Cyber security,新手交易员,持续学习

Joined August 2021
天长地久有时尽,此恨绵绵无绝期
2
359
rollingchair retweeted
今天依旧不发布任何水文推文,而是继续开源我们自主研发的代码审计工具 Agent(项目地址:github.com/Yean-Sec/StrikeAg…),并分享 flyimg 项目的最新审计漏洞;如果你觉得这两个项目有用,欢迎关注公众号并加入群聊。
11
31
3,498
爱可以让人滋生血肉,仇恨可以让人换来新生,每当坚持不下去的时候想一想,咬着牙也要将他做下去
62
杀不死我的只会让我更强大
1
40
一个人成长的标志或许真的是,学会一个人选择自己消化自己的情绪,选择挂断了电话,其实啊,本就没有那么多分享的东西,自我吸收消化吧
1
80
谢谢
过度坦诚会失去吸引力,熟悉会滋生轻视,真诚会换来傲慢,退让会产生贪婪,说教会引发矛盾,得到了会祛魅,待人如初是个伪命题。人生注定是一场孤独的旅程。
1
125
rollingchair retweeted
过度坦诚会失去吸引力,熟悉会滋生轻视,真诚会换来傲慢,退让会产生贪婪,说教会引发矛盾,得到了会祛魅,待人如初是个伪命题。人生注定是一场孤独的旅程。
494
1,276
65
8,706
451,563
rollingchair retweeted
💥牛了!GLM-5.3 无审查版已经能本地跑了,不是提示词越狱,是权重级去掉拒绝方向,再压成 273GB 的 EXL3! 主要亮点: 🔹753B / 约 40B 激活,256 专家全保留,没有剪专家 🔹上游 CRACK:直接改 residual writer,无微调 🔹非版权 HarmBench 合规率约 91.7%(reasoning off) 🔹3.0bpw 相对 FP8 的 KL 仅 0.089,agent 基准几乎贴着原版 🔹4×RTX PRO 6000(384GB)就能装下,自带 MTP 投机解码 快速上手: 1️⃣下仓库 huggingface.co/Infatoshi/GLM…(约 273GiB) 2️⃣装 TabbyAPI,后端选 exllamav3 3️⃣配置 max_seq_len 65536、cache 98304、gpu_split_auto、tool_format: glm4_7、reasoning: true 4️⃣draft_model 设 draft_mode: mtp 5️⃣工具调用如果把纯数字字符串误解析成 int,把 string 参数保持原文 对齐被拿掉了,部署和用途自己负责。 #GLM53 #Uncensored #LocalAI #EXL3 #TabbyAPI #OpenSource #智普 #唐杰
🔥必看!智普创始人唐杰清华《高级机器学习》课现场火到一半人坐地上听。这节课唐杰把 scaling 的行业判断摊开讲了! 笔记精华整理如下: 1️⃣技术演化两条淘汰律
不能大规模并行的,会被淘汰(典型如 sequential 计算)。人工设计加得太重的,最后也挂:很多小模型上有效的 trick,scale 到万亿、十万亿参数后性质不再成立。越简单的东西,越能在超大规模上站住。 2️⃣GPT-5“训崩”与 Claude 的体量差
GPT-5 的 agentic 效果不错,但也是被喷最多的一代:超大模型训崩后,拼了多个版本做 router,所以时快时慢、天花板不高。业内判断,那之后 Claude 开始训更大的模型,size 至今大约是 GPT 的两倍;GPT 更多把功夫花在 post-training 上。 3️⃣AI 能力阶梯:不断向外求交互
人类世界知识(已饱和)→ 工具调用 → Coding → Computer Use → 自治 agent system → physical AI。 4️⃣Scaling law 怎么改写的
Kaplan / OpenAI(2020):重参数、轻数据。
Chinchilla(Google,2022)修正:参数和数据应同比 scale,最优约 1:20,一个参数配 20 个 token。 5️⃣Ilya“pre-training is over”要打折看
人类数据总量估在 100 万亿~300 万亿 tokens,增长是亚线性的,模型吃到某个量级就走平,2026 年前后确实差不多用完。
国内还有 runway:Kimi、智谱、DeepSeek、千问训练数据大多还在 30T~50T,离 100T~300T 很远。不是不想一次 scale 到 100T,是 C=6ND,D 一加,算力需求暴涨,撑不住。真数据用完之后的路:数据复用、合成数据、多维 scaling(pre-training + test-time scaling)。 6️⃣DeepSeek V4.1 Flash
