1292
APT / Exploit / Malware / ICS / OT / Vulnerability Analysis
چرخه واکنش به حوادث، در مورد باج افزارها.
@PfkSecurity
👨💻 هنر Post-Exploitation
• Steps;
• Perspective;
• Command and Control (C2) Techniques;
• Persistence Techniques;
• Credential Access Techniques;
• Privilege Escalation Techniques;
• Lateral Movement Techniques;
• Stories:
➡RedJuliett APT;
➡UNC3886 VMware Attacks;
➡Mustang Panda’s Korplug Loader;
➡MuddyWater RMM Abuse;
➡POLONIUM’s Python Backdoor;
➡Credential Access Techniques;
➡Exfiltration Techniques;
➡Evasion Techniques;
➡Security Researcher.
@PfkSecurity
حمله Sim Swap
https://covertaccessteam.substack.com/p/podcast-with-dmitry-kurbatov
@PfkSecurity
⭕ TryHackBox | Top 5
📌 حملات AI و LLM
01 prompt injection
تزریق prompt: دستورالعمل های مخفی را طوری نشان میدهد که مدل ورودی شما را اجرا کند. مدل نمی تواند تشخیص دهد فرمان های شما با دستورهای توسعه دهنده یکی است یا نه.
02 jailbreaking
ا ◾: Jailbreaking: مدل را طوری وادار می کند از «قوانین خودش» خارج شود و نقش را خلاف محدودیت‌ها اجرا کند.
03 token smuggling
ا◾ : Token smuggling: کلمات/عبارات مسدودشده را با ترفند از فیلتر رد می‌کند.
04 data extraction
استخراج داده: داده‌های خصوصی آموزشی را دوباره بیرون می کشد.
05 prompt leaking
ا ◾: Prompt leaking: مدل را فریب می دهد تا دستورالعمل های مخفی خود را افشا کند.
ExpandURL
این سرویس به شما امکان میدهد تا لینک های کوتاه شده را به صورت امن باز کنید، بدون اینکه مستقیماً به آنها مراجعه کنید. این سرویس به شما اجازه میدهد تا آدرس نهایی و محتوای صفحه را مشاهده کنید، بدون اینکه آدرس IP خود را فاش کنید و یا خطر آلوده شدن دستگاه خود را به جان بخرید. این سرویس تمام مراحل تغییر مسیر (ریدایرکت) و ردیابها را نمایش میدهد. همچنین، لینکها را از طریق پایگاه های داده منابع مخرب (مانند Google Safe Browsing) برای شناسایی فیشینگ بررسی می‌کند.
@PfkSecurity
تحلیل بدافزار : فایل‌های مخرب مایکروسافت آفیس بدون استفاده از ماکرو
در این ویدیو، به بررسی دو روش برای بارگذاری و اجرای کد مخرب در فایل‌های مایکروسافت آفیس بدون استفاده از ماکرو می‌پردازیم: افزونه‌های VSTO و قالب‌های external. در پایان، یک چک‌لیست برای تحلیل فایل های آفیس ارائه میدهم تا مشخص شود که آیا این فایل ها امن هستند یا خیر.
00:00 مقدمه
01:26 نمونه 1 - افزونه VSTO لوکال و فایل ISO
07:49 نمونه 2 - افزونه VSTO از راه دور
08:53 نمونه 3 - قالب های External
10:52 ابزار Binary Refinery برای بررسی کلی فایل‌های آفیس
16:15 چک‌لیست...
#بدافزار #تحلیل_بدافزار #مهندسی_معکوس
@PfkSecurity
❗ تخفیف ویژه ❗
📚 کتابچه "Mimikatz: تسلط عملی بر تکنیک‌های پیشرفته حملات Active Directory" از مقدماتی تا پیشرفته.
