🟨آسیب‌پذیری بحرانی در تجهیزات صنعتی زیمنس با امتیاز ۱۰ !
⏺مهاجمان در حال سوءاستفاده از یک آسیب‌پذیری بسیار خطرناک با قابلیت RCE در تجهیزات صنعتی Siemens SIMATIC IoT2050 Advanced هستند!
⏺محصول Industrial IoT Gateway ساخت زیمنس برای اتصال تجهیزات و سامانه‌های اتوماسیون صنعتی به شبکه‌های IT، سامانه‌های مانیتورینگ و پلتفرم‌های IIoT و Cloud استفاده می‌شود. این دستگاه مبتنی بر Linux است و می‌تواند اطلاعات تجهیزات صنعتی مانند PLCها و سنسورها را جمع‌آوری، پردازش و به سامانه‌های بالادستی منتقل کند. همچنین از ابزارهایی مانند Node-RED برای طراحی جریان‌های تبادل و پردازش داده استفاده می‌کند.
⏺به همین دلیل، این تجهیزات ممکن است در نقطه اتصال میان شبکه‌های OT و IT قرار بگیرند و نفوذ به آن‌ها، بسته به معماری شبکه، پیامدهای امنیتی مهمی داشته باشد.
⚠️ جزئیات آسیب‌پذیری
⏺این آسیب‌پذیری با شناسه CVE-2026-58115 و امتیاز بحرانی CVSS 10.0 شناسایی شده و محققان امنیتی VulnCheck در ۳۰ اکتبر ۲۰۲۶ تلاش‌های واقعی برای بهره‌برداری از آن را ثبت کرده‌اند.
⏺مشکل به رابط HTTP نرم‌افزار Node-RED روی تجهیزات آسیب‌پذیر برمی‌گردد. مهاجم می‌تواند بدون داشتن نام کاربری یا رمز عبور، یک Flow مخرب ایجاد کند و از طریق آن دستورات سیستم‌عامل را با بالاترین سطح دسترسی اجرا کند.
⏺در حملات مشاهده‌شده، مهاجمان پس از ایجاد Flow مخرب، بدافزارهای لینوکسی را از سرورهای تحت کنترل خود دریافت و اجرا کرده‌اند.
⏺در برخی حملات نیز به‌جای نصب مستقیم بدافزار، یک مسیر HTTP مخفی مانند /cmd ایجاد شده است تا مهاجم بتواند در آینده دستورات دلخواه خود را از راه دور اجرا کند. چنین Backdoorهایی می‌توانند حتی پس از راه‌اندازی مجدد دستگاه نیز باقی بمانند.
⏺نفوذ به یک Industrial IoT Gateway می‌تواند بسته به معماری و سطح دسترسی دستگاه، امکان دسترسی غیرمجاز به داده‌های صنعتی، دستکاری جریان اطلاعات و حتی حرکت جانبی مهاجم در شبکه OT را فراهم کند.

📱 @PingChannel
خبر، تحلیل، انتقاد - فناوری اطلاعات
🅰️🅰️🅰️🅰️

❔نقدی بر بخشنامه اخیر بانک مرکزی. آیا حضور متخصص فناوری اطلاعات در هیئت‌مدیره بانک‌ها، امنیت سایبری آن‌ها را افزایش می‌دهد؟
📤بانک مرکزی اخیراً توصیه کرده است که حداقل یکی از اعضای هیئت‌مدیره مؤسسات اعتباری دارای دانش و تجربه کافی در حوزه فناوری اطلاعات باشد؛ توصیه‌ای که اگرچه در ظاهر مثبت است، اما از منظر امنیت سایبری جای تأمل دارد.
📤بر اساس تجربیاتم در ارزیابی امنیت سایبری سازمان‌ها، بخش قابل‌توجهی از ضعف‌ها و آسیب‌پذیری‌های امنیتی که با آن‌ها مواجه شده‌ام، اتفاقاً ناشی از سهل‌انگاری یا بی‌توجهی به الزامات امنیتی در فرایند طراحی، توسعه و پیاده‌سازی سامانه‌های نرم‌افزاری توسط تیم های نرم افزاری و متخصصان IT بوده است.
📤با احترام به متخصصان ارزشمند حوزه فناوری اطلاعات و توسعه‌دهندگان نرم‌افزار، واقعیت این است که بسیاری از فعالان این حوزه، تخصص عمیقی در امنیت سایبری ندارند. تمرکز اصلی آن‌ها غالباً بر تولید محصول، توسعه قابلیت‌ها، عملکرد سامانه و تحویل پروژه است و متأسفانه امنیت در بسیاری از موارد به اولویتی ثانویه تبدیل می‌شود. و چقدر اندکند مدیران نرم افزاری که مسلط به موضوعات امنیت سایبری کلان باشند.
📤بنابراین، صرف حضور یک متخصص IT در هیئت‌مدیره بانک، لزوماً به معنای تقویت امنیت سایبری آن بانک نیست. دانش فناوری اطلاعات و تخصص امنیت سایبری، هرچند مرتبط، دو حوزه متفاوت‌اند.
📤 چارچوب NIST CSF 2.0 و به‌ویژه کارکرد Govern تکلیف این موضوع را به خوبی روشن کرده است. در این چارچوب، امنیت سایبری مسئولیتی در سطح مدیریت عالی سازمان تعریف شده است. مطابق با کنترل GV.RR-01، مدیریت ارشد در قبال ریسک‌های سایبری مسئول و پاسخگوست. همچنین رده GV.OV بر نظارت مستمر بر عملکرد مدیریت ریسک سایبری تأکید دارد. از این منظر، انتظار می‌رود بانک مرکزی به‌جای تمرکز صرف بر حضور یک متخصص فناوری اطلاعات، بر استقرار ساختار حکمرانی امنیت سایبری، تعیین مسئولیت‌های مشخص، نظارت مستقل بر ریسک‌ها و پاسخگویی هیئت‌مدیره تأکید کند.
📤امنیت سایبری صرفاً با دانش IT محقق نمی‌شود؛ بلکه نیازمند درک تخصصی ریسک‌های سایبری، فرهنگ امنیت، حکمرانی مؤثر و پاسخگویی مدیران ارشد است.
👍حضور یک متخصص IT در هیئت‌مدیره می‌تواند ارزشمند باشد، اما آنچه امنیت بانک را ارتقا می‌دهد، نه عنوان تخصصی یک عضو، بلکه کیفیت تصمیم‌گیری و نظام حکمرانی امنیت سایبری در کل بانک است.