唐杰认为是 architecture 上比较成功的改动:把 KV cache 大幅砍掉,显存占用明显下降。 7️⃣行业里的冷判断
▫️AI 在全面“去人化”,逐步替换掉人参与的环节,指向 RSI。
▫️国外头部和国内头部彼此都很了解,情报基本透明。
▫️真正把万亿参数训明白仍是稀缺能力:国内正经训出来的没几家,榜单好看不等于真训出来了。 课后作业也硬:C 恒定时,用 Kaplan 0.73 和 Chinchilla 0.5 各推一遍 N 与 D 怎么分。 #智谱 #唐杰 #清华 #scaling #大模型 #DeepSeek #GPT5 #Zai #Zcode
15
38
1
217
39,966
rollingchair retweeted
分享一个怎么绕过 Codex 反编译、逆向道德感的操作 其实也比较容易实现的,你就不要在 prompt 里提什么逆向以及提什么反编译之类的 你就把这个库安装下来后 github.com/zhaoxuya520/rever… 就直接跟他说按照这个markdown 去处理某个应用即可github.com/zhaoxuya520/rever… 要注意的是,不要让 Codex 或者 Claude 去从 0 开始安装上面的 skills,会拒绝 你要自己装,当然你可以 clone 以后,其中一些安装步骤让它来执行 以上我主要在 Codex 验证,Claude 没有做验证,你们可以试试,可以说 Codex 屡试不爽
38
197
6
1,765
125,080
rollingchair retweeted
I'm thrilled to make Silverseal public!. It is among the first publicly available UEFI bootkit research frameworks for Linux-based systems to demonstrate an end-to-end path from GRUB to a running Rust kernel-module rootkit: github.com/Idov31/Silverseal 1/3
8
55
1
184
10,559
rollingchair retweeted
I've been testing a lot of rust implants against edr vendors. Every time i code a sideload or a proxydll i had to parse the exports, write the forwarders, and .def by manual. You can install LazyDLLSideload with one command. cargo install LazyDLLSideload - crates.io/crates/LazyDLLSide… - github.com/Whitecat18/LazyDL… along with that i have shipped the latest version of dyncvoke to crates,io. Add dyncvoke = "0.1" to your project. It can be used to do (peb walk), indirect syscalls (tartarus etc..), and has call stack spoofing if you turn it on etc... full docs and source codes are here :- - crates.io/crates/dyncvoke - docs.rs/dyncvoke
3
35
1
249
9,087
趁着今天不开盘,给大家推荐十个研究投资和美股的网站 看这篇就够了 1. SEC EDGAR 研究美股个股,我认为它应该排第一。 任何上市公司的正式披露,最终都要落到这里。 重点看 10-K:年报 10-Q:季报 8-K:重大事项 Form 4:高管买卖股票 13D / 13G:大股东持仓 S-1:IPO 424B:招股书/增发 比如突然看到“某公司要融资”“某高管抛售”“某公司签了大单”,先别急着信 X 上的信息,直接搜 EDGAR。 SEC 官方明确提供上市公司等提交的数百万份文件,并且 Latest Filings 可以实时看新提交文件。 2. Federal Reserve 做美股和加密,美联储官网基本每天都应该看 重点 FOMC Statement FOMC Minutes SEP 经济预测 Dot Plot 点阵图 Powell/主席发布会 Fed 官员讲话 资产负债表 货币政策报告 例如现在市场讨论 9 月 FOMC,最终可信的信息源还是 Fed 自己。