نصب و راه اندازی OpenCTI
#آکادمی_روزبه
OpenCTI (Open Cyber Threat Intelligence)
https://readmedium.com/install-opencti-0c4bd5094ea5
#آکادمی_روزبه
OpenCTI (Open Cyber Threat Intelligence)
https://readmedium.com/install-opencti-0c4bd5094ea5
Readmedium
Install OpenCTI
OpenCTI (Open Cyber Threat Intelligence) is an open-source platform designed to collect, store, and utilize cyber threat data. It helps…
آکادمی آموزش روزبه 📚
نصب و راه اندازی OpenCTI #آکادمی_روزبه OpenCTI (Open Cyber Threat Intelligence) https://readmedium.com/install-opencti-0c4bd5094ea5
راهنمایی:
اگر خیلی به موضوع علاقمندید و پیش زمینه هم دارید اما کدها را متوجه نمی‌شوید کافی است با chatgpt دوست شوید و بگویید لینک را به زبان فارسی برایتان تشریح کند . مانند یک انسان با او گفتگو کنید و درباره قطعات کد صحبت کنید.
اما مواظب باشید جواب او صد درصد درست نیست ولی کارتان را راه می‌اندازد.
اگر خیلی به موضوع علاقمندید و پیش زمینه هم دارید اما کدها را متوجه نمی‌شوید کافی است با chatgpt دوست شوید و بگویید لینک را به زبان فارسی برایتان تشریح کند . مانند یک انسان با او گفتگو کنید و درباره قطعات کد صحبت کنید.
اما مواظب باشید جواب او صد درصد درست نیست ولی کارتان را راه می‌اندازد.
یکی از دوره های رایگان که داره خوب بحث تحلیل حافظه رو باز میکنه
امید که خوب ادامه پیدا کنه
ارائه توسط جناب امینی
https://www.aparat.com/v/j911qzw/
امید که خوب ادامه پیدا کنه
ارائه توسط جناب امینی
https://www.aparat.com/v/j911qzw/
آپارات - سرویس اشتراک ویدیو
20-Basic Memory Forensic:Check Processes Name
بررسی و صحت سنجی نام پروسس های ویندوز
تحلیل حرکت عرضی
#آکادمی_روزبه
یک مقاله ی خوش نوشت
https://medium.com/@cyberengage.org/lateral-movement-analysis-using-chainsaw-hayabusa-and-logparser-for-cybersecurity-investigations-b927843bd8d4
#آکادمی_روزبه
یک مقاله ی خوش نوشت
https://medium.com/@cyberengage.org/lateral-movement-analysis-using-chainsaw-hayabusa-and-logparser-for-cybersecurity-investigations-b927843bd8d4
Medium
Lateral Movement Analysis: Using Chainsaw, Hayabusa, and LogParser for Cybersecurity Investigations
A few days ago, I received a request through my website from someone working on an incident response case. He mentioned a situation…
NIST Cybersecurity Framework Policy Template Guide.pdf
924.1 KB
نمونه پالیسی
در دوره CISSP پالیسی نویسی را تمرین میکنیم
#آکادمی_روزبه
شروع دوره هفته سوم بهمن ماه
تخفیف ۸ درصد تا ۸ بهمن
در دوره CISSP پالیسی نویسی را تمرین میکنیم
#آکادمی_روزبه
شروع دوره هفته سوم بهمن ماه
تخفیف ۸ درصد تا ۸ بهمن
❓️چرا تحلیل استاتیک بد افزار ممکن است موفقیت آمیز نباشد ؟
✍روزبه نوروزی
#آکادمی_روزبه
برای توضیح یک مثال واقعی و متداول در دنیای تحلیل بدافزارها را بررسی میکنیم که نشان می‌دهد چرا تحلیل استاتیک ممکن است در تشخیص یک بدافزار ناکام باشد و چگونه تحلیل دینامیک می‌تواند موفقیت‌آمیز باشد.
مثال: بدافزار با تکنیک‌های مبهم‌سازی و ضد تحلیل
یک بدافزار خاص، فرضاً یک تروجان بانکی به نام BankStealer، به شکلی طراحی شده که تحلیل استاتیک آن را گمراه کند.
❇️تحلیل استاتیک:
در تحلیل استاتیک، کد بدافزار بدون اجرای آن بررسی می‌شود (مانند بررسی فایل‌های اجرایی با ابزارهایی مثل IDA Pro یا Ghidra).
ویژگی‌های بدافزار:
🔶️مبهم‌سازی کد (Obfuscation):
کد بدافزار با استفاده از ابزارهای مبهم‌سازی رمزگذاری شده یا تغییر یافته است. بنابراین، در ابزارهای تحلیل، تنها یکسری کدهای غیرقابل‌خوانش و توابع بی‌معنی مشاهده می‌شود.
