In the course of its investigations, @volexity frequently encounters malware samples written in Golang. This reflects the increase in popularity of the Golang generally, and presents challenges to reverse engineering tools.
 
Today, @volexity is releasing GoResolver, open-source tooling to help reverse engineers understand obfuscated samples. @r00tbsd & Killian Raimbaud presented details at INCYBER Forum earlier today.
 
GoResolver uses control-flow graph similarity to identify library code in obfuscated code, leaving analysts with only malware functions to analyze. This saves time & speeds up investigations!
 
Check out the blog post on how GoResolver works and where to download it: https://www.volexity.com/blog/2025/04/01/goresolver-using-control-flow-graph-similarity-to-deobfuscate-golang-binaries-automatically/
 
#dfir #reversing #malwareanalysis

There is a new #Fediverse bot that facilitates web forensic analysis of websites.

You can submit a domain for crawling by messaging @lookyloo, and it will respond with the analysis results.

#cybersecurity #threatintel #dfir

services is provided by @circl

https://lookyloo.circl.lu

Thanks to @rafi0t for the new bot.

Anyone interested in Starting a DFIR company, based in Stockholm Sweden? #WFH #EU #DFIR #Forensics #IncidentResponse

https://www.linkedin.com/feed/update/urn:li:activity:7299878984371077120/

@hacks4pancakes (@dragosinc) will join us on March 19 for our Foundations of DFIR panel!

While that's a few weeks away, you can check out Lesley's blog post on The Shifting Landscape of OT Incident Response which illustrates the importance of specialized incident response and digital forensics in maintaining the security and integrity of OT systems.

Find it here: https://www.dragos.com/blog/the-shifting-landscape-of-ot-incident-response/

If you want to catch Lesley along with panelists @danonsecurity, David Bianco, and Sarah Sabotka for unique insights on bolstering your DFIR foundations, save your spot here: https://www.domaintools.com/webinar-getting-back-to-the-foundations-of-dfir/?utm_source=Mastodon&utm_medium=Social&utm_campaign=DFIR-To-You

Ransomware: not-a-virus, или Почему антивирус — не панацея при атаке шифровальщиков

Разбирая очередной инцидент, связанный с атакой шифровальщика, и услышав в очередной раз вопрос «как же так, ведь у нас есть антивирус!?», мы решили поделиться с комьюнити информацией о возобновившейся активности группировки DсHelp. В этой статье расскажем про участившиеся атаки DсHelp, рассмотрим тактики и техники данной группы, а также отметим, почему антивирус — не панацея и как легитимное ПО может быть использовано против вас.

https://habr.com/ru/companies/jetinfosystems/articles/859974/

Можно ли стать Blue Team тимлидом за пять лет, или Работа в SOC: мифы и реальность

Нет повести печальнее на свете, чем повесть о слухах про работу в мониторинге ИБ-инцидентов. Публичные спикеры и авторы книг часто поддерживают разные заблуждения о SOC: что он скучный, лишен по-настоящему интересных задач и не предполагает карьерного роста. Однако я уверен, что это не так! Меня зовут Сергей Солдатов. Я — Head of Security Operations Center в «Лаборатории Касперского» . За свою карьеру мне посчастливилось работать в разных ипостасях мира ИТ и ИБ, поэтому, наверное, в своих размышлениях я могу быть вполне объективен. Ну а если нет, надеюсь, коллеги-ветераны кибербеза поделятся своим мнением в комментариях :) Мы подробно разберем основные заблуждения, связанные со сферой мониторинга инцидентов, а также рассмотрим, из каких конкретных задач состоит работа аналитика SOC и какой карьерный трек у него может быть.

https://habr.com/ru/companies/kaspersky/articles/833260/

Анализ фишинга с Venom RAT

В начале апреля в организации Российской Федерации (и не только) пришли письма от неизвестного отправителя. В содержимом письма, кроме пожелания хорошего дня и просьбой ответить «скорее», находился RAR архив, а внутри архива *.bat файл. После проверки содержимого в песочнице были предоставлены некоторые артефакты, указывая, что в письме явно содержится что-то подозрительное, но определить наверняка, вредонос это или нет СЗИ не удалось. Зато были указаны некоторые составляющие bat файла: обфусцированные строки PowerShell. Этого было достаточно чтобы начать анализ содержимого, найти IoC’и, и посмотреть на наличие таковых в трафике от организации. К анализу.

