Backd00r🐳(蓝V互关)

谁能解释一下为什么今天 A 股这么爆杀？发生什么事了吗？

Evasion Engineering by Dennis Chow and Michael LaSalvia and published by @nostarch hangs everything on one concrete, repeatable idea. Make the operation look like it belongs. The book in one sentence: Every part of an operation, from infrastructure to timing, should look like it belongs in the target environment. Chapter 3 rotates source IP addresses through disposable AWS infrastructure so heavy enumeration survives IP blocklisting. Chapter 4 runs command-and-control over Firestore, and Chapter 8 stages data in uncompressed CAB files disguised as Windows update clutter, then exfiltrates it as hex-encoded Cloud Logging entries. The techniques alone are worth the price of admission, and they will bump an operators evasion capability up a level. As of this writing, the labs teach tradecraft that actually performs, with custom ciphers tuned to stay inside the Shannon entropy window EDRs scan for, in-memory execution that sidesteps file-based detection, and an exfiltration pipeline built to bypass DLP. These are approaches that enable evasion of modern EDR and defensive systems right now, and that currency is rare. I came in with an OSCE3 background and still came out with techniques I can use on the next engagement. What changed most is how I reason about tooling. A payload that dodges one signature still produces binary, process, network, cloud, and timing signals someone can correlate, and designing for the complete footprint is a harder and more valuable discipline than any single packing trick. Part III is the weak stretch. Chapters 9 and 10 hold genuinely useful detection and purple-team material, but both pull away from the offensive-evasion thread that made Parts I and II strong. I also wanted more reasoning and fewer pages of code. The implementations show how the authors build these tools, and several would have worked better in a reference appendix. Read it as an engineering book about the signals your tools leave behind, and it easily earns its 8/10. jacobkrell.com/writeups/book…

这下又来了

目前泄漏信息看，不是管控面（更可怕），而是 PingCAP 内部的经营管理系统。 静观后续。

TiDB (国内云原生 NewSQL DB 领头羊) 发生大规模用户数据泄露事件，总泄露数据量达 10TiB+ 泄露数据清单： • 10.5 TB+ 总数据量 • 4,901,203 个文件 • 533.8M (5.3亿) 行数据的 BigQuery Repo • 180,046 个客户 • 403,262 个邮箱 • 115,308 个客户 API 密钥（明文） • 5,036,738 个客户服务器 IP 地址 • 377,446 个内部 Jira 工单信息 • 433,927 个 CRM 客户 • 413 个私有 Git Repo 攻击者留下的正文： 今天，我们公开披露对 PingCAP 的入侵事件。我们掌握了完整的 TiDB Cloud 控制平面、其计费和财务系统、GCP 存储资源和 AWS 成本与计费系统，以及其 Jira、CRM、分析系统、源代码，还有一份长达四年的日志，记录了所有客户从其应用服务器 IP 地址发起的每一次产品连接。 PingCAP 销售的 TiDB Cloud 是开源数据库 TiDB 的托管版本。银行、游戏工作室和电商平台将生产工作负载交给 PingCAP；PingCAP 在一个共享的多租户平台上运行这些集群，而其整个业务都建立在“这样做安全可靠”这一主张之上。下文的证据表明，事实并非如此。 首先，他们似乎对自己的云服务毫无监测能力。令人遗憾的是，这在我们攻破的公司中十分常见：他们愿意投入数百万美元购买花哨的 EDR，却任由五百多个 S3 存储桶里的数据大摇大摆地流出。 但这可是一家云服务提供商，他们的各项云服务AWS、GCP、Atlassian / Jira、Azure 遭到大规模、明目张胆的入侵和数据外传，他们却似乎完全无法察觉，这既骇人听闻，也极不负责任。首次外传约 8 TB 数据后，我们又持续外传了近两个月，并定期获取新增数据。 我们甚至利用提交到他们自己代码仓库中的凭据「GCP 服务账号密钥和 Azure 服务主体」 搭建了一条从其控制平面数据库复制数据的通道，让他们自己的基础设施把数据送到我们手里。在这次行动的最后二十二天，即 9 月 8 日至 9 月 30 日，这条数据通道每六小时都会将 TiDB Cloud 运行核心中的每一张表 「租户、用户、API 密钥、集群凭据、变更数据流、迁移记录」重新导出并传送出去。连续导出八十八次，一次都没有被发现。最后一次导出于 9 月 30 日 06:02（UTC）进行。所导出的控制平面数据已包含在第一阶段发布的数据中。 src: fulcrumsec.vg/pingcap/