راهکار فرار بدافزارهای جدید

🔴وقتی از امنیت علیه امنیت استفاده میشه

خیلی خطرناک هستند
🟣واقعا راهکارهای جدیدی برای کشف این نوع نفوذ ها لازمه

این لینک مضاف برکتاب Evasive malware هست که در نوروز همخوانی می‌کنیم. اطلاعاتی جدید علاوه بر محتوای کتاب

#آکادمی_روزبه

https://www.akamai.com/blog/security-research/2025/feb/2025-february-abusing-vbs-enclaves-evasive-malware

🚨بررسی APIها و ابزارهای پرکاربرد در حملات Fileless و نحوه پایش آن‌ها در SOC
✍️روزبه نوروزی

حملات Fileless بدافزارهایی هستند که بدون ایجاد فایل روی دیسک، کد مخرب را مستقیماً در حافظه اجرا می‌کنند. این نوع حملات معمولاً از PowerShell، WMI، اسکریپت‌های ماکرو، و فرآیندهای معتبر ویندوز سوءاستفاده می‌کنند.

در اینجا لیستی از APIها و ابزارهای مهم مورد استفاده در این حملات همراه با روش‌های پایش آنها در SOC ارائه شده است.
📌این APIها و ابزارهای کلیدی در حملات Fileless
1️⃣ اجرای کد در حافظه

🔹 VirtualAlloc / VirtualAllocEx / VirtualProtect / VirtualProtectEx
🔹 NtAllocateVirtualMemory / NtProtectVirtualMemory
🔹 WriteProcessMemory / ReadProcessMemory
🔹 RtlMoveMemory / memcpy
🔹 CreateRemoteThread / NtCreateThreadEx / QueueUserAPC

✅ چطور پایش کنیم؟
🔍 در ETW (Event Tracing for Windows) و Sysmon می‌توان Event ID 10 (Process Access) و Event ID 8 (Process Injection) را بررسی کرد.
🔍 به تغییر مجوزهای حافظه از RW به RX مشکوک باشید.
🔍 نظارت بر VirtualAlloc همراه با CreateThread در یک فرآیند خاص (مثل explorer.exe).
2️⃣ اجرای کد از طریق پردازش‌های دیگر (Process Injection)

🔹 CreateRemoteThread → تزریق و اجرای کد در فرآیند دیگر
🔹 NtCreateThreadEx → روش مخفی‌تر برای ایجاد ترد
🔹 QueueUserAPC → اجرای کد هنگام اجرای ترد هدف
🔹 SetThreadContext / GetThreadContext → تغییر جریان اجرای یک ترد

✅ چطور پایش کنیم؟
🔍 Sysmon Event ID 8
را برای Process Injection بررسی کنید.
🔍 هرگونه اجرای غیرعادی CreateRemoteThread را در پراسس هایی مثل lsass.exe یا explorer.exe بررسی کنید.
🔍 محصولان EDRهایی مانند سیمنتک و CrowdStrike، Microsoft Defender for Endpoint، SentinelOne قابلیت تشخیص Injection را دارند.
3️⃣ سوءاستفاده از PowerShell و WMI

🔹استفاده از powershell.exe -EncodedCommand → اجرای اسکریپت رمزگذاری‌شده
🔹و wmic process call create → اجرای فرآیند با WMI
🔹و Invoke-Expression (IEX) → دانلود و اجرای کد مخرب
🔹و mshta.exe → اجرای کد مخرب HTML از راه دور

✅ چطور پایش کنیم؟
🔍 Sysmon Event ID 1
(Process Creation) را برای powershell.exe بررسی کنید.
🔍 PowerShell Logging
را فعال کنید (Script Block Logging و Module Logging).
🔍 درخواست‌های WMI را در Event ID 5861 و Event ID 5857 نظارت کنید.
🔍 Microsoft Defender ASR (Attack Surface Reduction)
را برای بلاک کردن WMIC و mshta.exe فعال کنید.
4️⃣ جایگزینی و هالویینگ پراسس(Process Hollowing)

🔹 NtUnmapViewOfSection → حذف کد اصلی یک فرآیند
🔹 ZwWriteVirtualMemory / WriteProcessMemory → تزریق کد جدید
🔹 NtResumeThread → اجرای کد جدید

✅ چطور پایش کنیم؟
🔍 Sysmon Event ID 10
را برای دسترسی غیرعادی به حافظه فرآیندها بررسی کنید.
🔍 تغییر مسیر اجرای فرآیند در Event ID 25 (Process Tampering) را بررسی کنید.
🔍 بررسی کنید که آیا فرآیندها مانند svchost.exe یا explorer.exe به ناگهان کد جدیدی دریافت کرده‌اند.
5️⃣ اجرای کد بدون ایجاد فایل (LOLbins)

