Unk9vvN
#Maher IR vs #Cyber_Defense US بد نیست کمی اطلاعات آماری سازمان های متولی بحث امنیت دفاعی رو ببینیم و ببینیم که بازه عملکردی اونها تا کجاس، قبل از این موضوع، جالبه که بدونید 67 گواهی محصول داخلی در حوزه محصولات امنیت داده شده که در نوع خودش جالبه چرا که نماوای…
#Maher IR vs #Cyber_Defense US
پیرو پست قبلی که انتقاداتی به نحوه عملکرد مرکز ماهر بصورت علمی وارد کردیم، اینبار یک نمونه از گزارشات مرکز دفاع سایبری آمریکا رو براتون تشریح میکنیم که ایرادات وارده مستند بشه،
خب در تصور شماره یک میبینید که اول اعلام میکنه مراکز مورد حمله کجا بوده و TTPs یا Tactic, Technique, Procedure براش ناشناس بوده و خب نکاتی رو هم اعلام میکنه...، در تصویر دوم بعد از گزارش جرم شناسی که انجام شده اعلام میکنه که مراحل حمله از پلن اول تا پلن انتهایی چطور بوده و خب میبینید که در تمامی پلن ها عدد Technique رو طبق مستندات MITRE ATT&CK تشریح کرده
در تصویر سوم هم باقی پلن های TTPs رو تشریح کرده که اگر دقت بکنید دقیقا گفته شده که حمله در مراحل مختلف چه تکنیک هایی رو پیاده کرده است، اما نکته خیلی جالب داستان اینجاس که در تصویر چهارم برای رهگیری و Mitigation این حملات اعلام کرده که شاخصه های حمله یا IOCs ها در دسترس عموم قرار گرفته شده که تیم های SOC بخش های دیگه کشور میتونن باهاش حمله رو اگر به اونها خواست اتفاق بی افته رهگیری کنند.
REF
@Unk9vvN
پیرو پست قبلی که انتقاداتی به نحوه عملکرد مرکز ماهر بصورت علمی وارد کردیم، اینبار یک نمونه از گزارشات مرکز دفاع سایبری آمریکا رو براتون تشریح میکنیم که ایرادات وارده مستند بشه،
خب در تصور شماره یک میبینید که اول اعلام میکنه مراکز مورد حمله کجا بوده و TTPs یا Tactic, Technique, Procedure براش ناشناس بوده و خب نکاتی رو هم اعلام میکنه...، در تصویر دوم بعد از گزارش جرم شناسی که انجام شده اعلام میکنه که مراحل حمله از پلن اول تا پلن انتهایی چطور بوده و خب میبینید که در تمامی پلن ها عدد Technique رو طبق مستندات MITRE ATT&CK تشریح کرده
در تصویر سوم هم باقی پلن های TTPs رو تشریح کرده که اگر دقت بکنید دقیقا گفته شده که حمله در مراحل مختلف چه تکنیک هایی رو پیاده کرده است، اما نکته خیلی جالب داستان اینجاس که در تصویر چهارم برای رهگیری و Mitigation این حملات اعلام کرده که شاخصه های حمله یا IOCs ها در دسترس عموم قرار گرفته شده که تیم های SOC بخش های دیگه کشور میتونن باهاش حمله رو اگر به اونها خواست اتفاق بی افته رهگیری کنند.
REF
@Unk9vvN
#Zero_Day Exploit #Publishing
یکی از عجایبی که امشب از برخی عزیزان مسئول که در محیط ClubHouse بودن شنیدیم این بود که هیچ یک از آسیب پذیری های روز صفر در دنیا عمومی نمیشود و از اونجا که صحبت های خودمون رو همواره مستند میکنیم یکسری از آسیب پذیری های روز صفری که تیم تحقیقاتی projectzero شرکت گوگل برای همین سالها منتشر کرده رو اینجا رفرنس میکنیم.
https://googleprojectzero.github.io/0days-in-the-wild/rca.html
@Unk9vvN
یکی از عجایبی که امشب از برخی عزیزان مسئول که در محیط ClubHouse بودن شنیدیم این بود که هیچ یک از آسیب پذیری های روز صفر در دنیا عمومی نمیشود و از اونجا که صحبت های خودمون رو همواره مستند میکنیم یکسری از آسیب پذیری های روز صفری که تیم تحقیقاتی projectzero شرکت گوگل برای همین سالها منتشر کرده رو اینجا رفرنس میکنیم.