目前官网列出的下一次 FOMC 是 2026 年 9 月 15—16 日。 3. BLS 美国通胀和就业数据的源头。 CPI Core CPI PPI Nonfarm Payrolls 非农 Unemployment Rate Average Hourly Earnings JOLTS 部分劳动力数据 都应该首先来 BLS 核。 例如 BLS 当前首页直接列出了 CPI、失业率、非农、平均时薪、PPI 等最新数字。 4. BEA 很多人把 PCE 去财经网站看,其实源头是 BEA——美国经济分析局。 重点 PCE Core PCE GDP GDI Personal Income Personal Spending Corporate Profits 比如 GDP 每次还有 Advance、Second、Third Estimate,研究宏观时很重要。BEA 同时提供历史表格、源数据和修订记录。 5. U.S. Treasury / TreasuryDirect 这个网站的重要程度经常被股票投资者低估。 当你研究 10Y 美债为什么涨 财政部为什么发这么多债 TGA 美债拍卖 长债需求 期限结构 财政融资压力 都应该来看 Treasury。 TreasuryDirect 会公布 Treasury Bills、Notes、Bonds、TIPS、FRN 的拍卖公告、日期以及最终结果。 6. FRED 如果说前面几个网站负责【发布数据】, FRED 就负责把全世界宏观数据整理到一起。 这是圣路易斯联储的数据系统。 可以直接搜: US10Y US2Y 10Y-2Y Federal Funds Rate CPI M2 Fed Balance Sheet Reverse Repo Unemployment High Yield Spread Financial Conditions Dollar Index 而且能直接画几十年的历史图。 FRED 目前收录大量来自官方机构的经济时间序列,并提供 Release Calendar。 7. CME FedWatch 这个作用非常单纯:市场到底押多少概率加息/降息? FedWatch 根据 30-Day Fed Funds Futures 推导未来 FOMC 利率概率,因此它反映的是交易员的市场定价,并不是美联储自己的预测。 8. 上市公司 Investor Relations 这个虽然没有统一的网站,却是研究个股最重要的一级信息源之一。 比如研究 NVIDIA: Investor Relations → Earnings → Press Release → Earnings Presentation → 10-Q → Earnings Call。 研究 MU、SNDK、MRVL、MDB、OKLO,也是一样。 很多财经媒体会写:NVIDIA 数据中心收入增长 XX% 我的习惯是直接:公司 IR → 财报 PDF → SEC → 电话会 三层交叉验证。 所以以后你问我: NVDA 财报官网 MU 财报官网 SNDK Investor Day MRVL 财报 我建议继续坚持找 IR 官网,不要拿 Investing.com 当原始来源。 如果只是想快速查哪天发财报,可以用 Nasdaq Earnings Calendar。 Nasdaq Earnings Calendar 9. Reuters Markets 如果说前面负责的是“事实”,Reuters 特别适合解决一类问题, 比如:刚才为什么突然跌了? 战争 制裁 央行讲话 油价异动 公司突发事件 政治风险 市场即时反应 Reuters 最大的价值,是很多报道直接采访交易员、分析师和政策人士,而且突发速度快。 比如当前全球市场变化,Reuters 会同时把股票、美债、美元、原油和央行预期串起来报道。 Reuters Markets 如果出现:BTC 五分钟突然跌 4% 我一般会优先查 Reuters + 官方源。 10. Bloomberg Bloomberg 更适合: 全球宏观 + 美债 + 利率 + 机构资金 + 华尔街交易逻辑。 特别是: Treasury Fed Japan FX Commodities Fund Flows Credit Market 这几个方向 Bloomberg 的价值非常高 缺点也明显:很多内容有付费墙 用AI搭配一套“每天投资信息流” 其实不用每天刷十个。 早上 Reuters → 看隔夜到底发生了什么 Bloomberg → 看机构现在在交易什么逻辑 宏观数据日 BLS / BEA → 第一时间看原始数据 FRED → 拉历史数据比较 CME FedWatch → 看市场怎么重新定价 FOMC Federal Reserve → 原文 CME FedWatch → 利率市场反应 Treasury → 美债 财报 公司 IR → 第一优先级 SEC EDGAR → 核正式披露 Reuters/Bloomberg → 看市场为什么这么交易 所以真正的逻辑其实是 SEC + 公司 IR = 个股 Fed + BLS + BEA + Treasury + FRED = 宏观 CME = 市场预期 Reuters + Bloomberg = 新闻与华尔街解释 这十个网站搭起来,已经足够覆盖大部分的美股、宏观、利率、财报和突发事件研究。