📕 جزئیات بیشتر کتاب
💰 قیمت : ۲۵۰,۰۰۰ تومان
💰 تخفیف : ۱۹۰,۰۰۰ تومان
📖 وایرشارک برای ردتیمرها: از پایه تا پیشرفته
📕 جزئیات بیشتر کتاب
💰 قیمت : ۲۵۰,۰۰۰ تومان
💰 تخفیف : ۱۸۰,۰۰۰ تومان
📖 شکار عملی باگ بانتی : از Recon تا Bounty واقعی : متدولوژی و شناسایی و آسیب پذیری های دنیای واقعی
📕 جزئیات بیشتر کتاب
💰 قیمت : ۳۶۰,۰۰۰ تومان
💰تخفیف : ۲۸۰,۰۰۰ تومان
‼️ مهلت تخفیف : 3 روز
📌 جهت خرید به ایدی زیر پیام دهید:
@THBxSupport
تحلیل BIN / دستکاری ALF /
مهندسی معکوس مبتنی بر مرورگر
#مهندسی_معکوس
@PfkSecurity
بخش اول
آیا هر «باگ»ی واقعاً یک آسیب‌پذیری است؟ خیلی ها فکر میکنند بله، اما تفاوتشون می تواند سرنوشت یک سیستم را عوض کند.
«آسیب پذیری، ضعفی در یک سیستم اطلاعاتی، رویه‌های امنیتی، کنترل‌های داخلی یا پیاده‌سازی است که می تواند توسط یک منبع تهدید مورد اکسپلویت قرار بگیرد.»
آسیب‌پذیری یعنی یک نقص واقعی در طراحی یا کد که اگر اکسپلویت شود، سیستم کاری را انجام می دهد که توسعه‌دهنده هرگز قصدش را نداشته.
محرمانگی (Confidentiality) : مهاجم به داده‌هایی دسترسی پیدا می کند که نباید.
یکپارچگی (Integrity) : مهاجم می تواند داده‌ها را تغییر دهد.
دسترسی پذیری Availability : مهاجم می تواند سیستم را از کار بیندازد یا مختل کند.
اگر یک آسیب پذیری به مهاجم اجازه بدهد فایل های دلخواه روی سرور بنویسد، عمدتاً روی Integrity تأثیر می گذارد. این جزئیات وقتی می خواهی گزارش vulnerability disclosure بنویسی، خیلی کمک کننده است.
همه آسیب‌پذیری ها bug هستند، اما همه bugها آسیب پذیری نیستند.
اگر یک باگ در firmware روتر باعث شود روز هفته اشتباه نمایش داده شود، ولی هیچ راهی برای exploitable امنیتی از بیرون وجود نداشته باشد، فقط یک bug معمولی است، نه vulnerability. چون از هیچ security boundary عبور نمی‌کند و تهدید واقعی ایجاد نمی کند.
https://github.com/28Zaaky/khaos-c2
khaos-c2
یک فریم ورک مدرن C2 است که ترافیک عامل را از طریق سرویس های ابری که قبلاً توسط شبکه‌های سازمانی مورد اعتماد قرار گرفته‌اند، مسیریابی می‌کند.
@pfksecurity
آزمایشگاه تحلیل بدافزار Stuxnet با dynamic workflows (static) و پویا (dynamic)، قابلیت‌های تشخیص YARA/Sigma، و مستندات مبتنی بر ایمنی
https://github.com/allsmog/mlw-lab
@pfksecurity
درود خدمت دوستان گرامی بنده اینجا روی حملات اکتیو دایرکتوری و مباحث ردتیم تمرکز خواهم کرد و سناریوها و معرفی و اطلاعات جامع در مورد پروتکل ها و موارد دیگر که تجربه بنده هست رو در اختیار شما عزیزان قرار میدهم .
@KavehOffSec
دوستانی که شرکت خصوصی دارند : اگر نیاز به کارآموز و جونیور در حوزه های امنیت سایبری و شبکه شامل CTI، OSINT، NOC/SOC (SIEM)، Hardening Audit حریم خصوصی و DevSecOps دارید با این آیدی در تماس باشید :
https://github.com/mehrazino
@mehrazeno
ASM Visualizer
https://asm.diveintosystems.org/
@PfkSecurity
ida utilities / plugins / scripts
https://github.com/daaximus/ida-reach/
@pfksecurity
🔥 تکنیک های Anti-Reverse Engineering در یک باینری لینوکسی
در این مقاله یک تحلیل جذاب از باینری «Trouble» انجام شده؛ نمونه‌ای که با تکنیک هایی مثل دستکاری ELF Header، سگمنت های جعلی، کدهای رمزنگاری‌شده، XOR Obfuscation و RC4 تلاش می کند فرآیند Reverse Engineering را سخت کند.