https://googleprojectzero.github.io/0days-in-the-wild/rca.html
@Unk9vvN
#AirGap #Jumpers
امشب اطلاعاتی هم در خصوص انواع حملات شبکه های Air-Gap داده شد در جلسات هفتگی کلاب هاوس و اشاره شد به تحقیقاتی که یک دانشگاه اسرائيلی انجام داده و نشون داده که حملات به این شبکه بسیار متنوع میتواند باشد،
منطقی که محقق در روش های خودش بصورت مشترک ازش بهره میگیره اینه که هر عامل میدانی که بتواند دو بعد مثبت و منفی ای داشته باشد چه در نوسانات الکتریکی چه در دسیبل رادیویی چه در نور و موارد دیگه، پتانسیل دریافت و شنود اطلاعات را از آن خواهد بود،
همونطور که در یکی از تصاویر میبینید به پتانسیل هایی مانند Thermal - Optical - Electric - Acoustic - Electromagnetic - Magnetic و Physical Media اشاره شده که در جلسه امشب کلاب هاوس در خصوص برخی از آنها توضیحات مختصری داده شد.
https://i.blackhat.com/us-18/Wed-August-8/us-18-Guri-AirGap.pdf
@Unk9vvN
امشب اطلاعاتی هم در خصوص انواع حملات شبکه های Air-Gap داده شد در جلسات هفتگی کلاب هاوس و اشاره شد به تحقیقاتی که یک دانشگاه اسرائيلی انجام داده و نشون داده که حملات به این شبکه بسیار متنوع میتواند باشد،
منطقی که محقق در روش های خودش بصورت مشترک ازش بهره میگیره اینه که هر عامل میدانی که بتواند دو بعد مثبت و منفی ای داشته باشد چه در نوسانات الکتریکی چه در دسیبل رادیویی چه در نور و موارد دیگه، پتانسیل دریافت و شنود اطلاعات را از آن خواهد بود،
همونطور که در یکی از تصاویر میبینید به پتانسیل هایی مانند Thermal - Optical - Electric - Acoustic - Electromagnetic - Magnetic و Physical Media اشاره شده که در جلسه امشب کلاب هاوس در خصوص برخی از آنها توضیحات مختصری داده شد.
https://i.blackhat.com/us-18/Wed-August-8/us-18-Guri-AirGap.pdf
@Unk9vvN
#Cyber_Security Organizational Structure
شاید برای شما هم جالب باشه که بدونید فضای سایبر سه بُعد کلی دارد، یک امنیت فضای سایبر دوم خدمات IT و ICT و سوم ماهیت حقوقی فضای سایبر.
اولین بُعد که امنیت سایبر هست دو قسمت کلی دارد امنیت تهاجمی و امنیت تدافعی. امنیت فضای سایبر، حاکمیت ها سیاست گذاری و عملیات های تهاجمی را سازمان دهی میکنند و شرکت های خصوصی بُعد دفاعی را برعهده دارند مانند FireEye و CrowdStrike و Microsoft تامین میکنند.
دومین بُعد خدمات فضای سایبر است که در هر لایه خدمات شرکت ها به مردم تعریف میشود، موضوعاتی همچون رسانه - مالی - اجتماعی - تحصیلی و غیره. همچنین حاکمیت سیاست گذاری و تامین زیرساخت میکند و شرکت های دانش بنیان نیازمندی های خدمات دهی نرم افزاری را تامین میکنند مانند Twitter و Instagram و Blockchain
سومین بُعد ماهیت حقوقی فضای سایبر است که در این سطح خدمات قضایی و اجتماعی، مدیریت و تعریف میشود، مثال رسیدگی به کلاه برداری ها- هک های غیر مجاز و غیره. حاکمیت سیاست گذاری میکند و بواسطه مراجعه قضایی نیازمندی های مردم را رفع رجوع میکند بواسطه دستگاه هایی مانند پلیس فتا.
nsainfo.ir
@Unk9vvN
شاید برای شما هم جالب باشه که بدونید فضای سایبر سه بُعد کلی دارد، یک امنیت فضای سایبر دوم خدمات IT و ICT و سوم ماهیت حقوقی فضای سایبر.
