درسی از روز نهم مطالعه کتاب نوروز Evasive malware
چطور رولها و ابزار های کشف APT که توسط افتا منتشر میشوند ممکن است باعث خطر شوند؟
همانطور که میدانیم افتا در زمانهایی ابزارها یا رول‌هایی که حاصل از کشف حملات بوده است را برای جستجو در سایر سازمانها ارسال میکند
این امر عملی بسیار پسندیده و قابل تقدیر است همانطور که سازمان CISA در آمریکا همین کار را انجام میدهد.
اما لازم است در خصوص اجرای ابزار و رولها توجه به نکته ای را یادآور شوم
جستجوی رد پا یا هر عملی که منجر به تلاش برای شناسایی نفوذ بشود ممکن است هکر یا بدافزار را ترغیب کند که عملی دیگه انجام بدهد که فعلا قصد نداشته است مثلا شروع به وایپ سرور کند . لذا پیش از هرگونه عملی درخصوص رهگیری هکر و بدافزار باید اقدامات پیشگیرانه نظیر بک آپ یا جداسازی از اینترنت انجام شود.
درنتیجه اجرای ابزارهای دیتکتور نیاز به توجه و مشاوره دارد.
#آکادمی_روزبه
چطور رولها و ابزار های کشف APT که توسط افتا منتشر میشوند ممکن است باعث خطر شوند؟
همانطور که میدانیم افتا در زمانهایی ابزارها یا رول‌هایی که حاصل از کشف حملات بوده است را برای جستجو در سایر سازمانها ارسال میکند
این امر عملی بسیار پسندیده و قابل تقدیر است همانطور که سازمان CISA در آمریکا همین کار را انجام میدهد.
اما لازم است در خصوص اجرای ابزار و رولها توجه به نکته ای را یادآور شوم
جستجوی رد پا یا هر عملی که منجر به تلاش برای شناسایی نفوذ بشود ممکن است هکر یا بدافزار را ترغیب کند که عملی دیگه انجام بدهد که فعلا قصد نداشته است مثلا شروع به وایپ سرور کند . لذا پیش از هرگونه عملی درخصوص رهگیری هکر و بدافزار باید اقدامات پیشگیرانه نظیر بک آپ یا جداسازی از اینترنت انجام شود.
درنتیجه اجرای ابزارهای دیتکتور نیاز به توجه و مشاوره دارد.
#آکادمی_روزبه
👍6
به همگان توصیه میکنم
و برای آنان که می‌خواهند جا نمانند توجهشان را به این نمودار جلب میکنم
✅️اگر بتوانید ترکیبی از باکس مهارت‌های بالا سمت راست رو در امنیت سایبری ( فلش سمت چپ) برای خود فراهم کنید موفق خواهید بود
گزارش کامل در https://lnkd.in/djNH_-Nf
#آکادمی_روزبه
و برای آنان که می‌خواهند جا نمانند توجهشان را به این نمودار جلب میکنم
✅️اگر بتوانید ترکیبی از باکس مهارت‌های بالا سمت راست رو در امنیت سایبری ( فلش سمت چپ) برای خود فراهم کنید موفق خواهید بود
گزارش کامل در https://lnkd.in/djNH_-Nf
#آکادمی_روزبه
❤🔥2🙏1
مقاله ای که امروز عصر میخوانم
#آکادمی_روزبه
https://www.wietzebeukema.nl/blog/bypassing-detections-with-command-line-obfuscation
#آکادمی_روزبه
https://www.wietzebeukema.nl/blog/bypassing-detections-with-command-line-obfuscation
www.wietzebeukema.nl
Bypassing Detections with Command-Line Obfuscation
Defensive tools like AVs and EDRs rely on command-line arguments for detecting malicious activity. This post demonstrates how command-line obfuscation, a shell-independent technique that exploits executables’ parsing “flaws”, can bypass such detections. It…
به بوت توجه ویژه داشته باشیم .
