#GFW #Detection #Rules
در مقاله اخیر در کنفرانس USENIX تحلیل و بررسی انجام شده بر روی نحوه عملکرد دیواره آتش چین که به آن #GFW گفته میشود.

اولین نکته اشاره به پنج Rule برای تشخیص اکتشافی است که مبتنی بر تحلیل بایت های اولیه ارتباط TCP بخش Payload پروتکل است.

بر اساس این تحقیقات اگر شش بایت اول پکت های TCP بصورت تصادفی و از نوع Printable تولید شود، پکت عبور داده خواهد شد، اما اگر این شش بایت اول دارای کاراکتر محدوده [0x20,0x7e] باشد، پکت مسدود خواهد شد.

اما جالب است که GFW برای برخی پروتکل های عمومی معافیت هایی در نظر میگیرد، بطور مثال پروتکل TLS و HTTP در GFW دارای معافیت هستند و اگر سه بایت اول آنها مطابق با [\x16-\x17]\x03[\x00-\x09] باشد، ترافیک مجاز به عبور خواهد بود.

اما کاوشگر GFW همواره علاوه بر نظارت بر پکت ها، بر روی IP سرور های مشکوک شروع به صحبت با Port های معروف میکند، به عنوان مثال اگر بر روی Port هایی مانند 443 یا 80 باشد، کاوشگر درخواست استفاده به عنوان Proxy میکند، و اگر سرور پاسخ دهد آن IP مسدود خواهد شد.

https://www.usenix.org/system/files/sec23fall-prepub-234-wu-mingshi.pdf
@Unk9vvN

#Microsoft #Exchange #Zeroday
طی یک حمله مداوم پیشرفته انجام شده، دو آسیب پذیری روز صفر از Microsoft Exchange مشخص شد، آسیب پذیری اول یعنی CVE-2022-41040 بر روی نقطه انتهایی Powershell API قرار داره که مبتنی بر مکانیزم Autodiscover امکان دسترسی بهش وجود داره.

مهاجم بر روی پروتکل WSMAN که روی سرویس WBEM قرار دارد، آسیب پذیری اجرای کد رخ داده است، این اجرای کد به این دلیل بوده که مهاجم میتوانه بواسطه سرویس SOAP با نوع محتوای XML مجال اینو میده بشه اسکریپت Powershell اجرا کرد بصورت Windows Remote Management.

اما مهاجم برای اجرای shell خودش نیاز داره که سریعا بیاد و طول عمر ارتباط رو افزایش بده چرا که زمان انقضا بصورت پیشفرض کوتاه است، برای همین یک درخواست ویژه به WSMAN ارسال میکنه که Keep Alive فعال بشه.

بعد آسیب پذیری دوم استفاده خواهد (CVE-2022-41082) شد که بواسطه PSRemoting یک درخواست به Address Book بصورت Encoded و داده Serialize شده ارسال میکنه تا بواسطه System.UnitySerializationHolder یک شیُ از کلاس System.Windows.Markup.XamlReader رو ایجاد کرده و داده های XAML پیلود ارسالی رو پردازش کند.

@Unk9vvN

#Infrastructure #Cybersecurity #Strategy
پیرو مطلبی که شش ماه پیش منتشر کردیم مبنی بر اقدامات انگلستان در سند راهبردی استراتژی های امنیت سایبری، یکی از موارد سرمایه گذاری بر روی نوجوانان انگلستان در خصوص آشنایی و استعداد یابی در حوزه علوم سایبری بوده است.

کشور ایران در نیروی انسانی حوزه فناوری اطلاعات به مرز بحران رسیده و این وضع در حوزه علوم امنیت سایبر بسیار وخیم تر شده است.

اما در این میان، دبیر شورای عالی فضای مجازی خبر از منصوب کردن میثم غلامی به عنوان سرپرست پژوهشگاه فضای مجازی میدهد.

وی دانش آموخته خارج فقه و اصول در حوزه علمیه قم بوده و همچنین فارغ التحصیل فلسفه اخلاق از دانشگاه قم است.

واقعا تا کی جوانان این مملکت باید بنشینند و ببینید که حاکمیت بجای پیروی از سیاست های شایسته سالاری، در حال بر سرکار آوردن افرادی است که تحصیلات مرتبط با پستی که دریافت میکنند را ندارند.