اولین بُعد که امنیت سایبر هست دو قسمت کلی دارد امنیت تهاجمی و امنیت تدافعی. امنیت فضای سایبر، حاکمیت ها سیاست گذاری و عملیات های تهاجمی را سازمان دهی میکنند و شرکت های خصوصی بُعد دفاعی را برعهده دارند مانند FireEye و CrowdStrike و Microsoft تامین میکنند.
دومین بُعد خدمات فضای سایبر است که در هر لایه خدمات شرکت ها به مردم تعریف میشود، موضوعاتی همچون رسانه - مالی - اجتماعی - تحصیلی و غیره. همچنین حاکمیت سیاست گذاری و تامین زیرساخت میکند و شرکت های دانش بنیان نیازمندی های خدمات دهی نرم افزاری را تامین میکنند مانند Twitter و Instagram و Blockchain
سومین بُعد ماهیت حقوقی فضای سایبر است که در این سطح خدمات قضایی و اجتماعی، مدیریت و تعریف میشود، مثال رسیدگی به کلاه برداری ها- هک های غیر مجاز و غیره. حاکمیت سیاست گذاری میکند و بواسطه مراجعه قضایی نیازمندی های مردم را رفع رجوع میکند بواسطه دستگاه هایی مانند پلیس فتا.
nsainfo.ir
@Unk9vvN
#Mitigation and #Protection Challenges
همواره مایکروسافت در تلاش بوده با طراحی مکانیزم های Mitigate کار بهره برداری از آسیب پذیری های باینری بیس رو سخت بکنه،
همونطور که در تصویر پست میبینید هم روش هایی در خصوص محافظت از بهره برداری ها ذکر شده هم باج افزارها یا روش های اجرای کد بصورت Delivery که قالبا مورد استفاده تیم های قرمز هستش، جالبه که در این میان اشاره به روش هایی بر مبنای Deep Learning اشاره شده که امکان رفتار شناسی بصورت Live رو به سیستم عامل مخاطب خواهد داد،
اخیرا شرکت های پیشتاز در دنیا محصولاتی بر مبنای این نوع از تکنولوژی نرم افزاری ارائه دادند که بصورت هرچه بیشتر جایگزین محصولات FileFormat پایه خواهد بود، حالا شما تصور کنید رفتارشناسی حمله چه زیر بنای علمی و تحقیقاتی رو لازم خواهد داشت تا روند تحصیلی علوم سایبری رو برای آینده خودتان پیشبینی کنید، البته در خارج از کشور این اتفاق افتاده ولی برای کشور ما یک آینده پژوهی تحصیلی خواهد بود.
@Unk9vvN
همواره مایکروسافت در تلاش بوده با طراحی مکانیزم های Mitigate کار بهره برداری از آسیب پذیری های باینری بیس رو سخت بکنه،
همونطور که در تصویر پست میبینید هم روش هایی در خصوص محافظت از بهره برداری ها ذکر شده هم باج افزارها یا روش های اجرای کد بصورت Delivery که قالبا مورد استفاده تیم های قرمز هستش، جالبه که در این میان اشاره به روش هایی بر مبنای Deep Learning اشاره شده که امکان رفتار شناسی بصورت Live رو به سیستم عامل مخاطب خواهد داد،
اخیرا شرکت های پیشتاز در دنیا محصولاتی بر مبنای این نوع از تکنولوژی نرم افزاری ارائه دادند که بصورت هرچه بیشتر جایگزین محصولات FileFormat پایه خواهد بود، حالا شما تصور کنید رفتارشناسی حمله چه زیر بنای علمی و تحقیقاتی رو لازم خواهد داشت تا روند تحصیلی علوم سایبری رو برای آینده خودتان پیشبینی کنید، البته در خارج از کشور این اتفاق افتاده ولی برای کشور ما یک آینده پژوهی تحصیلی خواهد بود.