مکانیسم ELAM (Early Launch Anti-Malware) چیست و چگونه کار میکند؟
✍️روزبه نوروزی
1. معرفی ELAM
فناوری ELAM (Early Launch Anti-Malware) یک ویژگی امنیتی در ویندوز است که قبل از بارگذاری سایر درایورها در فرآیند بوت، درایورهای امنیتی را اجرا میکند. این ویژگی برای محافظت از سیستم در برابر بدافزارهایی که قصد دارند هنگام راه‌اندازی سیستم (boot-time) اجرا شوند، طراحی شده است.
2. چرا ELAM مهم است؟
برخی از بدافزارهای پیشرفته، مانند بوت‌کیت‌ها (Bootkits) و روت‌کیت‌ها (Rootkits)، تلاش می‌کنند تا قبل از راه‌اندازی سیستم‌عامل، کنترل کامپیوتر را در اختیار بگیرند. این نوع بدافزارها می‌توانند خود را در درایورهای بوتی پنهان کنند و حتی آنتی‌ویروس‌ها را غیرفعال کنند. ELAM از این مسئله جلوگیری میکند.
3. نحوه عملکرد ELAM
هنگامی که کامپیوتر روشن می‌شود، سیستم‌عامل اولین درایوری که بارگذاری میکند یک درایور ELAM است.
این درایور که معمولاً توسط شرکت‌های امنیتی مانند Microsoft Defender، Symantec، یا Trend Micro توسعه داده شده، بررسی میکند که سایر درایورهای بوت خطری دارند یا نه.
اگر یک درایور مشکوک یا مخرب شناسایی شود، سیستم‌عامل می‌تواند از بارگذاری آن جلوگیری کند.
4. فرآیند کاری ELAM در سطح فنی
اولویت اجرای ELAM: ویندوز از مکانیزم ELAM استفاده میکند تا اطمینان حاصل کند که اولین درایوری که هنگام بوت اجرا می‌شود، درایور ضدبدافزار است.
ارزیابی درایورها: ELAM درایورهای دیگر را بررسی کرده و به هر یک امتیازی میدهد (مثلاً امن، مشکوک، مخرب).
تصمیم‌گیری توسط سیستم: بسته به امتیاز، سیستم‌عامل تصمیم می‌گیرد که آیا اجازه دهد درایور بارگذاری شود یا خیر.
5. مزایای ELAM برای EDR و XDR
محافظت در برابر بدافزارهای سطح پایین: چون ELAM در سطح کرنل قبل از بوت سیستم اجرا می‌شود، حتی پیچیده‌ترین بدافزارها هم شانس کمی برای فرار از شناسایی دارند.
جلوگیری از حملات پایدار (Persistent Threats): برخی از بدافزارها پس از ریستارت هم باقی می‌مانند، اما ELAM می‌تواند از این حملات جلوگیری کند.
افزایش امنیت EDR و XDR: چون EDRها نیاز دارند که از سطح پایین سیستم‌عامل نظارت داشته باشند، ELAM کمک میکند که قبل از بارگذاری سایر مؤلفه‌ها، امنیت اولیه برقرار شود.
6. محدودیت‌های ELAM
این ELAM فقط درایورهای بوتی را بررسی میکند، بنابراین نمی‌تواند از سایر روش‌های حمله مانند اسکریپت‌های مخرب در لایه‌های بالاتر جلوگیری کند.
این مکانیزم فقط در صورتی کار میکند که ویندوز Secure Boot را فعال کرده باشد، وگرنه ممکن است بدافزارها راهی برای دور زدن آن پیدا کنند.