🔹 rundll32.exe → اجرای DLLهای مخرب
🔹 regsvr32.exe /s /u /i:url → دانلود و اجرای DLL از اینترنت
🔹 msiexec.exe /q /i <url> → دانلود و اجرای بدافزار
🔹 certutil.exe -urlcache -split -f <url> → دانلود بدافزار
🔹 bitsadmin /transfer <url> → دانلود و اجرای مخفیانه بدافزار

✅ چطور پایش کنیم؟
🔍 اجرای این ابزارها با آرگومان‌های غیرعادی را در Sysmon Event ID 1 بررسی کنید.
🔍 از Application Control Policies (AppLocker) برای محدود کردن این ابزارها استفاده کنید.
🔍این Attack Surface Reduction (ASR) را در Microsoft Defender فعال کنید.
🎯 استراتژی کلی پایش حملات Fileless در SOC
✅ 1. فعال کردن Sysmon و ETW

اینSysmon Event IDs مهم:
ID 1 (Process Creation) → اجرای پردازش‌های مشکوک
ID 3 (Network Connection) → ارتباطات غیرعادی
ID 8 (Process Injection) → تزریق کد به فرآیندها
ID 10 (Process Access) → تغییرات در حافظه
ID 25 (Process Tampering) → تغییرات در فرآیندهای در حال اجرا

✅ 2. فعال کردن Windows Defender و EDR

Microsoft Defender ASR Rules:
بلاک کردن اجرای PSExec و WMI
جلوگیری از اجرای اسکریپت‌های رمزگذاری‌شده در PowerShell
محدود کردن mshta.exe و regsvr32.exe

✅ 3. استفاده از Threat Hunting در Splunk و SIEM

پایش VirtualAlloc همراه با CreateThread در یک فرآیند
جستجوی powershell.exe -EncodedCommand در لاگ‌ها
بررسی ارتباطات غیرعادی با Sysmon Event ID 3
یافتن جابجایی فرآیندها (NtUnmapViewOfSection)

#آکادمی_روزبه

🚀 نتیجه‌گیری🎖👇👇

حملات Fileless به‌دلیل عدم ایجاد فایل روی دیسک، توسط آنتی‌ویروس‌های سنتی به‌راحتی قابل شناسایی نیستند. اما با ترکیب Sysmon، EDR، و Threat Hunting در SIEM می‌توان این نوع حملات را شناسایی کرد


#آکادمی_روزبه

سیسمون از نگاه محمد فانیان

#آکادمی_روزبه

نکته جالب امشب

#آکادمی_روزبه

https://blog.devolutions.net/2025/03/using-rdp-without-leaving-traces-the-mstsc-public-mode/

در زمان لاگین کاربر در لینوکس دقیقا چه اتفاقی می‌افتد؟
درسی برای مدیریت حوادث لینوکس


تصویر از درس سنز ۵۷۷ Linux DFIR
#آکادمی_روزبه

https://for577.com/bashlogin

نیم نگاهی به DFIR اکتیو

#آکادمی_روزبه

خیلی پک شده و جمع و جور میخوای رجستری ویندوز در راستای فارنزیک رو درک کنی و چالش هاش رو بدونی لینک زیر رو بهت معرفی میکنم

#آکادمی_روزبه

https://belkasoft.com/windows-registry-forensics-structure-and-aquisition

نکته فنی روز

تحلیل اجرای کد در محیط‌های سراب (Phantom Execution)

مفهوم:

برخی از بدافزارهای پیشرفته برای جلوگیری از تحلیل، از تکنیکی به نام "Phantom Execution" استفاده می‌کنند. در این روش، بدافزار کدی را اجرا می‌کند که در واقع وجود خارجی ندارد!

چگونه؟

بدافزار ابتدا یک فضای حافظه تخصیص می‌دهد، اما قبل از اینکه کد واقعی در آن قرار بگیرد، CPU را مجبور می‌کند تا آن را اجرا کند.
این کار معمولاً با دستکاری مستقیم Instruction Pointer (EIP/RIP) یا Branch Prediction انجام می‌شود.
برخی پردازنده‌ها، مخصوصاً آن‌هایی که مکانیزم Speculative Execution دارند، ممکن است دستورالعمل‌های بارگذاری‌نشده را موقتاً پردازش کنند، که امکان اجرای کدی را فراهم می‌آورد که عملاً در حافظه وجود ندارد.

چطور مهندسی معکوسش کنیم؟

از Intel Pin یا DynamoRIO برای بررسی رفتارهای غیرعادی اجرای کد استفاده کنید.
ابزارهایی مانند Bochs یا Unicorn Engine می‌توانند پردازش قبل از اجرای واقعی را شبیه‌سازی کنند.
از Branch Tracing در CPUهای مدرن (مثلاً با استفاده از Intel PT) برای کشف شاخه‌های غیرمنتظره کمک بگیرید.

