Breaking #reCAPTCHA v2 #ML #LLMs
اخیرا محققین دانشگاه ETH مقاله ای در خصوص نحوه دور زدن reCAPTCHA گوگل نسخه 2 را بواسطه یادگیری ماشین، ارائه دادن که بطور صد درصدی توانسته مکانیزم را دور بزند.

محققین از الگو های مختلف یادگیری ماشین استفاده کرده اند از جمله الگوریتم Generative Adversarial Networks که به معنی ایجاد شبکه های عصبی است و همچنین Convolutional Neural Networks که به معنی شبکه عصبی پیچشی است که بر روی Captcha مبتنی بر تصویر عملکرد مناسبی خواهد داشت.

اما نحوه برخورد با طیف تصاویر مورد استفاده reCAPTCHA این است که از مدل های زبان بزرگ یا LLMs را تشکیل داده و بر روی تصاویری که با عنوان Dataset تعریف شده را پردازش کرده و نهایتا واکنشی مبتنی بر Mouse Movement ارائه خواهد داد.

تست‌ های تورینگ عمومی کاملاً خودکار برای تشخیص رایانه‌ها و انسان‌ها یک اقدام امنیتی حیاتی در اینترنت بوده و از وب‌ سایت‌ها در برابر ربات‌های خودکار و فعالیت‌های مخرب محافظت میکند.

https://github.com/aplesner/Breaking-reCAPTCHAv2
@Unk9vvN

#APT34 #OilRig #Earth_Simnavaz
تیم منتصب به ایران یعنی APT34 اخیرا حمله ای رو در خاورمیانه انجام داده که نسبت به نسخه های قبل TTP پیشرفته تری داشته است.

زنجیره حمله به این صورت بوده که بواسطه یک آسیب پذیری عمومی یک Web Shell بر روی وبسرور MS Exchange قربانی بار گزاری کرده و ی تونل پروتکل RMM بر پایه Ngrok پیاده سازی میشه.

در مرحله بعدی مهاجمین بواسطه یک آسیب پذیری Race Condition با شناسه CVE-2024-30088 روی ساختمان _AUTHZBASEP_SECURITY_ATTRIBUTES_INFORMATION اجرا میشه که مستقیما مقادیرش رو از سمت کاربر و بواسطه اشاره گر SecurityAttribute میگیره که این اشاره گر با RC امکان کپی Shellcode با RtlCopyUnicodeString رو خواهد داد.

که البته Shellcode مورد استفاده در اصل یک ابزار منبع باز با نام RunPE-In-Memory بوده که میاد یک فایل فرمت PE رو در حافظه مستقیما Map میکنه بی آنکه Stage ازش در حافظه سخت باشه.

اما بعد از ارتقاء سطح دسترسی مهاجمین میان و Register Password filter DLL رو دستکاری میکنند و با PasswordFilter اقدام به بازیابی اطلاعات کاربران Exchange میکنند.

@Unk9vvN

#Cybersecurity #Training #Standards
در دنیا استاندارد های آموزشی حوزه امنیت سایبری، همواره در حال ارتقاء است، بطوری که شرکت های برتر این حوزه هر ساله ظرفیت های فنی و محتوای خود را بسیار رشد می دهند.

اما در عین حال در ایران این فرایند همواره به سبک سنتی و اغلب به دور از استاندارد های جهانی، ارائه میشود.

بطور مثال شرکت Offensive Security آمریکا در سایت خود اعلام میکند که ما بیش از 7 هزار ساعت محتوای نوشتاری (کتاب) تولید کرده و بیش از 1800 ویدیو آموزشی و بیش از 4200 آزمایشگاه عملیاتی توسعه داده شده است.

همچنین این آموزش ها با ظرفیت های زیرساختی بسیار با کیفیت و با مهندسی و معماری دقیقی طراحی میشود که برای این آموزش ها بیش از 300 متخصص بصورت از راه دور درگیر بوده اند.

اهمیت پرداختن به کیفیت آموزش آنجاست که زمان تولید نیروی انسانی با کیفیت بصورت تضمینی پایین خواهد آمد.

این مسئله موجب میشود تا شرکت های تجاری این حوزه قدرت و توانمندی تولید محصولات در عرصه های جهانی را پیدا کنند.

رویکردی که متاسفانه در ایران همچنان ضعیف و با فضا سازی ها و سو استفاده از عدم آگاهی مخاطبان، اتفاق می افتد.

