The Windows DNS Server management protocol, which is based on RPC, allows DnsAdmins and higher privileged Users to load arbitary dlls as plugins into the DNS service via DnssrvOperation2. Here's how to monitor for that event.

Mimikatz is extensively using OpenProcess to access credentials and patch processes. This event can be monitored with sysmon (EventID 10). Here's a list of GrantedAccess values you can monitor.

A technical deep dive on the inner workings of mimikatz's features lsadump::lsa /patch and lsadump::lsa /inject

Der Authentifizierungsdienst Kerberos ist ein komplexes Ungeheuer - was es besonders spannend macht mit ihm zu spielen. Ein Windows Active Directory bietet sich als Spielplatz besonders an, vor allem wenn alle Jubeljahre ein Goldstück wie MS14-068 gefunden wird. :) Besonders schön sind auch Angriffsvektoren wie AS-REP- und TGS-REP-Kerberoasting von User-Principals, weil sie …

Einer der cooleren Talks auf dem 33C3 war Predicting, Decrypting, and Abusing WPA2/802.11 Group Keys von Mathy Vanhoef. Hauptpunkt des Talks ist die mögliche Berechenbarkeit von in WPA2/802.11 genutzten Schlüsseln, speziell den so genannten GMK (Group Master Key). Vom GMK abgeleitete Schlüssel werden in 802.11-Netzen …

TLS(SSH()) und TLS(HTTP()) - beides über denselben Port? Mit HAProxy kein Problem.

Die Lösung des 2. Levels der aktuellen Reverse Engineering Challenge des BND. Spoileralert! :)