На разных дефконах уже давно, чуть ли не каждый год, присутствуют доклады на тему залома различных радиоустройств. Там уже достаточно плотно сформировалось целое направление, и даже появилась отдельная компания, специализирующаяся на безопасности в данном направлении. На нашей сцене тематика поднимается, но это обычно частные (при этом конечно не менее интересные) случаи. Какой-то систематики пока не прослеживается. Доклад нацелен на повышение интереса сообщества к этой тематике и призван показать, что это направление вполне доступно обычному человеку и может быть увлекательным.

Хотелось бы поделиться опытом, который получил за последние несколько лет, выполняя поиск следов компрометации на десятках проектов по всему миру. На основе него я расскажу, что обычно упускает SOC, какие причины лежат в основе инцидентов и какие данные действительно стоит собирать.

In our team's engagements, especially during Red Team operations, avoiding SOC alerts and EDR detection is critical. Since most known methods for harvesting Windows credentials are heavily monitored by EDRs, we needed a way to collect these secrets without leaving any fingerprints—or even relying on traditional evasion techniques. This led me to dig deeper into how Registry works, how Windows stores secrets, and how EDRs monitor registry activity for credential theft. After researching these detection, I discovered a surprisingly simple yet effective way to extract credentials without triggering any alerts.

Вкратце, доклад - робкая попытка рассказать коммьюнити об инструменте, позволяющем сделать задачу (полу)автоматического исследования закрытой кодовой базы чуть менее болезненной, чем обычно. От обилия архитектур, форматов и операционок, с которыми необходимо работать при анализе безопасности встраиваемых устройств, порой рябит в глазах, и становится дурно. Это не сверхтехнологичный швейцарский нож и даже не Maybach, который прокатит с шиком. Это честная Нива (с новой электроникой), которая, во-первых, в большинстве случаев поедет, а, во-вторых, даже может куда-то довезти.