如果特朗普输掉中期选举,会发生什么? 2026 年 11 月 3 日,美国中期选举。 建国的名字不会出现在总统选票上。 所以【输掉中期选举】,发生的事情,是共和党失去众议院、参议院,甚至同时失去两院。 这件事可能决定他最后两年,还剩多少真正能够兑现的总统权力。 截至目前,共和党仍控制国会两院,其中参议院是共和党 53 席,民主党 45 席,另有两名独立议员与民主党共同组成党团。共和党正在为维持国会控制权而战。 决定未来方向的,是三个剧本。 一、丢掉众议院:建国开始被“锁”在白宫 如果民主党只拿下众议院,或许是建国最头疼的一种局面。 总统仍然掌握行政部门,可以签署行政命令,可以执行已经存在的法律,也仍然拥有相当大的外交、贸易和监管权力。 可一旦需要创造新的法律,事情就复杂了。 预算、税收、医保、移民、产业政策以及各种需要国会立法授权的大改革,都必须经过民主党控制的众议院。 特朗普依然拥有否决权。 但白宫将很难再像共和党同时控制两院时那样,把政治纲领直接转换成法律。 于是,建国第二任期的政策逻辑会发生一次变化。 前两年更像我还想通过什么? 后两年开始变成现有权力还能做到什么? 更麻烦的是监督权。 路透社 8 月报道,民主党已经在准备一旦夺回众议院之后,对建国政府展开一系列调查,可能涉及政府合同、总统权力使用、建国商业关系以及部分企业与政府之间的往来。 目前民主党内部披露出的思路也很明确:先调查、传票、听证、获取材料,再决定后续行动,弹劾并非第一步。 这意味着一个很有意思的场景:明年,建国仍坐在白宫。 可华盛顿政治的主旋律,逐渐从“建国还要通过什么”,转向“国会正在调查建国什么”。 政策注意力会被大量消耗。 白宫开始进入防守。 这就是典型的跛脚化过程。 二、丢掉参议院:建国的人事布局会被卡住 如果共和党保住众议院,却失去参议院,问题会出现在另一个地方。 美国宪法赋予参议院非常重要的“Advice and Consent”权力。 最高法院大法官、联邦法官、内阁官员、大使以及大量重要行政职位,都需要总统提名,再由参议院确认。 所以民主党一旦控制参议院,建国仍然可以提出人选,却很难保证这些人顺利进入政府。 尤其值得注意的是司法系统。 美国联邦法官很多都是终身任职。 总统能不能持续向法院体系安插自己认可的法官,本身就是一项能够跨越总统任期的长期政治资产。 参议院一旦易手,这条通道会明显收窄。 同样的逻辑也适用于未来可能出现的最高法院空缺。 因此丢参议院的真正代价,在于建国塑造美国制度长期方向的能力被削弱。 政策还能执行。 人却开始难放进去。 三、两院一起丢:建国提前进入“最后两年” 如果民主党同时拿下众议院和参议院,事情就完全不同了。 这会形成非常典型的分裂政府。 建国仍然是总统。 但大型立法议程基本都需要和民主党谈判。 新的减税计划、财政政策、医保改革、移民立法以及任何需要国会授权的大规模制度改革,难度都会急剧上升。 已经成为法律的政策不会因为一次中期选举自动消失。 可那些还停留在法案、提案或者政治口号阶段的东西,政治生命会迅速缩短。 建国剩下的空间会越来越集中在几个领域: 行政命令 监管权 外交政策 贸易与关税工具 总统否决权 以及现行法律已经赋予行政部门的自由裁量权。 于是会出现一个很重要的变化。 建国仍然拥有总统的职位,却不再拥有完整的总统议程。 这就是美国政治里所谓的 lame duck——跛脚期。 很多总统到了任期最后一两年都会逐渐进入这个阶段。 建国如果在 2026 年丢掉两院,这个过程可能提前发生。 四、建国会不会因此被弹劾? 民主党拿下众议院以后,确实存在再次启动弹劾程序的制度条件。 因为弹劾由众议院发起。 但“被弹劾”和“被赶下台”,中间隔着一道极高的墙。 根据美国宪法,众议院可以通过弹劾条款。 之后案件进入参议院审判。 总统最终被定罪并罢免,需要出席参议员三分之二同意。 也就是说,即便民主党同时赢下两院,只拿到普通多数仍然远远不够。 他们需要接近 67 张参议员票。 以今天美国高度党派化的政治结构来看,这是一个极高的门槛。 所以比较合理的路径是: 民主党夺回众议院 ↓ 调查增加 ↓ 听证会、传票、文件披露增加 ↓ 如果出现足够严重的新证据 ↓ 弹劾风险上升 ↓ 真正罢免仍需要参议院三分之二支持 建国此前已经两次遭到众议院弹劾。 