon & research
• DNS History
• SecurityTrails
• ViewDNS
• dnsSPY
• Open Data

• SSL Server Test
• Certificate Transparency Search
• Certificate Search

• urlDNA
• URL and website scanner
• URL Query
• Phishcheck
• URLbase
• Site Shot
• Screenshot Guru

• Lookup Tool
• WHOIS
• Reverse WHOIS #1
• Reverse WHOIS #2
• McAfee Sitelookup
• Trend Micro Site Safety Checker
• ScamAdviser
• DShield API for Recent Domains

• RIPEstat
• BGP Tools
• IPify
• IPinfo
• InfoByIP
• AbuseIPDB
• FireHOL
• CrowdSec
• Spamhaus
• BotScout
• APIvoid
• I know what you download
• Scamalytics
• Sicehice
• IPQualityScore

• Shodan
• Censys
• RSECloud
• Hunter
• Full Hunt
• ZoomEye
• FOFA
• BinaryEdge
• Netlas
• ONYPHE
• CriminalIP
• LeakIX
• PublicWWW
• PulseDive
• ThreatBook Intelligence
• SilentPush
• GreyNoise
• WiGLE

• Udger
• Spur
• Proxy Detection Test

• Phishing Army
• OpenPhish
• Phish Report
• Phishtank
• PhishHunt
• PhishStats
• CheckPhish
• URLabuse
• Report unsafe site
• Google Safebrowsing
• Phishing.Database

• VirusTotal
• CrowdStrike Falcon Sandbox
• Recorded Future Triage
• FileScan
• MalShare
• Malcore
• UnpacMe
• Intezer
• YARAify
• Malware Bazaar
• Pandora
• Docguard
• ANY.RUN
• Antimalware analysis

• VirusExchange
• VirusShare
• Malware Traffic Analysis
• VX-Underground
• MWDB System

• Threat Vault
• IP & Domain Reputation Center
• ThreatMiner
• Intelligence X
• OTX ALIENVAULT
• ThreatFox
• IBM X-Force Exchange
• Malpedia Library
• The DFIR Report
• SURBL intelligence

• Otwarte Źródła
• OSINT Framework

• CyberChef
• Translation Engine for Rules
• JavaScript Deobfuscator

• Exposed
• HackedList
• Hudson Rock
• Have I Been Pwned

Ostatnia aktualizacja: 27.01.2025 21:50

J

akiś czas temu zapoznaliśmy się z danymi rejestracyjnymi nazw domenowych WHOIS. Ich odwrotnością są bazy, które oprócz nazw domenowych indeksują inne metadane, aby później na ich podstawie zidentyfikować inne domeny. Tak działają właśnie bazy reverse whois – odnoszą się do pobierania wszystkich dostępnych informacji o określonej nazwie domeny. Możemy na przykład użyć dowolnej informacji zwykle widocznej w typowym rekordzie WHOIS (np. nazwisko właściciela domeny, nazwę firmy, adres e-mail itp.), aby wyszukać wszystkie nazwy domen, które mają te same metadane. Pomyślmy o tym w ten sposób: nie musimy już grzebać w rekordach DNS, aby ustalić jakie inne domeny należą do firmy “X”. Wystarczy, że znamy jej główną domenę. Za pomocą polecenia whois dla tej domeny możemy skupić się na charakterystycznej informacji i sprawdzić z jakimi innymi domenami jest ona jeszcze powiązana. Przykład:

whois hackergathering.com
...
Registrant Organization: Cyber Illuminati
Registrant Country: PL
...

Jeśli teraz przeszukamy bazy reverse whois szukając wartości rekordu: Cyber Illuminati w polu Owner name / Company name to powinniśmy otrzymać wszystkie inne domeny, które zostały założone przez organizację CI. Przykład – John Smith jest właścicielem 45,755 domen. Z kolei po adresie e-mail rejestratora Aftermarket możemy zobaczyć domeny za jakie jest odpowiedzialny, czy jakie domeny posiada firma OVH.

Więcej informacji: Whoxy, WhoisXML, DomainTools, ViewDNS, ReverseWhois

S

erwis Gravatar umożliwia ustawienie swojego awatara, który będzie miał charakter globalny – ang. Globally Recognized Avatar. Serwis został stworzony przez Toma Perstona-Wernera, a od 2007 roku jest własnością firmy Automattic, która zintegrowała ją z platformą blogową WordPress. Na Gavatarze użytkownicy mogą zarejestrować konto/a na podstawie adresu e-mail i przesłać cyfrowy awatar, który będzie powiązany z tym kontem. Wtyczki Gravatar są dostępne dla większości popularnego oprogramowania do blokowania; kiedy użytkownik umieszcza komentarz na takim blogu, który wymaga podania adresu e-mail – oprogramowanie do blogowania sprawdza, czy ten adres e-mail ma powiązany awatar w serwisie Gravatar. Jeśli tak, to obrazek umieszczony w serwisie Gravatar jest wyświetlany wraz z komentarzem użytkownika.
[ czytaj całość… ]