به عنوان مثال، توابع مهمی که اطلاعات بانکی را سرقت می‌کنند در فایل اجرایی رمزگذاری شده‌اند و تنها هنگام اجرا در حافظه رمزگشایی می‌شوند.
🔶️ استفاده از تکنیک‌های ضد تحلیل:
بدافزار ممکن است از بسته‌بندی (Packing) یا رمزگذاری لایه‌های مختلف استفاده کند. این باعث می‌شود که حتی دی‌کامپایلرها (Decompiler) نتوانند کد واقعی را استخراج کنند.
بخش‌های مهم بدافزار ممکن است به صورت پویا (Dynamic) تولید شوند و در فایل اجرایی اصلی وجود نداشته باشند.
🟢نتیجه تحلیل استاتیک:
تحلیلگر نمیتواند عملکرد دقیق بدافزار را بدون اجرا شناسایی کند، زیرا بخش‌های کلیدی یا رمزگذاری شده‌اند یا مخفی هستند.
❇️تحلیل دینامیک:
در تحلیل دینامیک، بدافزار در محیط ایزوله (مانند ماشین مجازی یا سندباکس) اجرا می‌شود و رفتار آن در زمان اجرا بررسی میگردد.
ویژگی‌های کشف در تحلیل دینامیک:
🔷️ رمزگشایی کد در زمان اجرا:
هنگام اجرای بدافزار، بخش‌های رمزگذاری‌شده در حافظه رمزگشایی می‌شوند و کد واقعی بدافزار آشکار می‌شود.
ابزارهایی مثل Process Hacker یا x64dbg می‌توانند حافظه را بررسی کرده و کد واقعی را استخراج کنند.
🔷️ شناسایی رفتار بدافزار:
بدافزار هنگام اجرا به سرور فرمان‌دهی (C2 Server) متصل می‌شود. این رفتار مشکوک توسط ابزارهایی مثل Wireshark یا Fiddler شناسایی می‌شود.
بدافزار تلاش می‌کند اطلاعات بانکی را از مرورگرها استخراج کرده و به سرور ارسال کند. ابزارهایی مثل ProcMon این رفتار را نشان می‌دهند.
🔷️ کشف تکنیک‌های پنهان‌کاری:
تکنیک‌هایی مانند تزریق کد به فرآیندهای دیگر (Code Injection) هنگام اجرا کشف می‌شوند. برای مثال، تزریق به مرورگر قربانی جهت سرقت اطلاعات ورود.
🟢نتیجه تحلیل دینامیک:
با اجرای بدافزار و نظارت بر رفتار آن، تحلیلگر به اطلاعات واضحی از اهداف بدافزار، مکان‌های ارتباطی، و اطلاعات سرقت‌شده دست پیدا می‌کند.
🏮دلایل ناکامی تحلیل استاتیک:
رمزگذاری و مبهم‌سازی کد که کد واقعی را از دید تحلیلگر مخفی می‌کند.
استفاده از تکنیک‌های ضد تحلیل مانند بسته‌بندی، فشرده‌سازی، و تولید پویا.
وابستگی عملکرد بدافزار به شرایط اجرای خاص (مانند بارگذاری در حافظه).
💠ابزارها و تکنیک‌ها:
تحلیل استاتیک: IDA Pro، Ghidra، PEiD
تحلیل دینامیک: Cuckoo Sandbox، Wireshark، ProcMon، Process Hacker، x64dbg
🌀این مثال نشان می‌دهد که چرا تحلیل دینامیک برای شناسایی بدافزارهای پیشرفته ضروری است و چگونه تکنیک‌های ضد تحلیل، تحلیل استاتیک را ناکارآمد می‌کنند.
#آکادمی_روزبه
✍روزبه نوروزی
#آکادمی_روزبه
برای توضیح یک مثال واقعی و متداول در دنیای تحلیل بدافزارها را بررسی میکنیم که نشان می‌دهد چرا تحلیل استاتیک ممکن است در تشخیص یک بدافزار ناکام باشد و چگونه تحلیل دینامیک می‌تواند موفقیت‌آمیز باشد.
مثال: بدافزار با تکنیک‌های مبهم‌سازی و ضد تحلیل
یک بدافزار خاص، فرضاً یک تروجان بانکی به نام BankStealer، به شکلی طراحی شده که تحلیل استاتیک آن را گمراه کند.
❇️تحلیل استاتیک:
در تحلیل استاتیک، کد بدافزار بدون اجرای آن بررسی می‌شود (مانند بررسی فایل‌های اجرایی با ابزارهایی مثل IDA Pro یا Ghidra).