اگر جوانان این کشور مهاجرت میکنند کاملا حق دارند چرا که در حاکمیت ایران، عموم جوانان این کشور که مقید به تظاهرات ظاهری مذهبی نیستند، به عنوان تهدید پنداشته میشوند و قشر مذهبی نما صرفا در صلاحیت است.

@Unk9vvN

#Machine_Learning #EvilModel #Red_Team
با توجه به تقویت یافتن زیرساخت های یادگیری ماشین، امروزه انجمن هایی ظهور پیدا کرده اند تا خوراک های اصلی الگوریتم های یادگیری ماشین را توسعه داده و به اشتراک بگذارند.

یکی از این انجمن ها، انجمن Hugging Face مانند GitHub است تا توسعه دهندگان مدل و مجموعه داده (Models - Datasets) را به اشتراک بگذارند.

مثالی در خصوص مسیر فرایند آموزش و آنالیز و تصدیق تشخیص بدافزار مبتنی بر ML Pipeline، که در تصویر مشاهده میکنید که در نهایت بصورت یک کتابخانه پایتونی، کد منبع باز منتشر میشود.

اما همین بستر، میتواند موجب شود تا مهاجمین تیم قرمز با تزریق مدل های مخرب بدافزاری در پروژه های شرکت های معتبر، باعث شوند تا در فرایند Tensorflow کد وارد بخش حساس شرکت شده و به اجرا در بیاورد.

برای مثال در TensorFlow لایه Kenras Lambda، امکان اجای عبارات دلخواه ارائه میدهد که عملگر های داخلی معادل نداشته باشند. معمولا میتوان از آن برای نوشتن عبارات ریاضی استفاده کرد، اما هیچ چیز مانع از انجام هرکاری مانند فراخوانی تابع ()exec داخلی پایتون نمیشود.

https://arxiv.org/pdf/2107.08590.pdf
@Unk9vvN

#AFTA #Zimbra #Email_Servers
با توجه به حملاتی که در طی چند ماه اخیر به سازمان انرژی اتمی ایران و همچنین وبسایت internet.ir و برخی مجموع های دیگر از سوی تیم #Black_Reward انجام شد، بنظر میرسد نهاد حاکمیتی مرتبط با سیاست گذاری فضای سایبر کشور یعنی #افتا ، هنوز واکنش های مدیریتی صحیحی نسبت به این موضوع انجام نداده است.

بطور مثال، نصب بودن این ایمیل سرور بر روی وبسایت های مهم کشور میتواند موجب رخداد دوباره حملات سایبری، به این نهاد های حساس کشور شود و هنوز این ایمیل سرور خارجی مورد استفاده قرار میگیرد.

شرکت #فارسی_ساز کننده این ایمیل سرور، اعلام میدارد که ما پایداری و امنیت این ایمیل سرور را تامین میکنیم، اما از آنجا که موضوع امن سازی کد و تست نفوذ سرویس های تحت وب یک امر تخصصی است و میبایست تیم های تخصصی به این موضوع بپردازند، بنظر نمیرسد که ادعای این شرکت قابل اعتماد باشد.

با توجه به مقاله تحلیلی منتشر شده از سوی تیم تحقیقاتی #Unk9vvN ، این ایمیل سرور بطور استاندارد امن سازی و ارزیابی نشده است و همین موضوع میتواند تهدید دوباره امنیتی برای کشور به همراه داشته باشد.

@Unk9vvN

#Cybersecurity #US #Jobs #Offsec
دو نکته از دو مقاله شرکت Offensive Security آمریکا در باب وضعیت مشاغل امنیت سایبری.

تصویر بالا: بیش از 700.000 شغل امنیت سایبری در آمریکا نیاز است و سه میلیون نیروی متخصص در کل دنیا.

تصویر پایین: حقوق متخصصین امنیت سایبری برابر است با حقوق معاون رئیس جمهور ایالات متحده، و حتی بیشتر از آن و تا سقف 330 هزار دلار در سال.

40.000 موقعیت شغلی امنیت سایبری هم در بخش دولتی نیاز است.

@Unk9vvN