اما اینکه چطور بدافزار های پیشرفته همه ی ما را ناک اوت !! می‌کنند را در گروه نوروز کانال تلگرام آکادمی روزبه درحال خواندن هستیم
#آکادمی_روزبه
#من_آموزش_میدهم
مکانیسم ELAM (Early Launch Anti-Malware) چیست و چگونه کار میکند؟
✍️روزبه نوروزی
1. معرفی ELAM
فناوری ELAM (Early Launch Anti-Malware) یک ویژگی امنیتی در ویندوز است که قبل از بارگذاری سایر درایورها در فرآیند بوت، درایورهای امنیتی را اجرا میکند. این ویژگی برای محافظت از سیستم در برابر بدافزارهایی که قصد دارند هنگام راه‌اندازی سیستم (boot-time) اجرا شوند، طراحی شده است.
2. چرا ELAM مهم است؟
برخی از بدافزارهای پیشرفته، مانند بوت‌کیت‌ها (Bootkits) و روت‌کیت‌ها (Rootkits)، تلاش می‌کنند تا قبل از راه‌اندازی سیستم‌عامل، کنترل کامپیوتر را در اختیار بگیرند. این نوع بدافزارها می‌توانند خود را در درایورهای بوتی پنهان کنند و حتی آنتی‌ویروس‌ها را غیرفعال کنند. ELAM از این مسئله جلوگیری میکند.
3. نحوه عملکرد ELAM
هنگامی که کامپیوتر روشن می‌شود، سیستم‌عامل اولین درایوری که بارگذاری میکند یک درایور ELAM است.
این درایور که معمولاً توسط شرکت‌های امنیتی مانند Microsoft Defender، Symantec، یا Trend Micro توسعه داده شده، بررسی میکند که سایر درایورهای بوت خطری دارند یا نه.
اگر یک درایور مشکوک یا مخرب شناسایی شود، سیستم‌عامل می‌تواند از بارگذاری آن جلوگیری کند.
4. فرآیند کاری ELAM در سطح فنی
اولویت اجرای ELAM: ویندوز از مکانیزم ELAM استفاده میکند تا اطمینان حاصل کند که اولین درایوری که هنگام بوت اجرا می‌شود، درایور ضدبدافزار است.
ارزیابی درایورها: ELAM درایورهای دیگر را بررسی کرده و به هر یک امتیازی میدهد (مثلاً امن، مشکوک، مخرب).
تصمیم‌گیری توسط سیستم: بسته به امتیاز، سیستم‌عامل تصمیم می‌گیرد که آیا اجازه دهد درایور بارگذاری شود یا خیر.
5. مزایای ELAM برای EDR و XDR
محافظت در برابر بدافزارهای سطح پایین: چون ELAM در سطح کرنل قبل از بوت سیستم اجرا می‌شود، حتی پیچیده‌ترین بدافزارها هم شانس کمی برای فرار از شناسایی دارند.
جلوگیری از حملات پایدار (Persistent Threats): برخی از بدافزارها پس از ریستارت هم باقی می‌مانند، اما ELAM می‌تواند از این حملات جلوگیری کند.
افزایش امنیت EDR و XDR: چون EDRها نیاز دارند که از سطح پایین سیستم‌عامل نظارت داشته باشند، ELAM کمک میکند که قبل از بارگذاری سایر مؤلفه‌ها، امنیت اولیه برقرار شود.
6. محدودیت‌های ELAM
این ELAM فقط درایورهای بوتی را بررسی میکند، بنابراین نمی‌تواند از سایر روش‌های حمله مانند اسکریپت‌های مخرب در لایه‌های بالاتر جلوگیری کند.
این مکانیزم فقط در صورتی کار میکند که ویندوز Secure Boot را فعال کرده باشد، وگرنه ممکن است بدافزارها راهی برای دور زدن آن پیدا کنند.