📱 @PingChannel
خبر، تحلیل، انتقاد - فناوری اطلاعات
🅰️🅰️🅰️🅰️

👁‍🗨 آمریکا دستور حذف نرم‌افزارهای Acronis را صادر کرد؛ وقتی ابزارهای پشتیبان‌گیری خودشان یک تهدید امنیتی می شوند!
🟫 در اتفاقی کم‌سابقه وزارت امنیت داخلی آمریکا دستور داده نرم افزار سوئیسی Acronis، یکی از ابزارهای نام آشنای صنعت Backup، از سامانه‌های دولت فدرال Uninstall شود.
🟫طبق دستور منتشرشده، سازمان‌های مشمول باید خرید محصولات Acronis را متوقف کنند و حداکثر تا ۲۷ ژانویه ۲۰۲۷ آنها را از زیرساخت‌های خود کنار بگذارند.
🟫بر اساس گزارش Nextgov، نهادهای امنیتی آمریکا سال‌هاست درباره ارتباطات تاریخی Acronis با روسیه و احتمال تأثیرگذاری عوامل خارجی بر زنجیره تأمین و توسعه نرم‌افزارهای این شرکت تحقیق می‌کنند.
🟫محصولات Backup و امنیتی Acronis به دلیل برخورداری از دسترسی‌های سطح بالا مانند Administrator و Root، می‌توانند ریسک قابل‌توجهی برای سامانه‌های دولتی ایجاد کنند. تصور کنید نرم‌افزاری که برای حفاظت از اطلاعات نصب کرده‌اید، به هزاران فایل، سرور، نسخه پشتیبان و اطلاعات حساس دسترسی ممتاز دارد. اگر زنجیره تأمین چنین محصولی به خطر بیفتد، مهاجم ممکن است به جای نفوذ به تک‌تک سیستم‌ها، از مسیر همان ابزار حفاظتی وارد شود!
◀️واکنش Acronis
🟫این شرکت اعلام کرده که از سال ۲۰۲۵، سرمایه‌گذاران غربی کنترل عمده سهام آن را در اختیار گرفته‌اند و دستور جدید صرفاً سازمان‌های فدرال آمریکا را هدف قرار می‌دهد؛ نه مشتریان عادی و بخش خصوصی.

#Acronis #CyberSecurity #Backup #SupplyChainSecurity #RiskManagement

📱 @PingChannel
خبر، تحلیل، انتقاد - فناوری اطلاعات
🅰️🅰️🅰️🅰️

🎥 صداگذاری روی ویدئو با هوش مصنوعی!
⭕️هوش مصنوعی می‌تواند با تحلیل صحنه‌ها، صداهای متناسب با اتفاقات ویدیو را تولید کند؛ بدون اینکه مجبور باشید ساعت‌ها دنبال افکت صوتی بگردید!
🎥 با Luma Dream Machine آشنا شوید!
⭕️ابزاری از شرکت Luma AI که با قابلیت Video-to-Audio می‌تواند به ویدیوهای تولیدشده با هوش مصنوعی، صداهای متناسب اضافه کند.
🎥 چه کارهایی انجام می‌دهد؟
✅ تولید افکت‌های صوتی متناسب با صحنه؛ از صدای باران و رعدوبرق گرفته تا موتور خودرو، انفجار و صدای حیوانات.
✅ ساخت موسیقی پس‌زمینه متناسب با فضای ویدیو.
✅ تولید گفتار و نریشن با صداهای مصنوعی طبیعی.
✅ هماهنگ‌سازی حرکت لب شخصیت‌ها با گفتار (Lip Sync).
✅امکان توصیف صدای دلخواه با یک دستور متنی (Prompt).

