InjectSetConsole es una técnica de inyección de código que evita el uso de VirtualAllocEx y WriteProcessMemory, logrando que el proceso objetivo almacene los datos en su propia memoria mediante stdin y pipes, para luego ejecutarlos vía thread hijacking.

Detección e inyección SQL manual, con algunos payloads de evasión de IDS/WAF; y es que la inyección SQL (SQLi) sigue siendo una de las vulnerabilidades más explotadas. A medida que los IDS (Sistemas de Detección de Intrusos) y los WAF (Web Application Firewall) mejoran, nosotros debemos recurrir a técnicas de evasión para burlar estos sistemas. Y es por esto, que en este post me centraré en algunos ejemplos prácticos de cómo evadir un IDS mediante SQLi en Oracle y MySQL, la mayoría de los cuales hemos utilizado en auditorias donde hemos encontrado algún WAF. Cabe mencionar, además, que otro de los motivos por los que preferimos el uso de inyecciones manuales es porque reduce significativamente el número de peticiones realizadas al servidor.

Se están utilizando técnica de concatenación de archivos ZIP/RAR para entregar cargas útiles maliciosas en archivos comprimidos y sin que las soluciones de seguridad las detecten. La técnica aprovecha los diferentes métodos que los aplicativos compresores manejan para procesar archivos concatenados. 

Una de las técnicas más avanzadas que utilizan los cibercriminales para evadir las defensas y comprometer los sistemas se conoce como process hollowing o “hollowing de procesos“, veamos a continuación una visión detallada sobre esta técnica, su funcionamiento y cómo puede ser detectada y mitigada.

El antivirus es una herramienta útil en la prevención, detección y eliminación de procesos maliciosos dentro del sistema, teniendo como objetivos adicionales evitar la propagación de elementos malintencionados y la protección del sistema de almacenamiento. Una de estas opciones son los EDR (Endpoint Detection and Response), cuya finalidad es identificar, detectar y prevenir amenazas avanzadas (APT) proporcionando monitorización y análisis continuo del endpoint y de la red.