اما اینکه چطور بدافزار های پیشرفته همه ی ما را ناک اوت !! می‌کنند را در گروه نوروز کانال تلگرام آکادمی روزبه درحال خواندن هستیم
#آکادمی_روزبه
#من_آموزش_میدهم
👌5👍2
نظر مایکروسافت در مورد کردنشیال دامپینگ و مقابله
#آکادمی_روزبه
https://www.microsoft.com/en-us/security/blog/2022/10/05/detecting-and-preventing-lsass-credential-dumping-attacks/
#آکادمی_روزبه
https://www.microsoft.com/en-us/security/blog/2022/10/05/detecting-and-preventing-lsass-credential-dumping-attacks/
Microsoft News
Detecting and preventing LSASS credential dumping attacks
LSASS credential dumping is becoming prevalent, especially with the rise of human-operated ransomware. In May 2022, Microsoft participated in an evaluation conducted by AV-Comparatives specifically on detecting and blocking this attack technique and we’re…
👌1
از ویدئو های مرور دوره سنز ۵۹۹ در گروه نوروز
بررسی تغییرات در ابزار BloodHound
نفوذ در اکتیو دایرکتوری
#به_روز_باشیم
#آکادمی_روزبه
https://youtu.be/2pBzifWjfMY?si=Yue2udz5AKHlY4ov
بررسی تغییرات در ابزار BloodHound
نفوذ در اکتیو دایرکتوری
#به_روز_باشیم
#آکادمی_روزبه
https://youtu.be/2pBzifWjfMY?si=Yue2udz5AKHlY4ov
YouTube
BloodHound Live: Monthly Release Recap (Jan. 2025)
This monthly webinar delves into the features enabled in the latest BloodHound release. Each month, we’ll demo tech enhancements from BloodHound, highlight relevant news, innovations and inspirations from the open-source community, and trends in adversarial…
💯1
ابزاری برای تست سرتیفیکیت
#آکادمی_روزبه
https://medium.com/@sherlock297/exploring-tlsx-by-projectdiscovery-a-powerful-tool-for-security-enthusiasts-86d5e965999c
#آکادمی_روزبه
https://medium.com/@sherlock297/exploring-tlsx-by-projectdiscovery-a-powerful-tool-for-security-enthusiasts-86d5e965999c
Medium
Exploring TLSX by Projectdiscovery: A Powerful Tool for Security Enthusiasts
In the ever-evolving world of cybersecurity, staying ahead of potential threats is a constant challenge. With the increasing importance of…
👌1
راهکارهایی برای تحقیق و مطالعه
افزایش بهره وری خواندن
#آکادمی_روزبه
استفاده از NotebookLM گوگل
5 NotebookLM tips I use to supercharge my productivity
https://www.xda-developers.com/notebooklm-tips-use-to-supercharge-productivity/
افزایش بهره وری خواندن
#آکادمی_روزبه
استفاده از NotebookLM گوگل
5 NotebookLM tips I use to supercharge my productivity
https://www.xda-developers.com/notebooklm-tips-use-to-supercharge-productivity/
XDA
5 NotebookLM tips I use to supercharge my productivity
Unlock peak productivity with these NotebookLM hacks
👌2
یک لینک جمع و جور برای هاردنینگ اکتیو
#آکادمی_روزبه
https://techcommunity.microsoft.com/tag/adhardening
#آکادمی_روزبه
https://techcommunity.microsoft.com/tag/adhardening
TECHCOMMUNITY.MICROSOFT.COM
Tag:"adhardening" | Microsoft Community Hub
Find all posts, articles, and events tagged with "adhardening" in Microsoft Community Hub. Stay informed with the latest updates from our community
👍3
مقاله زیر بخشی از مجموعه‌ای به نام "ردیابی دشمنان" است که گروه‌های تهدید سایبری را بررسی میکند. این مقاله به‌طور خاص به ارتباط بین دو گروه سایبری روسی‌زبان، EvilCorp و RansomHub، می‌پردازد.