ویژگی‌های بدافزار:
🔶️مبهم‌سازی کد (Obfuscation):
کد بدافزار با استفاده از ابزارهای مبهم‌سازی رمزگذاری شده یا تغییر یافته است. بنابراین، در ابزارهای تحلیل، تنها یکسری کدهای غیرقابل‌خوانش و توابع بی‌معنی مشاهده می‌شود.
به عنوان مثال، توابع مهمی که اطلاعات بانکی را سرقت می‌کنند در فایل اجرایی رمزگذاری شده‌اند و تنها هنگام اجرا در حافظه رمزگشایی می‌شوند.
🔶️ استفاده از تکنیک‌های ضد تحلیل:
بدافزار ممکن است از بسته‌بندی (Packing) یا رمزگذاری لایه‌های مختلف استفاده کند. این باعث می‌شود که حتی دی‌کامپایلرها (Decompiler) نتوانند کد واقعی را استخراج کنند.
بخش‌های مهم بدافزار ممکن است به صورت پویا (Dynamic) تولید شوند و در فایل اجرایی اصلی وجود نداشته باشند.
🟢نتیجه تحلیل استاتیک:
تحلیلگر نمیتواند عملکرد دقیق بدافزار را بدون اجرا شناسایی کند، زیرا بخش‌های کلیدی یا رمزگذاری شده‌اند یا مخفی هستند.
❇️تحلیل دینامیک:
در تحلیل دینامیک، بدافزار در محیط ایزوله (مانند ماشین مجازی یا سندباکس) اجرا می‌شود و رفتار آن در زمان اجرا بررسی میگردد.
ویژگی‌های کشف در تحلیل دینامیک:
🔷️ رمزگشایی کد در زمان اجرا:
هنگام اجرای بدافزار، بخش‌های رمزگذاری‌شده در حافظه رمزگشایی می‌شوند و کد واقعی بدافزار آشکار می‌شود.
ابزارهایی مثل Process Hacker یا x64dbg می‌توانند حافظه را بررسی کرده و کد واقعی را استخراج کنند.
🔷️ شناسایی رفتار بدافزار:
بدافزار هنگام اجرا به سرور فرمان‌دهی (C2 Server) متصل می‌شود. این رفتار مشکوک توسط ابزارهایی مثل Wireshark یا Fiddler شناسایی می‌شود.
بدافزار تلاش می‌کند اطلاعات بانکی را از مرورگرها استخراج کرده و به سرور ارسال کند. ابزارهایی مثل ProcMon این رفتار را نشان می‌دهند.
🔷️ کشف تکنیک‌های پنهان‌کاری:
تکنیک‌هایی مانند تزریق کد به فرآیندهای دیگر (Code Injection) هنگام اجرا کشف می‌شوند. برای مثال، تزریق به مرورگر قربانی جهت سرقت اطلاعات ورود.
🟢نتیجه تحلیل دینامیک:
با اجرای بدافزار و نظارت بر رفتار آن، تحلیلگر به اطلاعات واضحی از اهداف بدافزار، مکان‌های ارتباطی، و اطلاعات سرقت‌شده دست پیدا می‌کند.
🏮دلایل ناکامی تحلیل استاتیک:
رمزگذاری و مبهم‌سازی کد که کد واقعی را از دید تحلیلگر مخفی می‌کند.
استفاده از تکنیک‌های ضد تحلیل مانند بسته‌بندی، فشرده‌سازی، و تولید پویا.
وابستگی عملکرد بدافزار به شرایط اجرای خاص (مانند بارگذاری در حافظه).
💠ابزارها و تکنیک‌ها:
تحلیل استاتیک: IDA Pro، Ghidra، PEiD
تحلیل دینامیک: Cuckoo Sandbox، Wireshark، ProcMon، Process Hacker، x64dbg
🌀این مثال نشان می‌دهد که چرا تحلیل دینامیک برای شناسایی بدافزارهای پیشرفته ضروری است و چگونه تکنیک‌های ضد تحلیل، تحلیل استاتیک را ناکارآمد می‌کنند.
#آکادمی_روزبه
شناسایی حملات و نفوذ از طریق بررسی فرآیندهای والد و فرزند
✍ روزبه نوروزی
یکی از روش‌های مهم در تحلیل نفوذ ، بررسی ارتباط بین فرآیندهای والد و فرزند است. این روش به ما کمک می‌کند تا بفهمیم چگونه یک بدافزار اجرا شده و از چه روش‌هایی برای نفوذ به سیستم استفاده کرده است.
فرآیند ( پراسس) والد چیست؟
فرآیند والد، فرآیندی است که یک فرآیند جدید (فرزند) را اجرا می‌کند. برای مثال، اگر یک برنامه‌ی مخرب توسط Explorer.exe اجرا شود، این بدان معناست که احتمالاً از طریق یک فایل میانبر مخرب (.lnk) اجرا شده است. شناسایی فرآیند والد می‌تواند به تحلیلگر کمک کند تا روش نفوذ بدافزار را تشخیص دهد.