در این تحلیل یاد می‌گیریم چطور یک Reverse Engineer با اصلاح ساختار باینری، بازسازی سگمنت‌ها و تحلیل لایه‌های رمزگشایی، به منطق اصلی برنامه و پسورد نهایی برسد.
یک تمرین عالی برای کسانی که به Malware Analysis، Reverse Engineering و CTF علاقه دارند.
📌 مقاله
@pfkSecurity
#مهندسی_معکوس #بدافزار #آنالیز_بدافزار
تحقیقات StopLamers: از جنگهای IRC تا آسیب‌پذیری های مخفی در اندروید
https://datapeice.me/blog/stop-lamers-threat-intel-report/
#بدافزار #تحلیل #اندروید #امنیت #اوسینت #تحقیق
@PfkSecurity
📌 دوره: راهنمای جامع ابزار Mimikatz
💢 توضیحات دوره: Mimikatz بدون شک یکی از مهم ترین و موثرترین ابزارهایی است که در دنیای امنیت سایبری و عملیات تیم قرمز مورد استفاده قرار می گیرد.این ابزار توسط برنامه نویس فرانسوی Benjamin Delpy ایجاد شد.او در ابتدا Mimikatz را برای یادگیری عمیق تر زبان C و درک بهتر مکانیزم های امنیتی ویندوز توسعه داد.
این ابزار با بهره برداری هوشمند از ضعف های موجود در معماری ویندوز،مجموعه‌ای از حملات مهم و پرکاربرد را به صورت یکپارچه و آماده ارائه می دهد. Mimikatz کار را برای متخصصان بسیار آسان تر کرده است؛به شکلی که بدون نیاز به دانش بسیار تخصصی از ساختارهای داخلی،می توان از آن برای گسترش دسترسی در شبکه های مبتنی بر ویندوز استفاده کرد.این ابزار همچنان فعالانه به روزرسانی می‌شود و تکنیک های جدید به آن اضافه می گردد.
📌 توضیحات کامل
◽مدرس : مهندس سجاد تیموری
◽مدت زمان دوره : ۵ ساعت ۲۰ دقیقه
◻ دوره : آفلاین
⭕ دوره دارای گروه پشتیبانی می باشد.
💰 قیمت : ۲,۰۰۰,۰۰۰ تومان
💰 با تخفیف ویژه : ۱,۲۵۰,۰۰۰ تومان
📌 جهت خرید،به ایدی زیر پیام دهید:
@ThbxSupport
Group
@TryHackBox
onion.run
یک پروکسی برای دسترسی به وب‌سایت های دارک نت است که امکان دسترسی به سرویس‌های پنهان Tor را از طریق مرورگر معمولی فراهم می کند.
این سرویس در مرورگرهای Chrome، Firefox، Safari و سایر مرورگرها کار می کند. از بیش از 100 نسخه مختلف مرورگر پشتیبانی می‌کند.
نصب و پیکربندی لازم ندارد کافی است پسوند .run را به هر آدرس .onion اضافه کنید و به طور ایمن به وب‌سایت ها دسترسی پیدا کنید.
@Pfksecuritu
چرا باید در برابر تحریف تاریخ ایستاد ؟
چندی پیش رجب طیب اردوغان گفت ما میراث‌داران ابن‌سینا و لقمان حکیم هستیم پیش‌تر نیز در برخی رسانه‌ها تلاش شده بود فارابی بیرونی و مولانا را شخصیت‌هایی ترک معرفی کنند حتی در یک دانشگاه آنکارا مجسمه ای از ابو علی سینا نصب بود همراه با متنی با این مضمون حکیم ترک زبان سریال هم برای ابو علی سینا ساخته شده تازه مصر هم از شخصیت حسن صباح سریالی بسیار پر فروش ساخت و او را تا جایی که توانست مصادره کرد
ما می‌دانیم این روایت‌ها نادرست است اما تکرار یک دروغ می‌تواند آن را در ذهن جهان عادی سازی کند با همین روش تاریخ ایران آرام‌آرام با شناسنامه‌ای جدید به نام دیگر کشورها ثبت می‌شود وقتی ما فیلمی برای حسن صباح نسازیم مصر خواهد ساخت وقتی ما ابو علی سینا را حفظ نکنم ترکیه خواهد کرد
اگر امروز در برابر تحریف تاریخ سکوت کنیم فردا افغانستان مولانا از آن خود خواهد کرد آذربایجان نظامی گنجوی را و دیگر مفاخر تمدنی ایران یکی پس از دیگری مصادره خواهند شد این روند سال‌هاست آغاز شده و هر روز گسترده‌تر می‌شود
#تاریخ
@PfkSecurity
👩💻 تولیدکننده خط فرمان Bash.