چرا این تکنیک خطرناک است؟

آنتی‌ویروس‌ها و دیباگرهای کلاسیک نمی‌توانند چیزی را که در حافظه بارگذاری نشده تحلیل کنند!
این تکنیک می‌تواند برای اجرای شل‌کدهای مخفی و دور زدن مکانیزم‌های امنیتی استفاده شود.


تمرین عملی هم خواهیم داشت
گروه نوروز کتابخوانی Evasive Malware بدافزار های پیشرفته

#آکادمی_روزبه
#من_آموزش_میدهم

پیرو درخواست دوستان
لینک گروه کتابخوانی عید نوروز
https://t.me/+BhYnsv9Zm6ozODNk

درحال حاضر مباحث پیش نیاز درحال بررسی است

SANS SEC 599: Defeating Advanced Adversaries - Purple Team Tactics & Kill Chain Defenses™

https://t.me/+2azCZP9ZQU1lMTc0

بنا به درخواست دوستان گروهی برای بحث و بررسی در خصوص تیم بنفش Purple Team خواهیم داشت

مباحث در این گروه هم شروع شده است
درحال حاضر بحث جزییات سیسمون هست

مستندی از بلک سل در مورد هانت
#آکادمی_روزبه

گزارش امشب تکنیکی از مندینت

#آکادمی_روزبه

https://cloud.google.com/blog/topics/threat-intelligence/session-stealing-browser-in-the-middle?linkId=13512453

پیام مهم در ساعات پایانی سال ۱۴۰۳

در امنیت، مهم‌ترین تهدیدها همیشه از حملات آشکار نمی‌آیند، بلکه از جزئیاتی که همه فکر می‌کنند بی‌اهمیت هستند.

یک نکته جالب درباره‌ی هک و امنیت اینه که بدافزارها همیشه به دنبال نقاط ضعف آشکار نیستند، بلکه اغلب از اشتباهات کوچک و نامرئی استفاده می‌کنند که حتی متخصصان هم نادیده می‌گیرند.

مثلاً در سال 2010، استاکس‌نت (Stuxnet) یکی از پیشرفته‌ترین بدافزارهای تاریخ، از یک نقص جزئی در نحوه‌ی مدیریت فایل‌های لجر پرینتر ویندوز برای اجرای کد مخرب استفاده کرد! این یعنی هکرهای حرفه‌ای حتی به جزئیاتی مثل نحوه‌ی نمایش یک فایل روی پرینتر هم دقت می‌کنند.

دقت و ریز بینی ؛ رکن مهم در امنیت سایبری

#آکادمی_روزبه

سال نو و نوروز مبارک 🌹

گروه سنز ۵۹۹

گروه کتاب Evasive Malware

شرایط شغلی متخصص امنیت اکتیو دایرکتوری

#آکادمی_روزبه

https://verizon.wd12.myworkdayjobs.com/verizon-careers/job/Temple-Terrace-Florida/Principal-Active-Directory-Security-Engineer_R-1064628

بسم الله
شروع همخوانی کتاب نوروز 🌹

روزی ۵۰ صفحه epub یا ۳۲ صفحه معمول؛ از ۱ فروردین ۱۴۰۴
در گروه کانال تلگرامی آکادمی آموزش روزبه

نام کامل و نویسنده
A Field Guide to Detecting, Analyzing, and Defeating Advanced Threats
by Kyle Cucci
July 2024, 488 pp.
ISBN-13:
9781718503267

بدافزار های پیشرفته : راهنمای عملی و اجرایی برای کشف ، آنالیز و خنثی سازی تهدیدات پیشرفته سایبری

سرفصل کتابی که میخوانیم

Introduction
Part I: The Fundamentals
Chapter 1: Windows Foundational Concepts
Chapter 2: A Crash Course in Malware Triage and Behavioral Analysis
Chapter 3: A Crash Course in Static and Dynamic Code Analysis
Part II: Context Awareness and Sandbox Evasion
Chapter 4: Enumerating Operating System Artifacts
Chapter 5: User Environment and Interaction Detection
Chapter 6: Enumerating Hardware and Network Configurations
Chapter 7: Runtime Environment and Virtual Processor Anomalies
Chapter 8: Evading Sandboxes and Disrupting Analysis
Part III: Anti-reversing
Chapter 9: Anti-disassembly
Chapter 10: Anti-debugging
Chapter 11: Covert Code Execution and Misdirection
Part IV: Defense Evasion
Chapter 12: Process Injection, Manipulation, and Hooking
Chapter 13: Evading Network and Endpoint Defenses
Chapter 14: An Introduction to Rootkits
Chapter 15: Fileless Malware and Anti-forensics
Part V: Other Topics
Chapter 16: Encoding and Encryption
Chapter 17: Packers and Unpacking Malware
Chapter 18: Tips for Building an Anti-evasion Analysis Lab
Appendix A: Evasion-Related Windows API Functions
Appendix B: Windows LOLbins and Example Usage
Appendix C: Further Reading

🍀🍀همیشه بخوان همیشه رشد کن🌱🌱