🔶️نقش تجربه و ابزارها
تشخیص این موارد نیازمند تجربه و استفاده از ابزارهای مناسب است. ابزارهایی مانند Process Explorer از Sysinternals و یا EDR مانند ترند میکرو و سیمنتک ، به تحلیلگران کمک می‌کنند تا ارتباط بین فرآیندها را به سرعت مشاهده کنند.
🔷️مثال‌هایی از پراسس های والد
Explorer.exe
اجرای بدافزار از طریق فایل‌های میانبر
RunOnce.exe
اجرای بدافزار با استفاده از کلیدهای رجیستری
cmd.exe
اجرای اسکریپت‌ها یا فایل‌های batch مخرب
svchost.exe
استفاده از سرویس‌های ویندوز برای مخفی کردن اجرای بدافزار.
🏮۶ مورد از تاریخچه حملات واقعی قابل کشف با این روش:
〽️-حمله Stuxnet
تکنیک: استفاده از فرآیند Explorer.exe برای اجرای فایل‌های میانبر آلوده از طریق USB.
روش شناسایی: شناسایی فرآیند والد Explorer.exe که فایل‌های .lnk مخرب را اجرا می‌کرد.
〽️ -حمله WannaCry
تکنیک: استفاده از svchost.exe برای گسترش بدافزار در شبکه.
روش شناسایی: بررسی فرآیندهای svchost.exe که ارتباطات غیرعادی برقرار می‌کردند.
〽️ -حمله Emotet
تکنیک: استفاده از winword.exe برای اجرای ماکروهای مخرب در فایل‌های Word.
روش شناسایی: ارتباط بین winword.exe و PowerShell که کد مخرب را اجرا می‌کرد.
〽️-حمله گروه APT29 (Cozy Bear)
تکنیک: استفاده از mshta.exe برای اجرای کد مخرب از طریق فایل‌های HTML.
روش شناسایی: مشاهده ارتباط بین mshta.exe و فرآیندهای دیگر مانند cmd.exe.
〽️-حمله TrickBot
تکنیک: استفاده از powershell.exe برای دانلود و اجرای payload.
روش شناسایی: بررسی فرآیند powershell.exe که از فرآیند والد مخربی ایجاد شده بود.
〽️ -حمله Dridex
تکنیک: اجرای بدافزار از طریق explorer.exe با استفاده از پیوست‌های ایمیل آلوده.
روش شناسایی: تحلیل فرآیندهای مرتبط با فایل‌های اجراشده از طریق Explorer.exe.
بررسی ارتباط فرآیندهای والد و فرزند یکی از موثرترین روش‌ها در تحلیل و شناسایی بدافزارها است. با استفاده از ابزارهای مناسب و دانش کافی، می‌توان الگوهای رفتاری بدافزارها را شناسایی و از نفوذ آنها جلوگیری کرد.
#آکادمی_روزبه
✅️ثبت نام دوره CISSP
واتس اپ 09902857290
✍ روزبه نوروزی
یکی از روش‌های مهم در تحلیل نفوذ ، بررسی ارتباط بین فرآیندهای والد و فرزند است. این روش به ما کمک می‌کند تا بفهمیم چگونه یک بدافزار اجرا شده و از چه روش‌هایی برای نفوذ به سیستم استفاده کرده است.
فرآیند ( پراسس) والد چیست؟
فرآیند والد، فرآیندی است که یک فرآیند جدید (فرزند) را اجرا می‌کند. برای مثال، اگر یک برنامه‌ی مخرب توسط Explorer.exe اجرا شود، این بدان معناست که احتمالاً از طریق یک فایل میانبر مخرب (.lnk) اجرا شده است. شناسایی فرآیند والد می‌تواند به تحلیلگر کمک کند تا روش نفوذ بدافزار را تشخیص دهد.
🔶️نقش تجربه و ابزارها
تشخیص این موارد نیازمند تجربه و استفاده از ابزارهای مناسب است. ابزارهایی مانند Process Explorer از Sysinternals و یا EDR مانند ترند میکرو و سیمنتک ، به تحلیلگران کمک می‌کنند تا ارتباط بین فرآیندها را به سرعت مشاهده کنند.
🔷️مثال‌هایی از پراسس های والد
Explorer.exe
اجرای بدافزار از طریق فایل‌های میانبر
RunOnce.exe
اجرای بدافزار با استفاده از کلیدهای رجیستری
cmd.exe
اجرای اسکریپت‌ها یا فایل‌های batch مخرب
svchost.exe
استفاده از سرویس‌های ویندوز برای مخفی کردن اجرای بدافزار.