如果再发生一次,他将成为美国历史上第一位三次遭弹劾的总统,也是够惨的 但仅仅一次中期选举失利,本身不会结束他的总统任期 五、建国真正失去的,是共和党的时间 第二十二修正案规定,一个人不得超过两次当选美国总统。 建国已经在 2016 年和 2024 年两次当选,因此按照现行宪法,他无法在 2028 年再次通过总统选举获得第三个任期。 所以 2026 年对特朗普非常特殊。 正常情况下,一个总统输掉中期选举之后,还可以告诉自己的政党:两年以后跟着我重新赢回来。 建国没有这个选项。 他的任期终点已经写在那里。 29 年 1 月。 这意味着一旦 2026 年共和党惨败,共和党内部马上会出现一个此前可以暂时搁置的问题:2028 年以后,谁来继承建国留下的政治联盟? JD Vance、Marco Rubio以及其他共和党人物的政治计算都会随之变化。近期共和党内部已经开始出现围绕 2028 潜在人选的讨论,而建国本人目前仍把重点放在中期选举。 只要建国还能证明:跟着我,能赢选举。 他的背书、资源和政治路线就仍然具有巨大的约束力。 可如果共和党在中期选举遭遇重挫,尤其失去两院,党内很自然会开始重新计算: 建国的路线,在没有他本人参选的情况下,还能不能赢? 这个问题一旦出现,权力转移就已经开始。 总统仍然是建国。 共和党的未来,却开始向 2028 移动。 这才是中期选举真正可能带来的政治下场。 六、所以两院全丢,才是真正意义上的惨败 把整个路径连起来看就很清楚。 共和党守住两院 建国继续拥有总统 + 众议院 + 参议院的完整政治组合。 2027 年仍然有较强的立法能力。 ↓ 丢掉众议院 大型立法开始困难。 国会调查大量增加。 建国进入政治防守。 ↓ 丢掉参议院 重要人事和司法任命受到限制。 建国塑造美国长期制度结构的能力下降。 ↓ 两院全部失守 立法受阻 + 人事受阻 + 调查增加。 建国提前进入跛脚期。 共和党开始全面讨论 2028。 这时候建国失去的东西已经不只是一场选举。 而是他第二任期剩余两年的政策有效期。 七、对市场来说 华尔街真正害怕的往往不是某个党赢。 资金害怕的是政策突然发生巨大变化。 如果出现建国执政、民主党控制国会的格局,大量极端立法反而更难通过。 市场会逐渐形成一个预期:未来两年美国政策进入互相制衡。 税收很难突然大改。 大规模财政方案更难推出。 很多监管改革会停留在行政部门。 对于指数层面,这种政治僵局未必天然对应熊市。 真正需要重新定价的是那些高度依赖特朗普立法议程的资产。 税收政策 传统能源 国防 金融监管 加密监管(我的心头病,说实话建国对于加密真的很有贡献) 以及所有仍需要国会立法才能兑现的产业政策 尤其是加密。 如果某项市场结构法案已经成为法律,那么换届很难直接把它抹掉。 可如果到了中期选举之后仍停留在国会里,新的国会席位结构就可能重新定义它的谈判条件、委员会权力和通过路径。 所以站在市场角度,2026 年中期选举真正应该观察的,是建国有多少政策,需要赶在 2027 年 1 月新一届国会就职之前完成。 对于我们来说 很重要的就是清晰法案 因为一场中期选举,可以改变两院。 两院一旦改变,特朗普最后两年的时间价值,也会跟着改变。 他不会因为输掉中期选举离开白宫。 但如果共和党两院全丢,从那一天开始,华盛顿真正讨论的问题,就会悄悄从 建国接下来还要做什么 变成特朗普时代还剩多久
75
44
4
163
39,965
rollingchair retweeted
今天不发推文,我们决定开源近期自研的进攻型 Agent 工具——该工具在腾讯实测跑分中位列第三,红队/SRC/CTF三大场景; 项目地址:github.com/Yean-Sec/StrikeAg…, 跑分地址:tsecbench.zc.tencent.com/#le…
34
101
4
536
68,384
rollingchair retweeted
Detection engineers, red teamers, malware analysts, reverse engineers and blue teams: if EDR bypass, EDR blinding, BYOVD, rootkits or Ring 0 tradecraft interests you, @Idov31 has published an absurd amount of FREE Windows security research. Nidhogg: 25+ rootkit / EDR tampering capabilities, easily be integrated with your C2 framework. NovaHypervisor: VT-x + EPT defense when the kernel itself may already be compromised or abused through BYOVD. Jormungandr: Jormungandr