کمک کنید همکارانم رو پیدا کنم

دعوت به همکاری از علاقمندان به تدریس

واتس اپ و بله برای ارسال رزومه 09902857290


پذیرش از سراسر ایران

www.haumoun.com
Www.Roozbeh.academy

تصویر فوق : برنامه آموزشی

امروز درگیر یک پروژه هانت در محیط صنعتی همراه با ۴ نفر از دوستان هستم.
از خروجی های پروژه در وقت لزوم و اجازه ی داده شده ، تجربه هایی با شما به اشتراک خواهم گذاشت . البته به اقتضای مسائل امنیتی خب برخی مطالب قابل بیان و حتی اشاره نیست .
فقط اینکه الان داریم با Velociraptor کار می‌کنیم

👆👆با توجه نتیجه رای گیری و پراکندگی رای ها ؛ تمام دوره ها را برای ثبت نام باز میگذارم هرکدام اول به حد نصاب رسید، من اول وقتم را برای آن خواهم گذاشت تا تصمیمی منصفانه باشد

💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

نگارش کپی و تبلیغات زرد ؟!

مدتی پیش، صاحب یکی از بزرگ‌ترین کانال‌های تلگرامی حوزه امنیت، تبلیغ کلاس من را رد کرد. دلیلش این بود که آن را «زرد» تلقی کرد، هرچند با قوانین کانالش هیچ تضادی نداشت. هفته قبل هم دوستی پست من را ترجمه یک مطلب خارجی پنداشت و تعدد نوشته‌هایم باعث شد به اصالت آن‌ها شک کند.

این‌ها برایم یک تلنگر بود: چرا گاهی فعالیت‌هایم باعث واکنش منفی دیگران می‌شود؟

کمی عمیق‌تر که فکر کردم، دیدم ریشه کارم فقط علاقه به انتقال دانش و تجربه است. حجم زیاد نوشته‌ها و عمق مطالب هم نتیجه سال‌ها کار، تجربه در شاخه‌های مختلف امنیت و فناوری، و عادت به مطالعه مداوم است.

یاد کودکی‌ام افتادم؛ زمانی که عاشق روزنامه‌دیواری بودم. برایم فقط یک ترند نبود، بلکه فرصتی بود تا آموخته‌هایم را منتقل کنم. حتی توضیح شفاهی هم می‌دادم. امروز هم که می‌نویسم، همان حس شعف را تجربه می‌کنم. وقتی مطلبی را آموزش می‌دهم، انگار خودم بهتر می‌فهمم. وقتی کسی—حتی یک نفر—در هفته به من پیام تشکر می‌دهد، آرامشی عمیق پیدا می‌کنم، انگار باری را از دوش برداشته‌ام.
شاید ریشه این علاقه، به ۳۸ سال معلمی مادرم و عشق پدرم به مطالعه—حتی در آخرین ساعات زندگی—برگردد. من در خانواده‌ای بزرگ شدم که مطالعه، بخشی از روزمره بود. این باعث شد حجم مطالعه، آزمایش و تولید محتوای من بالا باشد.

در مورد تبلیغات هم نکته‌ای هست: شاید برای بعضی آزاردهنده باشد که چرا مدام از مزایای سنز یا CISSP می‌گویم. دلیلش ساده است: اصلاح کار و پیشرفت جامعه فقط با پیروی از بهترین روش‌ها و استانداردهای جهانی ممکن است. بنابراین سرفصل باید کامل و مدارک باید معتبر و آزمون‌محور باشند. احترام به علم و رعایت سلسله‌مراتب کاری، زیربنای اصلاح و پیشرفت است.
پس بله، من تبلیغ مدرک و دوره «اصل» می‌کنم. چون این بخشی از هدفم برای اصلاح جامعه است؛ باری که عده کمی به دوش می‌کشند.

دوستان واقعی کنارم می‌مانند و دیگران هم به راه خود می‌روند. عمر کوتاه است، کار بسیار، و عرصه خدمت باز. عشق به خواندن، یاد دادن و انتقال تجربه چیزی نیست که از من جدا شود.
تا عمر هست، می‌نویسم؛ امیدوارم حتی ذره‌ای سودمند باشد.
هر کس به راه خود
والسلام.


روزبه نوروزی
پایان مرداد ماه ۱۴۰۴ تهران

پایش WMI Event Consumers

پایش WMI Event Consumers اهمیت زیادی در شکار تهدیدات دارد زیرا مهاجمان از آن‌ها برای ایجاد مکانیزم ماندگاری بدون ایجاد سرویس یا تسک زمان‌بندی شده استفاده می‌کنند. این روش معمولاً در لاگ‌های پیش‌فرض ثبت نمی‌شود، بنابراین کشف آن نیازمند مانیتورینگ فعال یا جمع‌آوری دوره‌ای وضعیت WMI است.