🏮۶ مورد از تاریخچه حملات واقعی قابل کشف با این روش:
〽️-حمله Stuxnet
تکنیک: استفاده از فرآیند Explorer.exe برای اجرای فایل‌های میانبر آلوده از طریق USB.
روش شناسایی: شناسایی فرآیند والد Explorer.exe که فایل‌های .lnk مخرب را اجرا می‌کرد.
〽️ -حمله WannaCry
تکنیک: استفاده از svchost.exe برای گسترش بدافزار در شبکه.
روش شناسایی: بررسی فرآیندهای svchost.exe که ارتباطات غیرعادی برقرار می‌کردند.
〽️ -حمله Emotet
تکنیک: استفاده از winword.exe برای اجرای ماکروهای مخرب در فایل‌های Word.
روش شناسایی: ارتباط بین winword.exe و PowerShell که کد مخرب را اجرا می‌کرد.
〽️-حمله گروه APT29 (Cozy Bear)
تکنیک: استفاده از mshta.exe برای اجرای کد مخرب از طریق فایل‌های HTML.
روش شناسایی: مشاهده ارتباط بین mshta.exe و فرآیندهای دیگر مانند cmd.exe.
〽️-حمله TrickBot
تکنیک: استفاده از powershell.exe برای دانلود و اجرای payload.
روش شناسایی: بررسی فرآیند powershell.exe که از فرآیند والد مخربی ایجاد شده بود.
〽️ -حمله Dridex
تکنیک: اجرای بدافزار از طریق explorer.exe با استفاده از پیوست‌های ایمیل آلوده.
روش شناسایی: تحلیل فرآیندهای مرتبط با فایل‌های اجراشده از طریق Explorer.exe.
بررسی ارتباط فرآیندهای والد و فرزند یکی از موثرترین روش‌ها در تحلیل و شناسایی بدافزارها است. با استفاده از ابزارهای مناسب و دانش کافی، می‌توان الگوهای رفتاری بدافزارها را شناسایی و از نفوذ آنها جلوگیری کرد.
#آکادمی_روزبه
✅️ثبت نام دوره CISSP
واتس اپ 09902857290
جامپ لیست ها چرا مهم هستند ؟
فارنزیک برای آنها چگونه است ؟
#من_آموزش_میدهم
#آکادمی_روزبه
https://www.cybertriage.com/blog/jump-list-forensics-2025/
فارنزیک برای آنها چگونه است ؟
#من_آموزش_میدهم
#آکادمی_روزبه
https://www.cybertriage.com/blog/jump-list-forensics-2025/
Cyber Triage
Jump Lists Forensics 2025
How to explain jump lists forensics to an old-school detective: Jump lists are fingerprints. They connect people to places and things. Jump lists
فکر کنم وقت این رسیده این ابزارها رو با من تست کنید
فردا من شروع میکنم
شما هم
#آکادمی_روزبه
https://github.com/MHaggis/PowerShell-Hunter
فردا من شروع میکنم
شما هم
#آکادمی_روزبه
https://github.com/MHaggis/PowerShell-Hunter
GitHub
GitHub - MHaggis/PowerShell-Hunter: PowerShell tools to help defenders hunt smarter, hunt harder.
PowerShell tools to help defenders hunt smarter, hunt harder. - MHaggis/PowerShell-Hunter
چرا هرکسی نمیتونه ابزار امنیتی تولید کنه ؟
✍️روزبه نوروزی
🔅این روزها که در بسیاری از محل ها اجبار به استفاده از محصولات بومی وجود داره تب تولید محصول امنیتی بالاگرفته و خیلی ها به این سمت رفتن.
🔅از سوی دیگه هم نرخ مهاجرت بالا در بین متخصصان امنیت زیاد بوده لذا از تعداد منتقدان و ناظران پروژه های امنیتی بشدت کاسته شده که این هم دلیلی مزید بر علت شده تا تعداد بیشتری به سرشون بزنه تا ایده ای دارند؛ اونو به شکل محصول دربیارن.
✳️اینجاست که باید گفت توجه به استاندارد هایی چون CC به ما می‌آموزه که ساخت تجهیز و نرم افزار امنیتی تابع شرایطی هست و نمیشه با هر طریق و مسلکی ابزار امنیتی ساخت .
⚠️استفاده از ابزار امنیتی که در ساخت اون توجهات لازم صورت نگرفته هم ما رو امن نکرده بلکه میتونه خودش ابزاری علیه ما باشه .
چطور ؟ لینک زیر
⭕️در این لینک میبینیم چطور ابزارهای امنیتی مطرح جهان دور می‌خورند و خودشون علیه صاحبشون اقدام می‌کنند.
🔴پس هر کسی و هر شرکتی نمیتواند دست به تولید نرم افزار و تجهیزات امنیتی بزند.