@Unk9vvN
#ThreatHunting #PurpleTeam
این روزها بحث راجب شکار تهدید زیاد به گوش میرسه و شرکت های فعال در حوزه دفاع سایبری همواره در تلاش هستند تا در بحث شکار تهدیدات پیش قدم باشند،
اما نکته ای که قالبا به آن توجه نمیکنند اینه که بهترین شکارچیان تهدید متخصصین تیم بنفش هستند و این متخصصین تیم بنفش در اصل ماهیت کار کردشون متخصصین تیم قرمز بوده اند، این بدان معنی است که بهترین کسانی که میتوانند با ابزارالاتی مانند Sysmon-OSQuery-Autoruns و سنسور های دیگه ای که Data Model ایجاد میکنند، میتوانند شکار انجام دهند متخصصین تیم بنفش هستند،
آیا ماهیت آنها کار کردن با سنسور های Socket- Service-Thread و غیره است صرفا؟ جواب خیر هستش بزرگترین داشته تیم بنفش این است که در اصل خودشان یک تیم قرمز هستند، یعنی تسلط کامل بر تکنیک های 14 گانه MITRE ATT&CK دارند، در نتیجه شکار تهدیدات برای آنها امکان پذیر تر است،
اگر میخواهید یک شکارچی واقعی تهدیدات باشید خود را یک متخصص تیم قرمز که اشراف کامل بر تمامی تکنیک های حمله دارد بکنید، باقی ماجرا که کار کردن با چند ابزار یا طراحی Signature هست رو بگذارید بعد از متخصص شدن در تیم قرمز.
@Unk9vvN
این روزها بحث راجب شکار تهدید زیاد به گوش میرسه و شرکت های فعال در حوزه دفاع سایبری همواره در تلاش هستند تا در بحث شکار تهدیدات پیش قدم باشند،
اما نکته ای که قالبا به آن توجه نمیکنند اینه که بهترین شکارچیان تهدید متخصصین تیم بنفش هستند و این متخصصین تیم بنفش در اصل ماهیت کار کردشون متخصصین تیم قرمز بوده اند، این بدان معنی است که بهترین کسانی که میتوانند با ابزارالاتی مانند Sysmon-OSQuery-Autoruns و سنسور های دیگه ای که Data Model ایجاد میکنند، میتوانند شکار انجام دهند متخصصین تیم بنفش هستند،
آیا ماهیت آنها کار کردن با سنسور های Socket- Service-Thread و غیره است صرفا؟ جواب خیر هستش بزرگترین داشته تیم بنفش این است که در اصل خودشان یک تیم قرمز هستند، یعنی تسلط کامل بر تکنیک های 14 گانه MITRE ATT&CK دارند، در نتیجه شکار تهدیدات برای آنها امکان پذیر تر است،
اگر میخواهید یک شکارچی واقعی تهدیدات باشید خود را یک متخصص تیم قرمز که اشراف کامل بر تمامی تکنیک های حمله دارد بکنید، باقی ماجرا که کار کردن با چند ابزار یا طراحی Signature هست رو بگذارید بعد از متخصص شدن در تیم قرمز.
@Unk9vvN
#Indicators of #Attack vs #Indicators of #Compromise
تفاوت شاخصه های شناخت یک حمله با شاخصه های خود حمله در این است که همواره تیم های قرمز میتوانستند بواسطه آسیب پذیری های روز صفر بسیاری از مکانیزم های دفاعی را دور بزنند،
چرا که از پتانسیل های آن نرم افزار دارای آسیب پذیر استفاده کرده و shellcode خود را که بصورت مبهم شده وارد حافظه شده، اجرا شده و ایجاد دسترسی را حاصل نماید،
در این نوع حمله مهاجم کافی بود که فقط بر قسمت مبهم سازی سطح باینری اکسپلویت خود کار کند و در صورت پیاده سازی تکنیک های مناسب مانند Metamorphic میتوانست با درصد بسیار بالاتری حمله را انجام دهد،
در موارد ساده تری مانند آسیب پذیری های EternalBlue فاش شده از NSA دیدیم که یک باج افزار توانست به بسیاری از سرور ها با مکانیزم های مختلف نفوذ کرده و مقادیر خود را اعلام نماید،
شاخصه حمله یا Indicator of Attack دقیقا به همین موضوع پرداخته و تمرکز خود را بر روی شکار آسیب پذیری های روز صفر می نماید که یکی از موفق ترین محصولات این حوزه محصول Exploit Protection شرکت FireEye بوده است.