این RansomHub چیست؟ مقولهRansomHub یک عملیات باج‌افزاری به‌عنوان سرویس (RaaS) است که از فوریه ۲۰۲۴ فعال بوده و توسط مهاجمان روسی‌زبان اداره می‌شود. این گروه با جذب همکاران سابق از عملیات‌های باج‌افزاری دیگر مانند ALPHV/BlackCat و LockBit، به یکی از گسترده‌ترین خانواده‌های باج‌افزاری تا اوایل ۲۰۲۵ تبدیل شده است. ابزارها و تکنیک‌های مورد استفاده توسط همکاران RansomHub می‌تواند به‌طور قابل‌توجهی متفاوت باشد، زیرا هر همکار ممکن است روش‌های خاص خود را برای نفوذ و اجرای باج‌افزار داشته باشد.
این EvilCorp چیست؟
مقوله EvilCorp یک شبکه جرایم سایبری بین‌المللی مستقر در روسیه است که به‌دلیل انجام حملات مالی سایبری در مقیاس بزرگ تحت تحریم قرار گرفته است. این گروه به رهبری ماکسیم یاکوبتس، فعالیت‌های خود را از کمپین‌های تروجان بانکی Dridex به توسعه باج‌افزارهایی مانند BitPaymer، WastedLocker، Hades، PhoenixLocker و MacawLocker گسترش داده است.
ارتباط بین EvilCorp و RansomHub در ژوئیه ۲۰۲۴، مایکروسافت اعلام کرد که RansomHub در فعالیت‌های پس از نفوذ توسط EvilCorp، پس از دسترسی اولیه از طریق بدافزار SocGholish (معروف به FakeUpdates)، مشاهده شده است. در ژانویه ۲۰۲۵، شرکت GuidePoint گزارشی درباره یک در پشتی پایتونی جدید که توسط یکی از همکاران RansomHub استفاده می‌شد، منتشر کرد؛ این در پشتی توسط SocGholish تحویل داده شده بود. روز بعد، گوگل گزارشی درباره EvilCorp منتشر کرد که ابزارها و بدافزارهای مورد استفاده آن‌ها برای تحویل RansomHub، از جمله در پشتی پایتونی به نام VIPERTUNNEL را فاش کرد. در مارس ۲۰۲۵، ترند میکرو جزئیات بیشتری ارائه داد که تأیید می‌کرد بدافزار SocGholish منجر به اجرای باج‌افزار RansomHub می‌شود.
این ارتباطات نشان میدهد که گروه‌های تهدید سایبری چگونه با یکدیگر همکاری می‌کنند و تکنیک‌ها و ابزارهای مشابهی را به اشتراک می‌گذارند. درک این روابط برای توسعه راهکارهای دفاعی مؤثر در برابر این تهدیدات اهمیت دارد
#آکادمی_روزبه
https://blog.bushidotoken.net/2025/04/tracking-adversaries-evilcorp-ransomhub.html
این RansomHub چیست؟ مقولهRansomHub یک عملیات باج‌افزاری به‌عنوان سرویس (RaaS) است که از فوریه ۲۰۲۴ فعال بوده و توسط مهاجمان روسی‌زبان اداره می‌شود. این گروه با جذب همکاران سابق از عملیات‌های باج‌افزاری دیگر مانند ALPHV/BlackCat و LockBit، به یکی از گسترده‌ترین خانواده‌های باج‌افزاری تا اوایل ۲۰۲۵ تبدیل شده است. ابزارها و تکنیک‌های مورد استفاده توسط همکاران RansomHub می‌تواند به‌طور قابل‌توجهی متفاوت باشد، زیرا هر همکار ممکن است روش‌های خاص خود را برای نفوذ و اجرای باج‌افزار داشته باشد.
این EvilCorp چیست؟
مقوله EvilCorp یک شبکه جرایم سایبری بین‌المللی مستقر در روسیه است که به‌دلیل انجام حملات مالی سایبری در مقیاس بزرگ تحت تحریم قرار گرفته است. این گروه به رهبری ماکسیم یاکوبتس، فعالیت‌های خود را از کمپین‌های تروجان بانکی Dridex به توسعه باج‌افزارهایی مانند BitPaymer، WastedLocker، Hades، PhoenixLocker و MacawLocker گسترش داده است.