⭕️برای صداگذاری یک ویدیوی تولیدشده در Dream Machine، کافی است گزینه Audio را انتخاب کنید. هوش مصنوعی می‌تواند خودش صدای متناسب با تصاویر را پیشنهاد و تولید کند؛ یا شما دقیقاً توضیح دهید چه صدایی می‌خواهید.
مثلاً یک ویدیوی بی‌صدای سقوط هواپیما را تصور کنید؛ هوش مصنوعی می‌تواند صدای موتور، وزش باد، هشدارها و برخورد را برای آن بسازد. این فناوری برای تولید محتوای تبلیغاتی، انیمیشن، آموزش و شبیه‌سازی سناریوها بسیار مفید است.
🎥 امتحان کنید:
https://lumalabs.ai/dream-machine
#هوش_مصنوعی #LumaAI #DreamMachine #VideoToAudio #AI #تولید_محتوا

📱 @PingChannel
خبر، تحلیل، انتقاد - فناوری اطلاعات
🅰️🅰️🅰️🅰️

🟢 پلتفرم ARES؛ وقتی هوش مصنوعی نقش یک تیم هکری را بازی می‌کند!
◀️ابزار جدیدی برای اجرای خودکار ۶۶ سناریوی حمله سایبری به Active Directory و زیرساخت‌های ابری معرفی شد.
پروژه متن‌باز ARES که به‌تازگی مورد توجه جامعه امنیت سایبری قرار گرفته، تلاش می‌کند با ترکیب هوش مصنوعی و تکنیک‌های واقعی نفوذ، فرآیند Red Teaming را هوشمندتر و خودکارتر کند.
◀️تصور کنید به یک ابزار بگویید: «فلان Domain رو بررسی کن و ببین آیا میتونی به عنوان یک مهاجم به سطح دسترسی Domain Admin برسی؟»
◀️پلتفرم ARES تلاش می‌کند مسیرهای احتمالی نفوذ را شناسایی کرده، زنجیره‌ای از حملات را برنامه‌ریزی کند و در محدوده مجاز، امکان اجرای آن‌ها را بررسی کند.
🟢 قابلیت‌های مهم ARES:
📌 برخورداری از ۶۶ ماژول فعال برای آزمون‌های تهاجمی امنیتی
📌 پوشش بیش از ۶۰ تکنیک از چارچوب MITRE ATT&CK
📌تحلیل مسیرهای نفوذ به Active Directory با استفاده از داده‌های BloodHound
📌بررسی سناریوهای افزایش سطح دسترسی و حرکت جانبی (Lateral Movement)
📌پشتیبانی اختیاری از مدل‌های هوش مصنوعی OpenAI، Claude و مدل‌های محلی از طریق Ollama
📌ارزیابی امنیت زیرساخت‌های ابری و تولید گزارش‌های فنی از نتایج آزمون‌ها
◀️اسکنرهای متداول آسیب‌پذیری معمولاً به شما می‌گویند چه ضعف‌هایی در شبکه وجود دارد؛ اما ARES تلاش می‌کند نشان دهد مهاجم چگونه می‌تواند از ترکیب چند ضعف امنیتی برای رسیدن به یک هدف حساس استفاده کند. این پلتفرم امکان بهره‌برداری از آسیب پذیریها را در قالب یک زنجیره حمله بررسی می‌کند.

◀️ کد منبع و جزئیات پروژه:
https://github.com/Mafifrizi/ARES
#CyberSecurity #ArtificialIntelligence #RedTeam #ActiveDirectory #MITRE_ATTACK #PenetrationTesting

📱 @PingChannel
خبر، تحلیل، انتقاد - فناوری اطلاعات
🅰️🅰️🅰️🅰️

🟡🟡رد شایعهٔ حملهٔ سایبری به شبکهٔ برق پایتخت
⚫️درپی انتشار خبری مبنی‌بر آغاز حملات سایبری به شبکهٔ برق تهران، سخنگوی صنعت برق اعلام کرد: هیچ‌گونه حمله‌ای به شبکهٔ برق صورت نگرفته و این شبکه در امنیت کامل قرار دارد./فارس

📱 @PingChannel
خبر، تحلیل، انتقاد - فناوری اطلاعات
🅰️🅰️🅰️🅰️