https://t.me/Unk9vvN/1200
@Unk9vvN
تفاوت شاخصه های شناخت یک حمله با شاخصه های خود حمله در این است که همواره تیم های قرمز میتوانستند بواسطه آسیب پذیری های روز صفر بسیاری از مکانیزم های دفاعی را دور بزنند،
چرا که از پتانسیل های آن نرم افزار دارای آسیب پذیر استفاده کرده و shellcode خود را که بصورت مبهم شده وارد حافظه شده، اجرا شده و ایجاد دسترسی را حاصل نماید،
در این نوع حمله مهاجم کافی بود که فقط بر قسمت مبهم سازی سطح باینری اکسپلویت خود کار کند و در صورت پیاده سازی تکنیک های مناسب مانند Metamorphic میتوانست با درصد بسیار بالاتری حمله را انجام دهد،
در موارد ساده تری مانند آسیب پذیری های EternalBlue فاش شده از NSA دیدیم که یک باج افزار توانست به بسیاری از سرور ها با مکانیزم های مختلف نفوذ کرده و مقادیر خود را اعلام نماید،
شاخصه حمله یا Indicator of Attack دقیقا به همین موضوع پرداخته و تمرکز خود را بر روی شکار آسیب پذیری های روز صفر می نماید که یکی از موفق ترین محصولات این حوزه محصول Exploit Protection شرکت FireEye بوده است.
https://t.me/Unk9vvN/1200
@Unk9vvN
#Active_Directory #ACEs
یه mindmap در خصوص روش های بهره برداری سرویس Access Control Entries که سطح دسترسی هارو در Active Directory کنترل میکنه و روش های بهره برداری متعددی داره،
از Misconfiguration ها برای پیاده سازی Lateral Movement یا بالا بردن سطح دسترسی در سرویس ACE میتونه اتفاق بی افته، همچنین مجوز هایی که برای Object های داده میشه رو میتوان دستکاری کرد و از تنظیم غلط ACE بهره برداری کرد.
بحث Movement با Shadow Credentials همچنین Kerberos Delegations و GPO ها و نهایتا DCSync از مواردی هستند که در mindmap بهشون اشاره شده است.
https://github.com/S1ckB0y1337/Active-Directory-Exploitation-Cheat-Sheet
@Unk9vvN
یه mindmap در خصوص روش های بهره برداری سرویس Access Control Entries که سطح دسترسی هارو در Active Directory کنترل میکنه و روش های بهره برداری متعددی داره،
از Misconfiguration ها برای پیاده سازی Lateral Movement یا بالا بردن سطح دسترسی در سرویس ACE میتونه اتفاق بی افته، همچنین مجوز هایی که برای Object های داده میشه رو میتوان دستکاری کرد و از تنظیم غلط ACE بهره برداری کرد.
بحث Movement با Shadow Credentials همچنین Kerberos Delegations و GPO ها و نهایتا DCSync از مواردی هستند که در mindmap بهشون اشاره شده است.
https://github.com/S1ckB0y1337/Active-Directory-Exploitation-Cheat-Sheet
@Unk9vvN
#MITRE #ATLAS #ML
اینبار ماتریسی در خصوص استفاده از تکنیک هایی که بر بستر هوش مصنوعی طرح ریزی میشه و قابلیت رفتار هوشمند رو داره، استفاده از تکنیک های ML بسیار در امر حملات پیشرفته عامل موثری میتواند باشد چرا که بسیاری از مکانیزم های دفاعی امروزه رفتار شناسی رو مبنای شکار خود میکنند در نتیجه مهاجم هم میبایست پلن های رفتاری خود را در هر مرحله هوشمندانه کنترل نماید که این موضوع شکار تهدید رو بسیار سختر خواهد کرد،
حملات مبتنی بر یادگیری ماشین همواره از دو قسمت Training یا یادگیری و Inference استنباط تشکیل میشود که اولین قسمت پردازش های مبتنی بر یادگیری ماشین اتفاق می افتد و Data Set های وارده تبدیل به آموزش های رفتاری خواهد شد، قسمت دوم استنباط است که دارای یک API کلی خواهد بود و ورودی ها و خروجی ها بر اساس فاکتور های آموزش داده شده پردازش خواهد شد و تصدیق ها در این مرحله انجام خواهد شد.