ارتباط بین EvilCorp و RansomHub در ژوئیه ۲۰۲۴، مایکروسافت اعلام کرد که RansomHub در فعالیت‌های پس از نفوذ توسط EvilCorp، پس از دسترسی اولیه از طریق بدافزار SocGholish (معروف به FakeUpdates)، مشاهده شده است. در ژانویه ۲۰۲۵، شرکت GuidePoint گزارشی درباره یک در پشتی پایتونی جدید که توسط یکی از همکاران RansomHub استفاده می‌شد، منتشر کرد؛ این در پشتی توسط SocGholish تحویل داده شده بود. روز بعد، گوگل گزارشی درباره EvilCorp منتشر کرد که ابزارها و بدافزارهای مورد استفاده آن‌ها برای تحویل RansomHub، از جمله در پشتی پایتونی به نام VIPERTUNNEL را فاش کرد. در مارس ۲۰۲۵، ترند میکرو جزئیات بیشتری ارائه داد که تأیید می‌کرد بدافزار SocGholish منجر به اجرای باج‌افزار RansomHub می‌شود.
این ارتباطات نشان میدهد که گروه‌های تهدید سایبری چگونه با یکدیگر همکاری می‌کنند و تکنیک‌ها و ابزارهای مشابهی را به اشتراک می‌گذارند. درک این روابط برای توسعه راهکارهای دفاعی مؤثر در برابر این تهدیدات اهمیت دارد
#آکادمی_روزبه
https://blog.bushidotoken.net/2025/04/tracking-adversaries-evilcorp-ransomhub.html
blog.bushidotoken.net
Tracking Adversaries: EvilCorp, the RansomHub affiliate
CTI, threat intelligence, OSINT, malware, APT, threat hunting, threat analysis, CTF, cybersecurity, security
حمله RAMBO: نفوذ به سیستم‌های ایزوله با کانال‌های جانبی
حمله RAMBO (Radiation Amplification for Mitigating Bounded Observability) یکی از جدیدترین تکنیک‌های استخراج داده از سیستم‌های ایزوله (air-gapped) است که از سیگنال‌های Wi-Fi به‌عنوان یک کانال جانبی برای انتقال داده استفاده میکند. سیستم‌های ایزوله به‌طور فیزیکی از شبکه‌های خارجی جدا شده‌اند تا از نشت اطلاعات جلوگیری شود، اما این تحقیق نشان میدهد که حتی این سیستم‌ها نیز در برابر حملات پیچیده آسیب‌پذیر هستند.
مفهوم کانال‌های جانبی و ارتباط آن با RAMBO
کانال‌های جانبی روش‌هایی برای استخراج اطلاعات از یک سیستم هستند که از مسیرهای غیرمستقیم استفاده می‌کنند. برخلاف حملات معمولی که بر نقاط ضعف نرم‌افزاری یا سخت‌افزاری تمرکز دارند، حملات کانال جانبی از ویژگی‌های فیزیکی سیستم، مانند تشعشعات الکترومغناطیسی، نوسانات ولتاژ، یا تأخیرهای زمانی سوءاستفاده می‌کنند.
در حمله RAMBO، سیگنال‌های Wi-Fi به‌عنوان یک کانال جانبی مورد استفاده قرار می‌گیرند. این حمله از تغییرات سطح انرژی و الگوی ارسال داده در کارت شبکه Wi-Fi برای ایجاد یک سیگنال رمزگذاری‌شده استفاده میکند که توسط یک مهاجم در فاصله‌ای مشخص قابل‌دریافت است.
نحوه عملکرد حمله RAMBO
حمله RAMBO شامل چندین مرحله است:
تبدیل داده‌های حساس به یک الگوی سیگنال Wi-Fi: مهاجم روی سیستم ایزوله یک برنامه‌ی مخرب را اجرا میکند که با کنترل سطح انرژی کارت شبکه Wi-Fi، الگوهای خاصی از امواج را تولید میکند.