is a kernel implementation of a COFF loader, allowing kernel developers to load and execute their COFFs in the kernel. Cronos: PoC for a new sleep obfuscation technique (based on Ekko) leveraging waitable timers to RC4 encrypt the current process and change the permissions from RW to RX to evade memory scanners. Venom: Venom is a library that meant to perform evasive communication using stolen browser socket Sandman: Sandman is a backdoor that is meant to work on hardened networks during red team engagements. MrKaplan: MrKaplan is a tool aimed to help red teamers to stay hidden by clearing evidence of execution. And the blog goes much deeper: Windows drivers, WinDbg, IRPs/IOCTLs, ObRegisterCallbacks, process/thread/image callbacks, registry callbacks, IRP + SSDT hooking, APC injection, kernel-to-user injection, AMSI bypass, ETW/ETW-TI tampering, credential access, PPL, callback removal/tampering and the primitives EDRs depend on for visibility. Then you get into PatchGuard, KVA Shadow, CR3/address-space internals, VBS, VTL0/VTL1, HVCI, VMX, VMCS, VM-exits, VMCALL, EPT, EPT hooks and the bigger question: how do you defend an endpoint when Ring 0 itself can no longer be trusted? Red teamers: study EDR bypass/blinding, kernel post-ex, BYOVD, covert execution, sleep obfuscation and unconventional C2. Detection engineers + blue teams: study exactly what telemetry, callbacks and trust boundaries attackers can manipulate. Malware analysts + reverse engineers: see what modern kernel tradecraft actually looks like under the hood. The FREE Lord Of The Ring0 series alone could keep you busy for a long time, and the individual project writeups turn the theory into actual implementations. This is a rare GitHub full of PoCs with basically a public Windows offense-vs-defense research lab. Blog: idov31.github.io/posts GitHub: github.com/idov31 Bookmark it. Clone the repos. Save the references while everything is public. #DetectionEngineering #RedTeam #MalwareAnalysis #ReverseEngineering
3
101
1
477
21,719
rollingchair retweeted