https://atlas.mitre.org
@Unk9vvN
اینبار ماتریسی در خصوص استفاده از تکنیک هایی که بر بستر هوش مصنوعی طرح ریزی میشه و قابلیت رفتار هوشمند رو داره، استفاده از تکنیک های ML بسیار در امر حملات پیشرفته عامل موثری میتواند باشد چرا که بسیاری از مکانیزم های دفاعی امروزه رفتار شناسی رو مبنای شکار خود میکنند در نتیجه مهاجم هم میبایست پلن های رفتاری خود را در هر مرحله هوشمندانه کنترل نماید که این موضوع شکار تهدید رو بسیار سختر خواهد کرد،
حملات مبتنی بر یادگیری ماشین همواره از دو قسمت Training یا یادگیری و Inference استنباط تشکیل میشود که اولین قسمت پردازش های مبتنی بر یادگیری ماشین اتفاق می افتد و Data Set های وارده تبدیل به آموزش های رفتاری خواهد شد، قسمت دوم استنباط است که دارای یک API کلی خواهد بود و ورودی ها و خروجی ها بر اساس فاکتور های آموزش داده شده پردازش خواهد شد و تصدیق ها در این مرحله انجام خواهد شد.
https://atlas.mitre.org
@Unk9vvN
Media is too big
VIEW IN TELEGRAM
#Pwn2Own 2020 Miami
گزارشی از مسابقات Pwn2Own شرکت ZDI که جایزه در مقابل آسیب پذیری های باینری میده هستش و جالبه که برخی محققین ایرانی مانند Ali Abbasi هم در این مسابقه شرکت داشته و آسیب پذیری هایی رو هم کشف کرده بودند،
نکته جالب دیگه اینکه، بسیاری از آسیب پذیری هایی که منجر به اجرای کد در سیستم عامل قربانی شده، از نوع آسیب پذیری های تحت وب بوده و از سطح Critical برخوردار بوده، آسیب پذیری هایی مانند Server Side Request Forgery و Insecure Deserialization هستش،
نکته جالب بعد اینکه آسیب پذیری های فایل فرمت پایه هم زیاد دیده شده و باز هم نرم افزار های معروفی مانند Adobe Reader و Foxit Reader و محصولات Office باز هم اکسپلویت شدن و دارای آسیب پذیری هایی از نوع Use After Free بودند...
https://www.zerodayinitiative.com/blog/2020/3/17/welcome-to-pwn2own-2020-the-schedule-and-live-results
@Unk9vvN
گزارشی از مسابقات Pwn2Own شرکت ZDI که جایزه در مقابل آسیب پذیری های باینری میده هستش و جالبه که برخی محققین ایرانی مانند Ali Abbasi هم در این مسابقه شرکت داشته و آسیب پذیری هایی رو هم کشف کرده بودند،
نکته جالب دیگه اینکه، بسیاری از آسیب پذیری هایی که منجر به اجرای کد در سیستم عامل قربانی شده، از نوع آسیب پذیری های تحت وب بوده و از سطح Critical برخوردار بوده، آسیب پذیری هایی مانند Server Side Request Forgery و Insecure Deserialization هستش،
نکته جالب بعد اینکه آسیب پذیری های فایل فرمت پایه هم زیاد دیده شده و باز هم نرم افزار های معروفی مانند Adobe Reader و Foxit Reader و محصولات Office باز هم اکسپلویت شدن و دارای آسیب پذیری هایی از نوع Use After Free بودند...
