Microsoft stycznia 2026 – Krytyczne łatki, zero-day i pilne aktualizacje

Czy CVSS 5. 5 może być pilniejsze niż „krytyk”?

Czytaj dalej:
https://pressmind.org/microsoft-stycznia-2026-krytyczne-atki-zero-day-i-pilne-aktualizacje/

#PressMindLabs #cve202620805 #lsass #microsoft #patchtuesday #protectedview

Сдвиг парадигмы в безопасности серверов: как мы пережили Windows Server 2025 и сделали инфраструктуру крепче

Мы поймали странный «обрыв» доступа к нескольким NAS и старому принтер-серверу. В логе — ничего драматического: «не получилось договориться по безопасности». Виноват оказался не «прокси/файрвол», а новая норма безопасности : клиент Windows Server 2025 уже требует подпись SMB-пакетов . Всё, что не умеет — идёт мимо кассы. В тот же месяц у коллег «ложилась» интеграция, ретранслирующая NTLM на LDAP, — и снова не сеть виновата. LDAP-подпись и привязка канала (channel binding) перестали считать ретрансляцию чем-то приемлемым. Зато после шторма заметно стихло количество «подозрительных» попыток бокового смещения. Мораль простая: реактивная модель «ставим патчи и надеемся» больше не тянет . Нужен проактивный дизайн — с нормами безопасности, которые не нужно «включать по желанию», а которые уже встроены в дефолт .

https://habr.com/ru/articles/948976/

#windows_server_2025 #active_directory #SMB_signing #LDAP_signing #kerberos #ntlm #AD_CS #laps #credential_guard #lsass

Different ways to dump LSASS

Guide to dumping lsass: Task Manager, comsvcs MiniDump, procdump, MiniDumpWriteDump, handle steal, PssCaptureSnapshot, SilentProcessExit.

https://github.com/yo-yo-yo-jbo/dumping_lsass/

#LSASS

Защита процесса lsass от credential dumping

Процесс lsass.exe (Local Security Authority Subsystem Service) — критически важный компонент ОС Windows. Он отвечает за аутентификацию пользователей и управление учетными данными. В его памяти хранятся хэши паролей NTLM, билеты Kerberos, данные сессий, а в некоторых конфигурациях — даже пароли в открытом виде, если используется устаревший протокол WDigest. Столь высокая концентрация секретов делает lsass.exe лакомой целью для злоумышленников, получивших доступ к системе. После Initial Access фазы атакующий будет стремиться повысить привилегии и двигаться дальше по сети. Дамп памяти lsass.exe — самый прямой и часто самый простой способ достичь этих целей, поскольку при отсутствии защиты атакующий очень легко извлекает оттуда данные для проведения атак Pass-the-hash и Pass-the-ticket. В то же время, для атаки на незащищенный lsass.exe, нужно сравнительно немного: права локального администратора и Mimikatz. Таким образом, защиту этого процесса, по моему мнению, нужно внести в базовый набор мероприятий для любой инфраструктуры с Windows-машинами. Существуют различные методы получения дампа lsass.exe. В материале мы рассмотрим как тривиальные, так и более изощренные, но не с позиции атакующего. Поскольку основная часть материала будет посвящена методам защиты lsass от извлечения данных, знакомство с различными способами атаки будет играть вспомогательную роль для лучшего понимания механики защитных мер.

https://habr.com/ru/companies/first/articles/943490/

#lsass #mimikatz #credentials

Как внедряться в lsass.exe

#red_team #lsass #hacking

Стандартные методы внедрения DLL: `SideLoading`, `Search Order Hijacking` и т.п.

Рассмотрим методы внедрения DLL характерные для `lsass.exe`.

`Custom SSP`. Техника позволяет загрузить собственный `Security Package` в адресное пространство процесса `lsass.exe`. Плюс - в возможности загрузки библиотеки без перезагрузки целевого устройства через вызов `AddSecurityPackage()` (https://learn.microsoft.com/en-us/windows/win32/api/sspi/nf-sspi-addsecuritypackagea).

Код и подробный разбор:
- https://blog.xpnsec.com/exploring-mimikatz-part-2/ - анализ `Security Packages`;
- https://xakep.ru/2023/03/15/windows-password/ - подробный разбор механизма аутентификации в Windows;
- https://snovvcra.sh/2024/05/19/from-dll-side-load-to-malicious-ssp.html - кейс с загрузкой вредоносного `SSP`;
- https://github.com/jas502n/mimikat_ssp - загрузка через метод `SspirCallRpc()`;

#Windows #UnderAttack: #0day #vulnerability used by #ransomware group

https://www.ghacks.net/2025/04/09/windows-under-attack-0-day-vulnerability-used-by-ransomware-group/?utm_source=mas.to&utm_medium=social&utm_campaign=&utm_term=&utm_content=&utm_referrer=https%3A%2F%2Fmas.to%2F%40KNTRO&utm_id=&utm_creative=&utm_channel=mastodon_organic&utm_platform=desktop&utm_location=argentina&utm_language=es-ar&utm_variant=

#0DayVulnerability #ZeroDay #ZeroDayVulnerability #Windows10 #Windows11 #WindowsServer #WindowsServer2025 #CVE202529824 #CVE_2025_29824 #CommonLogFileSystem #CLFS #Storm2460 #Storm_2460 #RansomEXX #MSBuild #PipeMagic #LSASS #LSASSMemory

LDAPNightmare PoC Exploit Crashes LSASS and Reboots Windows Domain Controllers
https://thehackernews.com/2025/01/ldapnightmare-poc-exploit-crashes-lsass.html

#Infosec #Security #Cybersecurity #CeptBiro #LDAPNightmare #PoCExploit #LSASS #WindowsDomainControllers