B

ellingcat – ujawniamy prawdę w czasach postprawdy jest polskim przekładem publikacji zwartej: We Are Bellingcat: An Intelligence Agency for The People, w której Eliot Higgins opowiada nam swoją historię i historię powstania zespołu dziennikarstwa obywatelskiego. Higgins swoją przygodę zaczął od przeznaczania wycinków prywatnego czasu na prowadzenie własnych śledztw internetowych. Później pojawił się własny blog i pierwsze, szersze analizy. Coraz bardziej wnikając w śledztwa online opierające się na białym wywiadzie Eliot zdecydował się na porzucenie pracy i zajęcie się tym tematem na pełen etat. Powoli profesjonalizując swój warsztat przechodził do coraz bardziej większych spraw współpracując z przypadkowymi ludźmi, którzy byli specjalistami w swoich dziedzinach.

Kreml stosuje strategię dezinformacji oparta na czterech podstawowych metodach: umniejszaniu, wypaczaniu, rozpraszaniu i zastraszaniu.

Jednak fabuła książki to nie tylko geneza powstania “ostrzegawczego dzwoneczka” pod postacią grupy internetowych detektywów. To także raportowe przedstawienie warsztatu jaki został użyty podczas analizy wojny domowej w Syrii, próby zabójstwa Nowiczokiem byłego rosyjskiego agenta GRU – Siergieja Skripala i jego córki, czy sprawa zestrzelenia malezyjskiego samolotu Malaysia Airline (MH17) nad Ukrainą. W książce nie odnajdziemy stricte szczegółów technicznych, ale to nie znaczy, że społeczność Bellingcat się nimi nie dzieli. Wręcz przeciwnie. Ponieważ ideą tego projektu jest nie tylko przeprowadzanie własnych śledztw i analiza różnych faktów z poziomu sieci społecznościowych (“Odkrywać”, “Weryfikować”, “Nagłaśniać”). To przede wszystkim dzielenie się technikami i narzędziami, które można wykorzystać w OSINT. Prowadzenie warsztatów na uniwersytetach i uczestnictwo w seminariach organizacji pozarządowych.

Internetu nie da się naprawić, tak samo jak nie da się naprawić świata.

Ponieważ szerzyciele dezinformacji mają dzisiaj do dyspozycji potężne narzędzia niż kiedykolwiek wcześniej autor, książki kładzie też dość duży nacisk na to zagadnienie. W dobie możliwości wprowadzenia szerokiej publiczności w błąd lub graniu na odpowiednich uczuciach grup społecznych niezbędne jest zachowanie dużego dystansu do tego, co czytamy w internecie. Przy analizie publikacji musimy przeprowadzać weryfikację źródła, samego materiału oraz określić dla jakiego środowiska płynie korzyść z takiej publikacji. Ponadto prowadząc dziennikarstwo obywatelskie należy ustalać fakty poprzez obiektywne udokumentowanie kompletnych dowodów i przedstawianie ich w pełnym kontekście. Opisanie ich uczciwie, przejrzyście i bez uprzedzeń kulturowych, czy faworyzowania. W przeciwnym wypadku sami możemy stać się źródłem dezinformacji.

Bellingcat nigdy nie chciał chciał konkurować z wielkimi spółkami medialnymi. Od początku przyświecały nam dwa cele – odnajdywanie dowodów i rozwijanie naszej dziedziny.

Dzisiaj stajemy u progu łączenia tradycyjnych metod śledczych z nowymi technologiami, które okazują się kluczem do zrozumienia wielu działań przestępczych. Prawie wszędzie zostawiamy swoje cyfrowe ślady, jak odciski palców, a każdy z nas może być reporterem wyposażonym tylko w telefon. Dlatego jeśli nie znamy jeszcze dokonań grupy Bellingcat i interesuje nas tematyka białego wywiadu – nie tylko pod względem technicznym, a rzeczowych opisów i wciągających historii pionierskiego dziennikarstwa śledczego – zdecydowanie warto sięgnąć po tę publikację.