https://www.zerodayinitiative.com/blog/2020/3/17/welcome-to-pwn2own-2020-the-schedule-and-live-results
@Unk9vvN
#PrintNightmare #Spooler #Vulnerability
ماجرای بهره برداری از درایور Spooler برمیگرده به ویروس Stuxnet که برای اولین بار از این آسیب پذیری منطقی در نحوه کارکرد و نصب درایور استفاده کرده است
کار این درایور اینه که دستگاه های سخت افزار پرینتر رو نصب میکنه، در تصویر شماره یک توابع API مختص به نصب درایور بصورت Remote بوده بواسطه RPC و یه Warning هم داده میشه به ادمین سمت سرور، همچنین در تصویر شماره 3 نحوه عملکرد سمت Client رو میتونید ببینید که هم بصورت CLI و GUI چطور میتواند اتفاق بی افتد
حالا مشکلی که وجود دارد اینه که ما با استفاده از توابع API سیستم عامل ویندوز میتوانیم هر درایوری رو به عنوان درایور یک پرینتر نصب بکنیم و هیچ گونه تصدیقی در خصوص Verify کردن درایور انجام نمیشه
تصویر شماره 4 توضیحاتی در خصوص ویژگی های سرویس Print Spooler هستش که میتونید ببینید بحث Auto-start بودن بحث استخراج API های Printing از این سرویس و غیره،
این درایور میتواند سطح دسترسی را بالا ببرد میتواند Lateral Movement انجام داد چرا که این سرویس بصورت RPC هم میتواند Parse شود، که در تصویر شماره 5 میتوانید مشاهده بفرماید.
@Unk9vvN
ماجرای بهره برداری از درایور Spooler برمیگرده به ویروس Stuxnet که برای اولین بار از این آسیب پذیری منطقی در نحوه کارکرد و نصب درایور استفاده کرده است
کار این درایور اینه که دستگاه های سخت افزار پرینتر رو نصب میکنه، در تصویر شماره یک توابع API مختص به نصب درایور بصورت Remote بوده بواسطه RPC و یه Warning هم داده میشه به ادمین سمت سرور، همچنین در تصویر شماره 3 نحوه عملکرد سمت Client رو میتونید ببینید که هم بصورت CLI و GUI چطور میتواند اتفاق بی افتد
حالا مشکلی که وجود دارد اینه که ما با استفاده از توابع API سیستم عامل ویندوز میتوانیم هر درایوری رو به عنوان درایور یک پرینتر نصب بکنیم و هیچ گونه تصدیقی در خصوص Verify کردن درایور انجام نمیشه
تصویر شماره 4 توضیحاتی در خصوص ویژگی های سرویس Print Spooler هستش که میتونید ببینید بحث Auto-start بودن بحث استخراج API های Printing از این سرویس و غیره،
این درایور میتواند سطح دسترسی را بالا ببرد میتواند Lateral Movement انجام داد چرا که این سرویس بصورت RPC هم میتواند Parse شود، که در تصویر شماره 5 میتوانید مشاهده بفرماید.
@Unk9vvN
#Logical Method for #Persistence (APTs)
یکی از دلایل منطقی موفقیت حملات پیشرفته همراه این بوده که بجای استفاده از روش های مستند شده، از روش های Verify شده استفاده شود،
یعنی مثلا برای Discovery بجای استفاده از مثلا اسکریپت های پاورشلی، از ابزار های خوده سیستم عامل مانند Ping استفاده شود، یا ابزارهای دیگری که در SysInternals موجود است،
هر چقدر این عامل تقویت شود قدرت حمله و نامحسوس بودنش بالاتر میرود، عوامل بسیاری در سیستم عامل وجود دارد که میتواند جایگزین بسیاری از اسکریپت های مورد استفاده در Red Teaming شود،
در کنار این عامل قدم های دیگری از حمله مانند Initial Access میبایست بسیار پیشرفته و حرفه ای طراحی شود چرا که پیشرفته بودن روش های Initial Access کار مهندسی اجتماعی مهاجم را آسان تر و مقبول تر خواهد کرد و این خود یک عامل دیگری از موفقیت حمله خواهد بود،
مورد آخر هم مرحله Impact خواهد بود که میتواند باز هم با پیشرفته ترین روش ها پیاده سازی شود چرا که مقابله با مکانیزم ها یا پوشش دادن حالت های مختلفی از سیستم عامل، عامل کلیدی برای قدرتمند شدن مرحله Impact خواهد بود.