مانیتورینگ Real-time (برای بعد از فعال شدن)
با فعال‌سازی Sysmon و rule مربوط به WMI (مثل Event ID 19, 20, 21) می‌تونیم هر بار ایجاد/تغییر Event Consumer رو log کنیم.
یا Audit‌های خاص WMI در Microsoft-Windows-WMI-Activity/Operational رو فعال کنیم.
📌 مشکل: این روش فقط تغییرات بعد از فعال‌سازی رو می‌گیرد، نه مصرف‌کننده‌های موجود.

جمع‌آوری Snapshot
با PowerShell (Get-CimInstance) یا ابزارهای مشابه، تمام Event Consumerهای فعلی روی سیستم رو می‌خونیم (یعنی یه snapshot از وضعیت فعلی).
بعد این داده رو به Splunk می‌فرستیم تا بین هزاران سیستم دنبال موارد مشکوک بگردیم.
📌 مزیت: گذشته و حال رو می‌بینیم، نه فقط تغییرات جدید.


در کار اجرایی من هردو رو انجام دادم .


برای بخش اسنپ شات من اینکار رو میکنم :
جمع‌آوری داده‌ها از همه سیستم‌ها

$computers = Get-Content .\systems.txt # لیست سیستم‌ها
foreach ($comp in $computers) {
  try {
    $events = Invoke-Command -ComputerName $comp -ScriptBlock {
      Get-CimInstance -Namespace root\subscription -ClassName __EventConsumer
    }
    $events | Select-Object PSComputerName, Name, CommandLineTemplate |
      Export-Csv ".\WMI_Consumers.csv" -Append -NoTypeInformation
  }
  catch {
    Write-Host "Failed to query $comp" -ForegroundColor Red
  }
}

و بعد  ارسال داده به Splunk
دو روش
روش 1: از طریق Universal Forwarder
روی سیستمی که CSV تولید شده، Splunk Universal Forwarder نصب کنیم.
inputs.conf رو طوری پیکربندی کنیم که مسیر CSV رو مانیتور کند

روش 2: آپلود مستقیم در Splunk
اگر داده ثابت دارید (نه زنده)، می‌تونید CSV رو از GUI داخل یک ایندکس جدید آپلود کنید.

خوشحال میشم اگر شما تجربه ای دارید در این زمینه به اشتراک بگذارید



💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

تحلیل فارنزیک از طریق آرتیفکت‌های کرش: فراتر از لاگ‌های امنیتی

کرش ابزارهای تهاجمی، نشانه هایی با اطمینان خوب برای تیم‌های SOC و IR تولید می‌کند. تحلیلگران باید لاگ‌های Application Crash (Event ID 1000) و گزارش‌های Windows Error Reporting (WER - Event ID 1001) را به عنوان شواهد فارنزیک، و نه صرفاً خطاهای سیستمی، بررسی کنند. این رویدادها، به ویژه در مورد فایل‌هایی با نام‌های مشکوک در مسیرهای غیر استاندارد (مانند lsasss64.exe در C:\Temp)، نشان‌دهنده تکنیک‌های Masquerading (T1036.005) هستند.

کلید تحلیل، فایل Report.wer است که در مسیر C:\ProgramData\Microsoft\Windows\WER یافت می‌شود. این آرتیفکت حاوی اطلاعات حیاتی از جمله هش SHA1 باینری مخرب و لیست ماژول‌های بارگذاری شده (Loaded Modules) در لحظه کرش است. هش استخراج شده، شناسایی قطعی بدافزار از طریق پلتفرم‌های Threat Intelligence را ممکن ساخته و به تشخیص تاکتیک‌هایی نظیر LSASS Memory Dumping (T1003.001) کمک می‌کند.

این رویکرد، لایه‌ای عمیق از شکار تهدید مبتنی بر هاست را فراهم می‌کند که اغلب توسط ابزارهای SIEM سنتی نادیده گرفته می‌شود و به کشف فعالیت‌های پنهان مهاجم، حتی پس از پاکسازی، منجر می‌گردد.



💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

بررسی ارتباط بلوغ SOC و استفاده از Splunk ES
قسمت اول
قطره ای از دریا !!


#آکادمی_روزبه
مرکز تخصصی CISSP

آموزش دهید ادمین ها RDP را Logout کنند.

در غیر اینصورت با تسخیر سرور ، هکر میتواند کردنشیال در حافظه را بدزدد که شامل هش پسورد و توکن است .

بعنوان راهکار اساسی چه کنیم و اینکه اگر آموزش ناپذیر بودند ؟

🔸️پیاده‌سازی Logoff Policy اجباری (Group Policy :Set time limit for disconnected sessions).
🔸️فعال کردن LSASS Credential Guard یا RunAsPPL برای جلوگیری از Dump ساده LSASS. توضیح اینکه : CG کامل‌تره و سخت‌گیرانه‌تر، و RunAsPPL سبک‌تر و محدودتر
🔸️استفاده از Event ID 4624, 4634, 4776, 4769 برای مانیتور رفتار لاگین/تیکت.
🔸️محدود کردن تعداد کاربرانی که حق RDP به سرورهای حساس رو دارند.


💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

بای پس XDR و EDR هم داریم
به همراه نحوه کشف
یه تیم بنفش واقعی ✅️

پس حتی اگر سرفصل روز بلد باشید دست خالی نمیرید

مقاله صبحانه

روشهای دامپ LSASS


#آکادمی_روزبه


https://github.com/yo-yo-yo-jbo/dumping_lsass

مهم


بای پس Elastic EDR با Zero day


هم اکنون EDR های خود را دریابید


درایور elastic-endpoint-driver.sys که توسط «Microsoft Windows Hardware Compatibility Publisher» امضا شده، بخشی حیاتی از محصول Elastic EDR/Elastic Agent است. این امضا باعث می‌شود ویندوز و بسیاری از راهکارهای امنیتی به آن اعتماد کنند و آن را بدون بررسی عمیق بارگذاری کنند. نقصی که کشف شده، از نوع NULL Pointer Dereference (CWE‑476) است؛ یعنی ورودی‌های کنترل‌شده توسط کاربر بدون اعتبارسنجی مناسب وارد فانکشن‌های کرنل می‌شوند و می‌توانند باعث اجرای کد یا کرش سیستم شوند.

چنین درایورهای امضاشده ولی آسیب‌پذیر پیش‌تر هم مورد سوءاستفاده قرار گرفته‌اند، تکنیکی که به آن Bring Your Own Vulnerable Driver (BYOVD) می‌گویند. ابزارها و گروه‌هایی که از این روش استفاده کرده یا قابلیت آن را دارند، شامل:

EDRSandBlast، GodFault و AuKill برای غیرفعال کردن آنتی‌ویروس و EDR.
باج افرارهایی مثل BlackByte، BlackCat/ALPHV و Slingshot APT که قبل از رمزگذاری، محصولات امنیتی را با سوءاستفاده از درایورهای آسیب‌پذیر می‌کشند.
ابزار عمومی مثل KernelForge، KDU، و CheekyBlinder که برای بارگذاری و اکسپلویت درایور استفاده می‌شوند.

پروداکت‌هایی که ممکن است در معرض خطر باشند:

تمام نسخه‌های Elastic Defend / Elastic Agent که از این درایور نسخه 8.17.6 استفاده کنند.
سایر محصولات امنیتی یا نرم‌افزارهای سازمانی که این درایور را باندل کرده باشند (مثلاً در نسخه‌های خاص باندل‌شده SIEM/EDR).
هر محیط ویندوزی که اجازه بارگذاری این درایور امضاشده را بدهد، حتی اگر Elastic نصب نباشد ولی مسیر بارگذاری را مهاجم کنترل کند

#آکادمی_روزبه
مرکز تخصصی CISSP

https://cybersecuritynews-com.cdn.ampproject.org/c/s/cybersecuritynews.com/elastic-edr-0-day-vulnerability/amp/

درس 608 که با هم از 15 شهریور شروع میکنیم


دور زدن EDR با Parent PID Spoofing و Command Line Spoofing: تهدیدی پنهان برای SOC