#آکادمی_روزبه
#من_آموزش_میدهم
https://neodyme.io/en/blog/com_hijacking_1/#security-risks-in-back-end-communication
✍️روزبه نوروزی
🔅این روزها که در بسیاری از محل ها اجبار به استفاده از محصولات بومی وجود داره تب تولید محصول امنیتی بالاگرفته و خیلی ها به این سمت رفتن.
🔅از سوی دیگه هم نرخ مهاجرت بالا در بین متخصصان امنیت زیاد بوده لذا از تعداد منتقدان و ناظران پروژه های امنیتی بشدت کاسته شده که این هم دلیلی مزید بر علت شده تا تعداد بیشتری به سرشون بزنه تا ایده ای دارند؛ اونو به شکل محصول دربیارن.
✳️اینجاست که باید گفت توجه به استاندارد هایی چون CC به ما می‌آموزه که ساخت تجهیز و نرم افزار امنیتی تابع شرایطی هست و نمیشه با هر طریق و مسلکی ابزار امنیتی ساخت .
⚠️استفاده از ابزار امنیتی که در ساخت اون توجهات لازم صورت نگرفته هم ما رو امن نکرده بلکه میتونه خودش ابزاری علیه ما باشه .
چطور ؟ لینک زیر
⭕️در این لینک میبینیم چطور ابزارهای امنیتی مطرح جهان دور می‌خورند و خودشون علیه صاحبشون اقدام می‌کنند.
🔴پس هر کسی و هر شرکتی نمیتواند دست به تولید نرم افزار و تجهیزات امنیتی بزند.
#آکادمی_روزبه
#من_آموزش_میدهم
https://neodyme.io/en/blog/com_hijacking_1/#security-risks-in-back-end-communication
neodyme.io
The Key to COMpromise - Pwning AVs and EDRs by Hijacking COM Interfaces, Part 1
In this series of blog posts, we cover how we could exploit five reputable security products to gain SYSTEM privileges with COM hijacking. If you've never heard of this, no worries. We introduce all relevant background information, describe our approach to…
چرا پاورشل باید دستورات Encode شده را بپذیرد؟
✍️روزبه نوروزی
همونطور که میدونیم برخی حملات سایبری با دستورات انکد شده انجام می‌شوند. که برای بررسی اون دستور باید دیکد بشن چون در ظاهر خوانایی ندارند.
⁉️حالا اصولا چرا باید امکان اجرای دستور بصورت انکد شده در سیستم عامل وجود داشته باشه ؟ چه ضرورتی هست ؟
✅️دلایل طراحی و ضرورت پذیرش دستورات انکد شده در پاورشل
🟣انتقال امن و سازگار دستورات در شبکه
این Base64 Encoding اطمینان می‌دهد که دستورات شامل کاراکترهای خاصی که ممکن است در مسیر انتقال (مانند شبکه یا فایل‌های متنی) باعث خطا شوند، به فرمت قابل انتقال و ایمن تبدیل شوند.
این موضوع در سناریوهایی مانند مدیریت از راه دور (Remote Administration) بسیار اهمیت دارد.
🟣اجرا در محیط‌هایی با محدودیت کاراکتر
در برخی موارد، ابزارها یا سیستم‌های واسط اجازه استفاده از کاراکترهای خاص (مانند نقل‌قول‌ها، نقطه‌ویرگول یا دیگر نمادهای رزرو شده) را نمی‌دهند. انکد کردن دستورات پاورشل به Base64، این محدودیت را دور می‌زند.
🟣یکپارچگی و جلوگیری از تغییر دستورات
هنگامی که دستورات به صورت انکد شده ارسال می‌شوند، احتمال تغییر یا خراب شدن آنها به دلیل محدودیت‌های پروتکل یا ابزار کمتر است. این ویژگی به خصوص در زمان مدیریت راه دور (مانند WinRM) و اسکریپت‌های پیچیده مفید است.
🟣امنیت موقتی و پنهان‌سازی در انتقال
هرچند Base64 یک روش رمزگذاری نیست، اما نمایش مستقیم دستورات یا اطلاعات حساس را از کاربران غیرمجاز یا ابزارهای نظارتی عمومی پنهان می‌کند.
🟣خودکارسازی و ارسال دستورات طولانی
پاورشل برای اجرای اسکریپت‌های طولانی یا پیچیده از طریق یک خط فرمان یا یک ابزار واسط (مانند Task Scheduler) طراحی شده است. در چنین شرایطی، انکد کردن دستور به Base64 ارسال و اجرا را ساده‌تر و مطمئن‌تر می‌کند.
#من_آموزش_میدهم
#آکادمی_روزبه
✍️روزبه نوروزی
همونطور که میدونیم برخی حملات سایبری با دستورات انکد شده انجام می‌شوند. که برای بررسی اون دستور باید دیکد بشن چون در ظاهر خوانایی ندارند.