• یک ابزار بسیار کاربردی که به شما امکان میدهد خط فرمان (prompt) برای استفاده در Bash را پیکربندی کنید. پارامترها را انتخاب کرده، آنها را به ترتیب مورد نظر خود قرار دهید و سپس پیکربندی نهایی را کپی کنید.
https://bash-prompt-generator.org/
@PfkSecurity
بخش دوم :
خیلی از CVEها در نهایت vulnerability واقعی نیستند. فقط bug معمولی اند که اشتباه گزارش شده‌اند و وقت همه را تلف میکنند.
گزارش دهی نادرست آسیب پذیری ها
اشتباه گرفتن مکرر بین bugs و vulnerabilities می‌تواند منجر به گزارش دهی نادرست آسیب پذیری‌ها شود. برای مثال، هم پروژهٔ curl و هم پروژهٔ Postgres گزارش های آسیب‌پذیری هایی را رد کرده‌اند که در واقع bug بودند، نه vulnerability واقعی.
مثال اول: CVE-2020-19909 در curl
یکی از موارد بحث‌برانگیز، CVE-2020-19909 است. توصیف اولیهٔ آن به این شکل بود:
آسیب‌پذیری integer overflow در فایل tool_operate.c در نسخهٔ curl 7.65.2 به دلیل پذیرش یک مقدار بسیار بزرگ به عنوان retry delay.در نهایت، رکورد CVE اصلاح‌شده به این شکل به‌روزرسانی شد:
ا Daniel Stenberg (توسعه‌دهندهٔ اصلی curl) در پست وبلاگی با عنوان «CVE-2020-19909 is everything that is wrong with CVEs» توضیح می دهد که این integer overflow در گزینهٔ خط فرمان --retry-delay رخ میدهد. این گزینه تعیین می‌کند curl قبل از retry کردن یک درخواست ناموفق، چند ثانیه منتظر بماند.
اگر کاربر در یک سیستم ۶۴ بیتی عددی مانند 18446744073709552 وارد کند، به دلیل overflow، curl آن را به صورت عدد 384 تفسیر می کند.
این سناریو یک weakness ناشی از integer overflow را برآورده می کند و حتی ممکن است در برخی شرایط exploitable به نظر برسد (مثلاً اگر سیستمی ورودی کاربر را به curl پاس دهد تا درخواست های سمت سرور انجام دهد). اما واقعیت این است که این مسئله از هیچ security boundary مهمی عبور نمی‌کند. حتی اگر مهاجمی بتواند از آن اکسپلویت کند و باعث شود curl درخواست های ناموفق را زودتر از حد انتظار retry کند، به سختی می‌توان آن را یک مسئلهٔ امنیتی واقعی دانست.
توجه: بسیاری از طرف ها گزارش میکنند که این موضوع اثر امنیتی مستقیمی روی کاربر curl ندارد؛ با این حال، ممکن است باعث denial of service برای سیستم ها یا شبکه های مرتبط شود، اگر مثلاً --retry-delay به عنوان مقداری بسیار کوچک‌تر از مقدار مورد نظر تفسیر شود.مثال دوم: CVE-2020-21469 در Postgres
این سناریو بسیار بعید است، زیرا overflow فقط زمانی رخ می دهد که کاربر عمداً بخواهد curl صدها روز (یا حتی بیشتر) قبل از retry کردن یک خطای موقتی منتظر بماند.
علاوه بر این، در استفادهٔ عادی توسط کاربر محلی، این مسئله اصلاً از security boundary عبور نمی‌کند؛ چون کاربر در هر صورت کنترل کامل روی --retry-delay دارد.