مانند هر فناوری امنیتی دیگر، EDR نیز نقاط ضعف دارد. مهاجمان حرفه‌ای و تیم‌های Red Team سال‌هاست از این نقاط ضعف برای محو ردپا و شکستن روابط تحلیلی استفاده می‌کنند. دو روش رایج در این حوزه عبارت‌اند از:
یک Parent PID Spoofing (تغییر والد پردازش)
دو Command Line Spoofing (جعل خط فرمان پردازش)
1. Parent PID Spoofing:
والد جعلی برای پردازش
در ویندوز، تابع API به نام CreateProcess این امکان را می‌دهد که یک فرآیند جدید با تعیین یک شناسه پردازش والد دلخواه ایجاد شود (از طریق پارامتر STARTUPINFOEX). این قابلیت در اصل برای اهداف مشروع مانند UAC طراحی شده تا پردازش‌های با سطح دسترسی بالا، همچنان به پردازش اصلی گره بخورند.
ولی هکرها از این قابلیت برای چه استفاده می‌کنند؟
اجرای پردازش مخرب زیر والد بی‌گناه مثل explorer.exe
دور زدن قواعد EDR که بر اساس الگوهای والد-فرزند هشدار می‌دهند
یکی از ابزارهای مشهور برای آزمایش این تکنیک، SelectMyParent.exe اثر Didier Stevens است. کافی است نام پردازش مقصد و PID والد جعلی را بدهید تا یک رابطه ساختگی ایجاد شود. نتیجه این است که، مثلاً notepad.exe با والد ظاهری lsass.exe یا هر پردازش دیگری دیده شود، در حالی که در واقع والد واقعی آن یک لانچر مخرب بوده است.
2. روش‌های دیگر تغییر والد پردازش
علاوه بر CreateProcess مهاجمان گزینه‌های خلاقانه دیگری نیز دارند:
استفاده از COM Object یک پردازش دیگر
نمونه: ارجاع به COM Object explorer.exe برای راه‌اندازی کد مخرب (مورد استفاده در حرکت جانبی با DCOM).
VBScript + WMI
اجرای پردازش از طریق WMI با والد wmiprvse.exe که اغلب به‌عنوان ترافیک عادی تفسیر می‌شود.
Scheduled Tasks یا RunOnce Registry Keys
اجرای تأخیری یک پردازش مخرب با والد متفاوت، که ردیابی مسیر آلودگی را سخت‌تر می‌کند.
3. Command Line Spoofing:
جعل پارامترها
یکی دیگر از ستون‌های دفاعی EDR، ثبت آرگومان‌های خط فرمان است. این داده‌ها در Process Environment Block (PEB) پردازش ذخیره می‌شوند، اما در هسته سیستم (Kernel) محافظت خاصی ندارند. همین باعث می‌شود مهاجم بتواند:
پردازش را در حالت Suspended اجرا کند.
مقادیر Command Line را با متن بی‌خطر جایگزین کند.
پردازش را Resume کرده تا رفتار واقعی رخ دهد، در حالی که لاگ، نسخه جعل‌شده را ثبت کرده است.
این روش حتی می‌تواند ابزارهای قدرتمندی مانند Sysmon و Process Explorer را فریب دهد، مگر اینکه از تکنیک‌های پیشرفته تحلیل حافظه برای کشف Command Line واقعی استفاده شود.
4. سناریوی عملی و پیامدها برای SOC
فرض کنید در یک حمله فیشینگ، فایل ماکروی ورد یک VBScript اجرا می‌کند که از WMI برای راه‌اندازی بدافزار اصلی استفاده می‌کند. در نتیجه، والد پردازش wmiprvse.exe خواهد بود و بسیاری از قواعد عادی EDR آن را مشکوک نمی‌بینند.
یا در مثالی دیگر، بک‌دور کننده Cobalt Strike با استفاده از Command Line Spoofing نشان می‌دهد که پردازش بی‌آزار calc.exe با آرگومان‌های بی‌ضرر اجرا شده، در حالی که در واقع با آرگومان‌های اصلی، یک کانال C2 فعال را مدیریت می‌کند.
5. چالش‌ها و توصیه‌ها را در مقالات بعد خواهم داشت.


برای استفاده از این کلاس با مفاهیم غنی سنز با واتس اپ و بله 09902857290در تماس باشید

توصیه میکنم دوستان در SOC شرکت کنند 👇👇

وبینار هوش مصنوعی و آینده SOC: معرفی نرم‌افزار ThinkingSOC


https://eseminar.tv/wb162923

با تشکر از اعتماد دوستان و هموطنان

باتوجه به نیاز سازمانهای کشور؛ اولویت به برگزاری سازمانی داده شد
لذا پوزش من رو پذیرا باشید
انشالله آبانماه جبران میکنم
دوره سنز 599

اینو قبلا گذاشته بودم
ولی چون دیروز ازش اثری دیدم گفتم لینکش رو بگذارم

لطفا دقت کنید

https://specterops.io/blog/2025/08/14/juicing-ntds-dit-files-last-drop-dsinternals-powershell-active-directory-offline-attacks/

گزارش های مندینت رو از دست ندین
من اکثرش رو میخونم



این مقاله Google Security Operations یک کمپین فعال از سپتامبر ۲۰۲۴ را شرح می‌دهد که با استفاده از فلش‌های USB آلوده، زنجیره‌ای چندمرحله‌ای از بدافزارها برای استخراج ارز دیجیتال اجرا می‌کند. آلودگی با اجرای یک فایل .lnk مخرب آغاز می‌شود که اسکریپت VB و سپس BAT را اجرا می‌کند. این BAT با ایجاد پوشه جعلی شبیه System32، و با DLL Side‑loading، بدافزار DIRTYBULK را بارگذاری می‌کند. DIRTYBULK بدافزار CUTFAIL را تزریق می‌کند که با HIGHREPS و PUMPBENCH (بک‌دور) همراه شده و در نهایت XMRig برای ماینینگ مونرو و دیگر رمزارزها اجرا می‌شود.


https://security.googlecloudcommunity.com/community-blog-42/finding-malware-dirtybulk-and-friends-usb-infections-to-fuel-cybercriminal-coinmining-operations-5552?linkId=16283081