⁉️حالا اصولا چرا باید امکان اجرای دستور بصورت انکد شده در سیستم عامل وجود داشته باشه ؟ چه ضرورتی هست ؟
✅️دلایل طراحی و ضرورت پذیرش دستورات انکد شده در پاورشل
🟣انتقال امن و سازگار دستورات در شبکه
این Base64 Encoding اطمینان می‌دهد که دستورات شامل کاراکترهای خاصی که ممکن است در مسیر انتقال (مانند شبکه یا فایل‌های متنی) باعث خطا شوند، به فرمت قابل انتقال و ایمن تبدیل شوند.
این موضوع در سناریوهایی مانند مدیریت از راه دور (Remote Administration) بسیار اهمیت دارد.
🟣اجرا در محیط‌هایی با محدودیت کاراکتر
در برخی موارد، ابزارها یا سیستم‌های واسط اجازه استفاده از کاراکترهای خاص (مانند نقل‌قول‌ها، نقطه‌ویرگول یا دیگر نمادهای رزرو شده) را نمی‌دهند. انکد کردن دستورات پاورشل به Base64، این محدودیت را دور می‌زند.
🟣یکپارچگی و جلوگیری از تغییر دستورات
هنگامی که دستورات به صورت انکد شده ارسال می‌شوند، احتمال تغییر یا خراب شدن آنها به دلیل محدودیت‌های پروتکل یا ابزار کمتر است. این ویژگی به خصوص در زمان مدیریت راه دور (مانند WinRM) و اسکریپت‌های پیچیده مفید است.
🟣امنیت موقتی و پنهان‌سازی در انتقال
هرچند Base64 یک روش رمزگذاری نیست، اما نمایش مستقیم دستورات یا اطلاعات حساس را از کاربران غیرمجاز یا ابزارهای نظارتی عمومی پنهان می‌کند.
🟣خودکارسازی و ارسال دستورات طولانی
پاورشل برای اجرای اسکریپت‌های طولانی یا پیچیده از طریق یک خط فرمان یا یک ابزار واسط (مانند Task Scheduler) طراحی شده است. در چنین شرایطی، انکد کردن دستور به Base64 ارسال و اجرا را ساده‌تر و مطمئن‌تر می‌کند.
#من_آموزش_میدهم
#آکادمی_روزبه
Red team Training Program.pdf
1.9 MB
فکر میکنم مستند خوبیه واسه پراسس هالوئینگ
#آکادمی_روزبه
#آکادمی_روزبه
بررسی تحرکات گروه لازاروس
#آکادمی_روزبه
https://www.validin.com/blog/inoculating_contagious_interview_with_validin/
#آکادمی_روزبه
https://www.validin.com/blog/inoculating_contagious_interview_with_validin/
Validin
Lazarus APT: Techniques for Hunting Contagious Interview | Validin
This blog post details how the Lazarus APT uses social engineering to trick job seekers into installing malware during fake video job interviews, and how Validin can be used to identify and track the infrastructure used in these attacks.
تشکر از دوستان
تعدادی از همراهان در تماس با اکانت ادمین اظهار لطف کرده و نسبت به انتشار پستهای کانال تشکر داشته اند.
خواستم هم از ایشان که می‌بینند و آنقدر بزرگوار هستند که بیان می‌کنند تشکر کنم 🌹
هم بگویم این تشویق‌ها منجر به تولید مقالات بهتر و استفاده بیشتر خود شما از علم میگردد.
اصولا بنده انتشار پستهای کانال را در راستای علاقه ام به سه چیز انجام میدهم:
-علاقه شخصی به تدریس
-اشتراک دانش بعنوان وظیفه
-اصلاح امور جامعه پیرو سخنان حضرت علی (ع)
اما در عین حال ، تشویق ها و اظهار لطف شما ؛ توان اینجانب را دو چندان می‌کند.
حال که فعلا از دوره های اکادمی روزبه فقط CISSPو ISSMP برگزار می‌شود تنها راه موثر برای انتقال دانش همین کانال است پس پستهای کانال را بدقت بخوانید و برای علاقمندان ارسال نمایید
شاید در آینده مجددا اکادمی روزبه احیا شد
مشتاق شنیدن پیام های شما هستم
با احترام
روزبه نوروزی
پایان دیماه ۱۴۰۳
تعدادی از همراهان در تماس با اکانت ادمین اظهار لطف کرده و نسبت به انتشار پستهای کانال تشکر داشته اند.
خواستم هم از ایشان که می‌بینند و آنقدر بزرگوار هستند که بیان می‌کنند تشکر کنم 🌹
هم بگویم این تشویق‌ها منجر به تولید مقالات بهتر و استفاده بیشتر خود شما از علم میگردد.