@Unk9vvN
یکی از دلایل منطقی موفقیت حملات پیشرفته همراه این بوده که بجای استفاده از روش های مستند شده، از روش های Verify شده استفاده شود،
یعنی مثلا برای Discovery بجای استفاده از مثلا اسکریپت های پاورشلی، از ابزار های خوده سیستم عامل مانند Ping استفاده شود، یا ابزارهای دیگری که در SysInternals موجود است،
هر چقدر این عامل تقویت شود قدرت حمله و نامحسوس بودنش بالاتر میرود، عوامل بسیاری در سیستم عامل وجود دارد که میتواند جایگزین بسیاری از اسکریپت های مورد استفاده در Red Teaming شود،
در کنار این عامل قدم های دیگری از حمله مانند Initial Access میبایست بسیار پیشرفته و حرفه ای طراحی شود چرا که پیشرفته بودن روش های Initial Access کار مهندسی اجتماعی مهاجم را آسان تر و مقبول تر خواهد کرد و این خود یک عامل دیگری از موفقیت حمله خواهد بود،
مورد آخر هم مرحله Impact خواهد بود که میتواند باز هم با پیشرفته ترین روش ها پیاده سازی شود چرا که مقابله با مکانیزم ها یا پوشش دادن حالت های مختلفی از سیستم عامل، عامل کلیدی برای قدرتمند شدن مرحله Impact خواهد بود.
@Unk9vvN
#Cyber_Security #Business
شاید شما هم نام شرکت ripstech.com رو شنیده باشید که یکی از startup های موفق حوزه امنیت برنامه های تحت وب بوده است، این شرکت پس از فعالیت های موفق و خروجی های چشم گیر و دسته اول مانند: کشف آسیب پذیری روز صفر از انواع CMS های متن باز دنیا و همچنین ارائه تحقیقات بسیار خوب در حوزه تکنیک های ابتکاری در خصوص بهره برداری از آسیب پذیری های روز صفر مانند مقالات phar polyglot و غیره، بود.
که چندی پیش شرکت sonarsource.com استارت آپ ripstech.com رو خریداری کرده و جالبه که بدونید لیدر تحقیقاتی ripstech الان Head of R&D شرکت SonarSource است، همچنین نکته جالب توجه دیگر این است که این شرکت یکی از بهترین ارائه دهندگان محصولات کشف آسیب پذیری بصورت WhiteBox است و زبان های بسیاری را پوشش میدهد،
امیدواریم در کشور ما هم با ارزیابی محصولات و سرمایه گزاری روی بحث تحقیق و توسعه، شرکت های فعال بروند به سمت خدمات و محصولات با کیفیت بالا و بواسطه آن به عرصه های ارائه محصولات جهانی ورود داشته باشند...
https://www.sonarsource.com/company/team
@Unk9vvN
شاید شما هم نام شرکت ripstech.com رو شنیده باشید که یکی از startup های موفق حوزه امنیت برنامه های تحت وب بوده است، این شرکت پس از فعالیت های موفق و خروجی های چشم گیر و دسته اول مانند: کشف آسیب پذیری روز صفر از انواع CMS های متن باز دنیا و همچنین ارائه تحقیقات بسیار خوب در حوزه تکنیک های ابتکاری در خصوص بهره برداری از آسیب پذیری های روز صفر مانند مقالات phar polyglot و غیره، بود.
که چندی پیش شرکت sonarsource.com استارت آپ ripstech.com رو خریداری کرده و جالبه که بدونید لیدر تحقیقاتی ripstech الان Head of R&D شرکت SonarSource است، همچنین نکته جالب توجه دیگر این است که این شرکت یکی از بهترین ارائه دهندگان محصولات کشف آسیب پذیری بصورت WhiteBox است و زبان های بسیاری را پوشش میدهد،
امیدواریم در کشور ما هم با ارزیابی محصولات و سرمایه گزاری روی بحث تحقیق و توسعه، شرکت های فعال بروند به سمت خدمات و محصولات با کیفیت بالا و بواسطه آن به عرصه های ارائه محصولات جهانی ورود داشته باشند...
https://www.sonarsource.com/company/team
@Unk9vvN