@Unk9vvN

#WASM #Browser #Exploitation
در کنفرانس BlackHat 2024 آمریکا، ارائه ای در خصوص کشف آسیب پذیری باینری از موتور پیاده سازی Web Assembly ارائه شد که روش شناسی های جدیدی رو در این حوزه مطرح میکند.

محققین اعلام میکنند در مرورگرهای مدرن امروزی مانند Chrome و Safari، استفاده از ساختار Web Assembly در زبان Javascript این امکان رو خواهد داد تا مهاجمین در زمان Build Proccess اقدام به ایجاد یک سردرگمی نوع داده بکنند که ظرفیت اسپری Shellcode مخرب را داده و موجب اجرای کد در حافظه مرورگر میشود.

بطور خلاصه ماجرا از این قرار است که جریان اجرا در WASM به 3 حالت کلی برمیگرده، اول Runtime Build دوم ByteCode Execution سوم External Interaction که در حالت Runtime Build دو آسیب پذیری باینری کشف شده تا کنون، از Bytecode Exec نیز دو آسیب پذیری سردرگمی نوع داده و خواندن و نوشتن بیرون از باند رخ داده است.

در اثر استفاده WASM از Wrapper JS برای تغییر Context مثلا یک تابع، ظرفیت ایجاد یک آسیب پذیری سردرگمی نوع داده بوجود خواهد آمد.

بقیه ماجرا در مقاله...

@Unk9vvN

#XSS and #CSRF to #RCE for #WordPress
اگر از افزونه های جانبی سیستم مدیریت محتوای WordPress آسیب پذیری XSS کشف شد، چطور میشه آسیب پذیری رو به RCE یا اجرای کد از راه دور، تبدیل کرد؟

مهاجم بواسطه ایجاد درخواست جعلی از سمت کاربر (CSRF) اقدام به ارسال Request بر روی مرورگر ادمین میکند بواسطه آسیب پذیری XSS که وجود دارد، یعنی آسیب پذیری XSS موجب میشود یک Exploit به زبان جاوا اسکریپت SRC شود.

لذا مهاجم میتواند بواسطه XMLHttpRequest شروع به درخواست با Cookie ادمین کند و بواسطه زدن اولین درخواست با روش GET، مقدار CSRF-Token که در وردپرس _wpnonce نام دارد را دریافت کند.

و از آن CSRF-Token برای زدن درخواست معتبر بعدی مبنی بر بار گزاری یک افزونه جعلی استفاده خواهد کرد و با Endpoint مربوط به plugin-install.php صحبت میکند، که نتیجه میشود بار گزاری یک افزونه Backdoor و در ادامه درخواست فعال سازی افزونه زده خواهد شد و تمام.

اما نحوه صحبت با Backdoor روش جالبی است، که موجب صحبت با Endpoint درب عقبی شده و بواسطه ارسال دستورات در پارامتر های POST است که در تابع ()callback پارس خواهد شد.

@Unk9vvN

#Cyberespionage #Gamaredon #APT on #Ukraine
اخیرا یک حمله از یک کمپین روسی شناسایی شده که هدفش سازمان های اکراینی و کشور های هم پیمان ناتو بوده است.

حمله به این صورت بوده یک فایل فرمت LNK به ایمیل های فیشینگ Attachment بوده که به محض دانلود و اجرا، Stage بعدی دانلود می شده است.

فایل LNK از بستر اینترنت یک فایل HTA رو بصورت از راه دور اجرا میکنه که اون فایل در حالت minimize بوده و پنجره ای نیز باز نخواهد کرد.

فایل اجرایی HTA دارای یک ActiveX Object بوده که میاد Wscript.Shell رو Object میکنه که اجازه دسترسی به خط فرمان رو خواهد داد.

به registered یک فرمان داده میشه برای اجرا که باز میاد mshta.exe رو بکار میگیره برای اجرای یک فایل دیگه با نام rejoined.jpeg که بظاهر فرمت jpeg دارد.

در فایل دریافتی یک کد JS وجود داره که میاد یک مقدار Base64 رو بصورت مبهم سازی هست رو دانلود میکنه که در اصل یک فایل rar هستش.

گزارش مفصل هست اما یک نکته جالب دیگه داره، اونم اینکه استفاده از تکنیک Fast Flux DNS که برای گم کردن رد C&C استفاده شده و مدام IP پشت دامنه ها در حال تغییر بوده.

@Unk9vvN