در PostgreSQL 12.2 مشکلی کشف شده که به مهاجمان اجازه می دهد با ارسال مکرر سیگنال SIGHUP باعث denial of service شوند.جمع‌بندی:
توسعه‌دهندگان Postgres در پاسخی با عنوان «CVE-2020-21469 is not a security vulnerability» تأکید کردند که اکسپلویت از این مسئله نیازمند دسترسی سطح بالا است، مانند:
داشتن دسترسی PostgreSQL superuser (کاربر postgres)
داشتن مجوز اجرای pg_reload_conf از طرف superuser
دسترسی به یک کاربر privileged در سطح سیستم‌عامل
با این سطح دسترسی، مهاجم به راحتی و بدون نیاز به هیچ exploit خاصی می‌تواند دیتابیس را متوقف کند (یا کارهای بسیار مخرب تری انجام دهد). بنابراین، مطرح کردن آن به عنوان vulnerability معنادار نیست.
همه vulnerabilityها bug هستند، اما همه bugها vulnerability نیستند. قبل از گزارش CVE، حتماً بررسی کنید آیا واقعاً از security boundary عبور می‌کند یا خیر.این تفاوت ها را در ذهن داشته باشید تا وقتتان را صرف مسائل بی اهمیت نکنید.
بخش صفرم - چگونه تحقیق آسیب پذیری (Vulnerability Research) به یک مهارت افسانه‌ای تبدیل شد؟
زمانی شکار zero-dayها فقط کار دولت ها و چند پژوهشگر مستقل بود.
اما امروز به یک بازار عظیم و پررقابت تبدیل شده. هر روز تعداد آسیب‌پذیری های 0Day کشف‌شده و مورد exploit قرار میگیرد و vulnerability research حالا یکی از کلیدی ترین مهارت ها در امنیت سایبری است.
برای تازه وارد ها در offensive security، این کار تقریباً جادویی به نظر می رسد.
فراتر از تست نفوذ معمولی (black-box) یا هک وب، وارد عمق memory corruption، assembly code و dynamic instrumentation می شوی.
مشکل اصلی؟ بیشتر writeupها فقط می‌گویند «این آسیب‌پذیری چی بود»، اما چگونه کشفش کردند را توضیح نمی‌دهند.
تحقیق آسیب‌پذیری حوزه بسیار وسیعی است؛ هم سخت‌افزار را شامل می شود و هم نرم‌افزار. به همین دلیل روش پیدا کردن هر آسیب‌پذیری کاملاً متفاوت است.
نکته طلایی: قبل از انتخاب هر تکنیک خاص، باید استراتژی کلی داشته باشی.
در اینجا با دنیای vulnerability research آشنا می‌شوی:
• اصول حرفه‌ای گزارش دهی آسیب‌پذیری ها
• ا vulnerability research دقیقاً چیست و چه چیزی نیست
• سه حوزه اصلی: Code Review، Reverse Engineering و Fuzzing
همچنین یاد می گیری با معیارهای ساده، هدف های جذاب و ارزشمند برای تحقیق خودت پیدا کنی.
چون تا وقتی ندونی دقیقاً دنبال چه چیزی بگردی، کشف یک آسیب پذیری واقعی تقریباً غیرممکن است.
جمع‌بندی:
تحقیق اسیب پذیری Vulnerability Research فقط دانش فنی نیست؛ یک ذهنیت است: ذهنیت «یادگیری چگونگی یادگیری».
🔥 به خشنودی اهورامزدا 🔥
ای مردم! این است آن دو فرمان آموخته مزدا: خوشی و ناخوشی. رنج و زیان دیرپای فریفتگان دروج را و رستگاری رهروان را اَشَه راست. بی گمان در پرتو این آموزش به رستگاری و بهروزی خواهید رسید.