Więcej informacji: Bellingcat

C

zy ten plik to malware? Zależy jakiego silnika antywirusowego się spytasz. Podobnie jest w temacie znajdowania lokalizacji adresu IP, ponieważ powiązanie rzeczywistej lokalizacji z adresem IP jest prawie niemożliwe do pewnego poziomu dokładności (np. ulicy, miasta). Wiele osób od razu podniesie głos sprzeciwu odnosząc się do dostawców usług oferujących geolokalizację adresów IP. Tak, istnieją bazy zawierające informacje o lokalizacji geograficznej adresu IP. Niektóre nawet twierdzą, że mają bardzo dokładne informacje, ale czy są one wiarygodne? Rzućmy okiem na adres: 188.130.189.153. W tym celu skorzystamy z serwisów zawartych na stronie: resolve.rs, ponieważ uwzględnia ona bardzo dużo dostawców typu IP2GEO, z którymi możemy sprawdzić wspomniany adres IP. Przechodząc przez poszczególne serwisy i zadając im zapytanie o ten sam adres widzimy wiele różnic w wynikach. W momencie pisania tego wpisu wyniki były, co najmniej mylące nawet na poziomie kraju.
[ czytaj całość… ]

curl -s https://nfsec.pl | grep -Eo "(http|https)://[a-zA-Z0-9./?=_%:-]*" | sort -u

Więcej informacji: SpiderFoot

B

ardzo wiele firm utrzymuje repozytoria publicznych projektów na popularnych serwisach takich jak Github oraz Gitlab. Na przykład listę loginów poszczególnych użytkowników w serwisie Github można uzyskać bardzo łatwo – wystarczy odwiedzić adres: https://github.com/orgs/$firma/people.

Plus iterując po poszczególnych projektach: https://github.com/$firma/$projekt/graphs/contributors można zebrać dość dużą ilość unikatowych użytkowników. Gdzie następuje wyciek? Otóż Github używa adresów e-mail powiązanych z kontem Github (można mieć ich więcej niż jeden – a często na jednym koncie łączy się prywatne i firmowe adresy) przy zatwierdzaniu kodu (ang. commit) oraz innych aktywnościach w profilu użytkownika. Kiedy użytkownik zatwierdza kod w publicznym repozytorium jego adres e-mail jest publikowany i staje się publicznie dostępny.
[ czytaj całość… ]

J

eśli interesuje nas sprawdzenie daty utworzenia danego adresu e-mail (nie mylić z datą stworzenia konta) w protonmail – wystarczy skorzystać z API:

curl -q 'https://api.protonmail.ch/pks/lookup?op=index&search=admin@protonmail.com'

Odpowiedź typu:

info:1:1
pub:747752ef11868e4bfb4c0c3e9f832cbb57f25faa:1:2048:1461078056::
uid:admin@protonmail.com <admin@protonmail.com>:1461078056::

– oznacza, że dany adres e-mail istnieje, a 1461078056 znacznik czasu w formacie daty epoch. Wystarczy teraz wydać polecenie, które zamieni nam je na czas przyjazny człowiekowi: date -r 1461078056 (*BSD) / date -d @1461078056 (Linux) – Tue Apr 19 17:00:56 CEST 2016 / wtorek, 19 kwietnia 2016 17:00:56 GMT+02:00.

Odpowiedź typu:

info:1:0

– oznacza, że dany adres e-mail nie istnieje.

Jeśli zamienimy teraz operację “index”, na “get” będziemy w stanie pobrać publiczny klucz PGP konta e-mail:

curl -q 'https://api.protonmail.ch/pks/lookup?op=get&search=admin@protonmail.com' \ 
-o key.pgp

root@darkstar:~# gpg --list-packets key.pgp

# off=0 ctb=c6 tag=6 hlen=3 plen=269 new-ctb
:public key packet:
	version 4, algo 1, created 1461078056, expires 0
	pkey[0]: [2048 bits]
	pkey[1]: [17 bits]
	keyid: 9F832CBB57F25FAA
# off=272 ctb=cd tag=13 hlen=2 plen=43 new-ctb
:user ID packet: "admin@protonmail.com "

Lista serwerów ProtonVPN.Więcej informacji: ProtOSINT

C

o roku ukazuje się nowa edycja podręcznika OSINT wydawanego przez I-Intelligence. Ogromny plik PDF, który można pobrać bezpłatnie. Zawiera ponad 500 stron wypełnionych linkami. Podręcznik jest przeznaczony nie tylko dla doświadczonych badaczy i specjalistów ds. bezpieczeństwa informacji, ale dla każdego, kto chce poprawić jakość swojej wiedzy, niezależnie od tego, na jakim etapie kariery się znajduje. Szczególnie nowicjusze w OSINT mogą wykorzystać narzędzia z różnych kategorii, aby rozwinąć swoją naukę. Przecież dobry praktyk OSINT to ktoś, kto czuje się komfortowo w pracy z różnymi narzędziami, źródłami i strategiami zbierania informacji. Pokusa wąskiej specjalizacji w OSINT to taka, której należy się oprzeć. Czemu? Ponieważ żadne zadanie badawcze nigdy nie jest tak uporządkowane, jak sugeruje to zlecenie.