انتشار سیگنال‌های مخفی: این برنامه میزان تشعشعات را بر اساس داده‌های استخراجی تغییر میدهد و یک سیگنال قابل‌شناسایی برای دریافت‌کننده ایجاد میکند.
دریافت و رمزگشایی اطلاعات: مهاجم که در نزدیکی سیستم ایزوله قرار دارد، با استفاده از دستگاه‌هایی مانند آنتن‌های Wi-Fi یا نرم‌افزارهای تحلیل فرکانس، این سیگنال‌ها را دریافت و رمزگشایی میکند.
چالش‌ها و محدودیت‌ها
باوجود اینکه RAMBO یک روش پیچیده و هوشمندانه است، چالش‌هایی نیز دارد:
محدودیت فاصله: این حمله به حضور فیزیکی مهاجم در محدوده‌ی انتشار سیگنال نیاز دارد، بنابراین اجرای آن در محیط‌های کنترل‌شده سخت‌تر است.
نیاز به اجرای کد مخرب: برای موفقیت این حمله، ابتدا باید یک بدافزار روی سیستم هدف اجرا شود، که مستلزم یک روش ورود اولیه (مثلاً مهندسی اجتماعی یا حملات USB) است.
اثرپذیری از نویز محیطی: تشعشعات دیگر دستگاه‌های الکترونیکی می‌توانند روی دقت دریافت سیگنال تأثیر بگذارند.
روش‌های مقابله با حمله RAMBO
برای جلوگیری از این نوع حملات، اقدامات زیر پیشنهاد می‌شود:
حذف سخت‌افزارهای بی‌سیم در سیستم‌های ایزوله
ایجاد شیلدهای الکترومغناطیسی در محیط‌های حساس
نظارت بر مصرف انرژی و الگوی ارتباطی کارت‌های شبکه
استفاده از الگوریتم‌های تشخیص ناهنجاری در ارسال سیگنال‌ها
#آکادمی_روزبه
https://medium.com/radio-hackers/covert-channel-chronicles-the-rambo-attack-3b3e979dcb44
حمله RAMBO (Radiation Amplification for Mitigating Bounded Observability) یکی از جدیدترین تکنیک‌های استخراج داده از سیستم‌های ایزوله (air-gapped) است که از سیگنال‌های Wi-Fi به‌عنوان یک کانال جانبی برای انتقال داده استفاده میکند. سیستم‌های ایزوله به‌طور فیزیکی از شبکه‌های خارجی جدا شده‌اند تا از نشت اطلاعات جلوگیری شود، اما این تحقیق نشان میدهد که حتی این سیستم‌ها نیز در برابر حملات پیچیده آسیب‌پذیر هستند.
مفهوم کانال‌های جانبی و ارتباط آن با RAMBO
کانال‌های جانبی روش‌هایی برای استخراج اطلاعات از یک سیستم هستند که از مسیرهای غیرمستقیم استفاده می‌کنند. برخلاف حملات معمولی که بر نقاط ضعف نرم‌افزاری یا سخت‌افزاری تمرکز دارند، حملات کانال جانبی از ویژگی‌های فیزیکی سیستم، مانند تشعشعات الکترومغناطیسی، نوسانات ولتاژ، یا تأخیرهای زمانی سوءاستفاده می‌کنند.
در حمله RAMBO، سیگنال‌های Wi-Fi به‌عنوان یک کانال جانبی مورد استفاده قرار می‌گیرند. این حمله از تغییرات سطح انرژی و الگوی ارسال داده در کارت شبکه Wi-Fi برای ایجاد یک سیگنال رمزگذاری‌شده استفاده میکند که توسط یک مهاجم در فاصله‌ای مشخص قابل‌دریافت است.