در آموزه‌های اشو زرتشت همانگونه که گفته شده و آشکار است، جهان در بُعد فلسفی تحت تاثیر نیروهای نیکی و نیروهای شرّ است. اشو زرتشت در این بند، کلیات مربوط به اثرگذاری این دو نیرو در زیست فردی و جوامع گوشزد کرده است. جامعه و وضعیت آن، به افراد و وضعیت آنان وابسته است، و از آنجا که افراد در گزینش راه نیک و بد مختار هستند، در نتیجه گرایش جامعه‌ای به سوی خوشبختی و یا ناخوشی، رابطه مستقیمی با گرایش افراد خواهد داشت. در یک جامعه آرمانی که مد نظر ماست، دین زرتشتی به عنوان ایدئولوژی پاک و ناظر بر جامعه در چهارچوب منطق و علم خواهد بود، تا جایی که دروج و بدی به حد ناتوانی و سستی برسد. همانگونه که در یسنه هات ۸ اوستا، بندهای ۶ و ۷ نیز داریم :
• کامروا باد اَشَه، ناکام باد دروج؛ سپری شده، برانداخته، زدوده، برده و ناکام باد دروج در آفرینش سپندمینو.
• اینک من (زرتشت) سران خانمانها و روستاها و شهرها و کشورها را برانگیزم که به دین اهورایی زرتشتی بیندیشند و سخن گویند و رفتار کنند.
همانگونه که در دین هم داریم، اینهمه گروش‌ها و روش‌های بد و سست و بی‌پایه که باعث زوال فضائل در بین مردم جهان می‌شوند حاصل بی‌فکری خود مردم نسبت به دین اهورایی و نیز رسوخ بددینی و بدآموزی های اهریمنی است که سبب شده عده ای از مردم سبک زندگی ناخوش و با محتوای دروج داشته باشند.
@PfkSecurity
https://github.com/xM0kht4r/AV-EDR-Killer
Process termination via exploitation of a vulnerable driver
@pfksecurity
پاورشل کربروس
برخی اسکریپت‌ها برای سوء استفاده از کربروس با استفاده از پاورشل.
https://github.com/MzHmO/PowershellKerberos
@PfkSecurity
زنجیره اکسپلویت 0-Click برای پیکسل ۱۰:
وقتی در بسته میشه، پنجره ای باز میشه
https://projectzero.google/2026/05/pixel-10-exploit.html
محققان زنجیره اکسپلویت جدیدی برای پیکسل ۱۰ توسعه دادن که آسیب پذیری های قبلی پیکسل ۹ را به‌روزرسانی میکنه از جمله مشکلات درایور Dolby و VPU. اکسپلویت Dolby برای پیکسل ۱۰ تطبیق داده شده ، اما لینک LPE به دلیل تفاوت های درایور سخت‌افزاری جایگزین شده که منجر به کشف آسیب پذیری بحرانی VPU شده .
@PfkSecurity
بررسی عمیق یک سیستم کشف و پاسخ الکترونیکی که توسط سازمان‌های امنیتی چین به کار گرفته شده است
https://netaskari.substack.com/p/chinas-guardian-of-secrets
@pfksecurity
DEF CON 32
رمزنگاری دیسک ATM که پول را شکست میدهد
مت برچ
با نگهداری بیش از ۴۰۰٬۰۰۰ دلار، دستگاه‌های خودپرداز همچنان هدفی برای فرصت‌طلبان هستند و در چند سال اخیر بیش از ۶۰۰٪ افزایش جرم را تجربه کرده‌اند. در این مدت، من به همراه یکی از همکارانم تحقیقات امنیتی در صنعت دستگاه‌های خودپرداز سازمانی را رهبری کردم که منجر به کشف ۶ آسیب‌پذیری روز صفر در مجموعه امنیتی Vynamic شرکت Diebold Nixdorf شد، که پرکاربردترین راه‌حل امنیتی ATM در بازار است. تنها ۱۰ دقیقه یا کمتر زمان لازم است تا یک عامل مخرب کنترل کامل هر سیستمی که VSS را اجرا می‌کند از طریق تزریق کد آفلاین و رمزگشایی سیستم‌عامل اصلی ویندوز به دست آورد. Diebold Nixdorf یکی از سه تولیدکننده بزرگ دستگاه‌های خودپرداز سازمانی در آمریکای شمالی است که حضور جهانی در بازارهای مالی، کازینو/بازی و نقطه فروش دارد. سطوح حمله مشابه...
@pfksecurity