🔴 Windows SYSTEM Privilege Escalation PoC güncellendi. Güvenlik araştırmacısı daem0nc0re, Windows'ta Named Pipe Impersonation kullanarak NT AUTHORITY\SYSTEM yetkisine yükselmeyi gösteren PoC'sini güncelledi. Yeni eklenen yöntemde ('-m 2'), Named Pipe istemci bağlantısı Windows Task Scheduler üzerinden kuruluyor. PoC başarılı olduğunda sıradan kullanıcı bağlamından SYSTEM yetkili PowerShell'e geçiş gerçekleştirilebiliyor. Teknik, SeImpersonatePrivilege üzerinden Named Pipe impersonation mantığına dayanıyor ve Potato ailesi gibi Windows privilege-escalation teknikleriyle benzer bir konsept kullanıyor. ⚠️ Bu yeni bir CVE değil; güvenlik araştırması, red team ve savunma/t detection geliştirme amacıyla yayınlanan bir PoC güncellemesi. PoC: github.com/daem0nc0re/PrivFu…
22
86
4,365
rollingchair retweeted
Found a built-in Windows driver that gives you arbitrary kernel memory read/write from local admin. No BYOVD required. My PoC elevates the current process to SYSTEM and neuters any target process token in-place (privileges, integrity, groups) via DKOM.
11
47
418
18,842
rollingchair retweeted
【EDR回避・リバースエンジニアリング】研究者、SentinelOneのローカル検知ロジックを学部生レベルのツールで丸裸に、静的XORキー1個で全設定を解読 セキュリティ研究者nullze氏は、SentinelOne Agent 26.1.2.177(Windows版)をGhidraと数十行のPythonのみでオフライン解析し、ゼロデイや特殊な手法を一切使わずローカルの検知ポリシー・ルール・機械学習モデル・信頼リストを平文で抽出できたと報告した。Policy.jsonやDriverRules.jsonなど全設定ファイルは、全ファイル共通のわずか11バイト静的XORキーで暗号化されており、tarアーカイブのnullパディング部分を利用した既知平文攻撃で鍵を即座に割り出せた。ルール本体(Luaスクリプト307件)もRC4暗号化されているが、復号鍵は製品自身のlunar_loader.lua内にそのまま同梱されていた。 さらに深刻なのは、「機械学習」と称する挙動検知モデル(primaryBehavioralModel.bin)が、実質65条件の単純な決定木であり、使用される特徴量はわずか5種のみ、しかも先頭43条件が単一の特徴量(プロセス間メモリアクセスと推定)のみを判定する構造だったことである。この特徴量がしきい値未満なら残り全条件を無視して「クリーン」判定を返す。加えて信頼リスト(Matchers.lua)には、Cymulate等27種の攻撃シミュレータ、28種のセキュリティベンダー、Microsoft全体への包括的除外設定、WinPMEMなど8種のフォレンジックドライバなど、検知除外対象が具体的な製品名・パス付きで平文列挙されていた。 著者は、EDRの前提である「エンドポイントが攻撃者の手に渡る」状況を踏まえれば、検知ロジックの機密性はローカルでも維持されるべきだと指摘し、製品側にキー管理の抜本的見直しと、単一特徴量がモデル全体の判定を左右する設計の是正を求めている。クラウド側の相関分析やSOC監視までは対象外の限定的な検証である点も明記されている。 blog.nullze.net/posts/peelin…
1
70
3
291
14,989
不会戒色的人一辈子都是废物!
1
1
304