نحوه عملکرد حمله RAMBO
حمله RAMBO شامل چندین مرحله است:
تبدیل داده‌های حساس به یک الگوی سیگنال Wi-Fi: مهاجم روی سیستم ایزوله یک برنامه‌ی مخرب را اجرا میکند که با کنترل سطح انرژی کارت شبکه Wi-Fi، الگوهای خاصی از امواج را تولید میکند.
انتشار سیگنال‌های مخفی: این برنامه میزان تشعشعات را بر اساس داده‌های استخراجی تغییر میدهد و یک سیگنال قابل‌شناسایی برای دریافت‌کننده ایجاد میکند.
دریافت و رمزگشایی اطلاعات: مهاجم که در نزدیکی سیستم ایزوله قرار دارد، با استفاده از دستگاه‌هایی مانند آنتن‌های Wi-Fi یا نرم‌افزارهای تحلیل فرکانس، این سیگنال‌ها را دریافت و رمزگشایی میکند.
چالش‌ها و محدودیت‌ها
باوجود اینکه RAMBO یک روش پیچیده و هوشمندانه است، چالش‌هایی نیز دارد:
محدودیت فاصله: این حمله به حضور فیزیکی مهاجم در محدوده‌ی انتشار سیگنال نیاز دارد، بنابراین اجرای آن در محیط‌های کنترل‌شده سخت‌تر است.
نیاز به اجرای کد مخرب: برای موفقیت این حمله، ابتدا باید یک بدافزار روی سیستم هدف اجرا شود، که مستلزم یک روش ورود اولیه (مثلاً مهندسی اجتماعی یا حملات USB) است.
اثرپذیری از نویز محیطی: تشعشعات دیگر دستگاه‌های الکترونیکی می‌توانند روی دقت دریافت سیگنال تأثیر بگذارند.
روش‌های مقابله با حمله RAMBO
برای جلوگیری از این نوع حملات، اقدامات زیر پیشنهاد می‌شود:
حذف سخت‌افزارهای بی‌سیم در سیستم‌های ایزوله
ایجاد شیلدهای الکترومغناطیسی در محیط‌های حساس
نظارت بر مصرف انرژی و الگوی ارتباطی کارت‌های شبکه
استفاده از الگوریتم‌های تشخیص ناهنجاری در ارسال سیگنال‌ها
#آکادمی_روزبه
https://medium.com/radio-hackers/covert-channel-chronicles-the-rambo-attack-3b3e979dcb44
Medium
Covert Channel Chronicles: The RAMBO Attack
At this time in modernity, in the technologically advanced year 2025 of the twenty-first century, Wi-Fi signals are ubiquitous as the…
👍2
با zeek چطور میتونیم بر حملات حرکت عرضی در شبکه روی پروتکل SMB نظارت داشته باشیم ؟
اسلاید فوق بخشی از درس در گروه کتاب سنز 599 که امروز و امشب درحال بررسی است
#آکادمی_روزبه
اسلاید فوق بخشی از درس در گروه کتاب سنز 599 که امروز و امشب درحال بررسی است
#آکادمی_روزبه
❤1👍1
بیاین با یک بک دور جدید لینوکسی آشنا شویم
#آکادمی_روزبه
مقاله کامل
https://zw01f.github.io/malware%20analysis/auto-color/
#آکادمی_روزبه
مقاله کامل
https://zw01f.github.io/malware%20analysis/auto-color/
ZW01f
Auto-color - Linux backdoor
A deep dive into the stealthy Linux ‘Auto-color’ Backdoor
👍1
برای دانشجویان دوره ISSMP ام
#آکادمی_روزبه
https://www.csoonline.com/article/3855823/how-cisos-can-balance-business-continuity-with-other-responsibilities.html
#آکادمی_روزبه
https://www.csoonline.com/article/3855823/how-cisos-can-balance-business-continuity-with-other-responsibilities.html
CSO Online
How CISOs can balance business continuity with other responsibilities
With business continuity, CISOs must navigate a complex mix of security, business priorities and operational resilience — often without clear ownership of the process.