1/7 After months of research, I found a logic flaw in EasyAntiCheat: a standard user can control which older signed EAC driver its SYSTEM service loads into the kernel. Reported almost a year ago, rejected, and still reproducible. Demo: 2022 and legacy 2017 drivers loaded and running.

الحمدلله أنجزت شهادة OSCE³ من @offsectraining من أعلى وأصعب الشهادات في مجال الأمن الهجومي، تشمل: OSWE – OSED – OSEP رحلة طويلة مليئة بالتحديات التقنية والتفاصيل العميقة فخور جدًا بهذا الإنجاز #osce3

@hackerfantastic @CrowdStrike

🫣🤝

افضل Mitigation للتكنيك هذا هو تعديل الGroup Policy Settings وتشغيل الخاصيتين DisableThumbnailsOnNetworkFolders و DisableThumbnails :

هنا سويت طريقة حلوه بأن الملف خليته في فلاش وخليت الايقونه الخاصه فيه هي صورة pdf كذبيه ، وسميت الملف test.pdf.library-ms ولكن مثل ماذكرت سابقاً ان explorer.exe راح يخفي الامتداد حتى لو كنا مفعلين اظهار جميع الامتدادات .. ف بكذا اول ما نفتح الفلاش راح تتم عملية المصادقه من explorer نفسه عشان يسحب الايقونه بدون اي عملية من المستخدم:

واذا اخذنا الهاش ، في عدة طرق نقدر نستفيد منه سواء عن طريق استغلاله في هجمة NTLM-Relay او محاولة فكّه مباشره واخذ الباسورد الخاصه باليوزر ب استخدام john او hashcat مثل ماهو موضح بالصوره:

الكثير من الناس عنده مفهوم ان الملف الضار لازم يتم تشغيله (Executed) عشان يسبب الضرر الخاص فيه , اليوم بوريكم وبشرح كيف نقدر نستغل طريقة عمل الWindows وكيف نقدر نسرق الهاش (NTLMv2) الخاص باليوزر فقط عن طريق فتحه للمجلد او تحميل الملف بدون تشغيل اي برنامج خارجي .. مثل ماهو موضح في المقطع:

I've developed a new Red-Teaming tool called NoArgs. It dynamically hooks into Windows APIs to manipulate and hide process arguments. By injecting it into a cmd process, it hides the arguments of every newly spawned processes at runtime, without leaving traces for logging applications that rely on information from the Process Environment Block (PEB). Source and detailed info: github.com/oh-az/NoArgs