https://habr.com/ru/articles/809343/

Приглашение с «сюрпризом»

Закончился ежегодный CTF от HackTheBox Cyber Apocalypse 2024: Hacker Royale - After Party и конечно, там снова были интересные задания по форензике, которые удалось решить за отведённое на CTF время. В этом райтапе хочу поделиться решением задания "Game Invitation" по форензике уровня Hard. Заодно попрактиковаться в разборе фишинговых вложений и исследовании VBA-кода. К расследованию

https://habr.com/ru/articles/802421/

Фишинговая атака в Angara Security: расследование инцидента

Никита Леокумович, руководитель отдела реагирования и цифровой криминалистики Angara SOC, поделился опытом, как "невинное" письмо из "отдела кадров" может привести к серьезным последствиям для компании. Среди киберпреступлений фишинг - это наиболее распространенный тип атаки для получения учетных данных, в том числе для последующего проникновения во внутреннюю сеть организаций и распространения вредоносного программного обеспечения (далее – ВПО). Чтобы повысить эффективность таких фишинговых атак, в частности, чтобы привлечь внимание, улучшить структуру и визуальную составляющую сообщений, хакеры используют новостную и политическую повестку. Это позволяет оказывать определенное моральное давление на получателей, особенно, если приходит от "государственной организации" и затрагивает чувствительные темы. Распространение ChatGPT позволяет преступникам создавать эффективные с точки зрения содержания и структуры сообщения, даже если вектор атаки нацелен на адресатов в другой языковой среде. Если раньше одним из методов распознания фишинговых было выявление ошибок, неточностей или необычного слога при составлении письма, то сейчас использование ChatGPT может полностью исключить такие промахи со стороны атакующих. За 2023 год резко выросло число фишинговых писем, связанных с рабочими процессами. Вместе с тем, процент атак на компании, проведенных посредством отправки фишинговых писем по почте, содержащих во вложениях ВПО под видом легитимных файлов либо гиперссылок на них, составил более 50% .

https://habr.com/ru/companies/angarasecurity/articles/792456/

The Hive. Разбор open source решения

В свете быстрого развития информационных систем и увеличения угроз кибербезопасности поиск надежных решений, позволяющих минимизировать вред от нарушения информационной безопасности (ИБ), становится важной задачей для различных организаций. Когда инфраструктура организации начинает настолько усложняться, что становится невозможно уследить за общей картиной происходящего, на помощь приходит Центр обеспечения безопасности (SOC, Security Operations Center) - это широко специализированный ситуационный центр мониторинга информационной безопасности, совокупность программно-аппаратных средств, персонала и процессов. Данный тип систем предназначен для централизованного сбора и анализа информации о событиях и инцидентах ИБ, поступающих из различных источников ИТ-инфраструктуры. Существует множество конкретных решений, но без ряда базовых средств мониторинга и защиты информации сложно себе представить даже внутренний SOC в средней компании, не говоря уже о коммерческом центре. К таким средствам принято относить системы различного класса, где каждый элемент выполняет свою функциональную роль, и одними из центральных и наиболее эффективных являются платформы IRP - отдельные системы для выстраивания процессов управления инцидентами, которые предназначены для автоматизации процессов мониторинга, учета и реагирования на инциденты, а также для решения типовых проблем управления ИБ. Применение IRP позволяет обеспечивать своевременные ответные действия группы реагирования на инциденты информационной безопасности, предоставляя при этом аналитическую информацию и контекст отслеживаемого события. В данной статье мы как раз рассмотрим одну из таких платформ - The Hive, которая предоставляет комплексное решение для эффективного управления и реагирования на инциденты безопасности.

https://habr.com/ru/companies/securityvison/articles/780648/