اصولا بنده انتشار پستهای کانال را در راستای علاقه ام به سه چیز انجام میدهم:
-علاقه شخصی به تدریس
-اشتراک دانش بعنوان وظیفه
-اصلاح امور جامعه پیرو سخنان حضرت علی (ع)
اما در عین حال ، تشویق ها و اظهار لطف شما ؛ توان اینجانب را دو چندان می‌کند.
حال که فعلا از دوره های اکادمی روزبه فقط CISSPو ISSMP برگزار می‌شود تنها راه موثر برای انتقال دانش همین کانال است پس پستهای کانال را بدقت بخوانید و برای علاقمندان ارسال نمایید
شاید در آینده مجددا اکادمی روزبه احیا شد
مشتاق شنیدن پیام های شما هستم
با احترام
روزبه نوروزی
پایان دیماه ۱۴۰۳
🤝1
تیم قرمز اتمیک !
✍️روزبه نوروزی
بیایم با Atomic Red Team آشنا بشیم.
یک فریم‌ورک متن‌باز است که برای شبیه‌سازی تکنیک‌های حمله سایبری طراحی شده و توسط تیم شرکت Red Canary توسعه داده شده است. این ابزار به متخصصان امنیت سایبری و مدیران سیستم کمک می‌کند تا توانایی سیستم‌های دفاعی خود را در برابر حملات واقعی ارزیابی و بهبود دهند.
🔴ویژگی‌ها و کاربردهای Atomic Red Team:
🔅 تست تکنیک‌های حمله:
این ابزار بر اساس تکنیک‌های چارچوب MITRE ATT&CK طراحی شده است و به شما امکان می‌دهد تکنیک‌های مختلف حمله را شبیه‌سازی کنید.
🔅 سادگی در استفاده:
تکنیک‌ها به صورت مستقل (Atomic) طراحی شده‌اند، بنابراین می‌توانید بدون نیاز به پیکربندی پیچیده، یک تکنیک خاص را اجرا کنید.
🔅 سازگاری با سیستم‌های مختلف:
این Atomic Red Team از سیستم‌عامل‌های مختلف مانند Windows، macOS و Linux پشتیبانی می‌کند.
🔅 بهبود دفاع سایبری:
با شبیه‌سازی حملات، می‌توانید نقاط ضعف در سیستم‌های خود را شناسایی و برای تقویت آنها اقدام کنید.
🔅 آموزش و یادگیری:
این ابزار یک منبع عالی برای آموزش تیم‌های امنیتی است تا با روش‌های واقعی حملات آشنا شوند و توانایی‌های خود را تقویت کنند.
✳️ تمرین کنیم :
این ابزار را از گیت هاب دانلود کنید و استفاده کنید . سرراست ترین دستور برای استفاده از Invoke-AtomicTest T#### -CheckPrereqs -GetPrereqs است. که در دستور فوق در بخش T شماره تکنیک درج میگردد.
◀️نتایج تست‌ها را از لاگ‌های تولید شده بررسی کنید.
◀️نقاط ضعف سیستم دفاعی را شناسایی کرده و سیاست‌های امنیتی خود را تقویت کنید.
❓️حالا سوال : آیا قدمی برداشته اید تا در اسپلانک سازمان خودتان این حملات را کشف کنید ؟
#من_آموزش_میدهم
#آکادمی_روزبه
✍️روزبه نوروزی
بیایم با Atomic Red Team آشنا بشیم.
یک فریم‌ورک متن‌باز است که برای شبیه‌سازی تکنیک‌های حمله سایبری طراحی شده و توسط تیم شرکت Red Canary توسعه داده شده است. این ابزار به متخصصان امنیت سایبری و مدیران سیستم کمک می‌کند تا توانایی سیستم‌های دفاعی خود را در برابر حملات واقعی ارزیابی و بهبود دهند.
🔴ویژگی‌ها و کاربردهای Atomic Red Team:
🔅 تست تکنیک‌های حمله:
این ابزار بر اساس تکنیک‌های چارچوب MITRE ATT&CK طراحی شده است و به شما امکان می‌دهد تکنیک‌های مختلف حمله را شبیه‌سازی کنید.
🔅 سادگی در استفاده:
تکنیک‌ها به صورت مستقل (Atomic) طراحی شده‌اند، بنابراین می‌توانید بدون نیاز به پیکربندی پیچیده، یک تکنیک خاص را اجرا کنید.
🔅 سازگاری با سیستم‌های مختلف:
این Atomic Red Team از سیستم‌عامل‌های مختلف مانند Windows، macOS و Linux پشتیبانی می‌کند.
🔅 بهبود دفاع سایبری:
با شبیه‌سازی حملات، می‌توانید نقاط ضعف در سیستم‌های خود را شناسایی و برای تقویت آنها اقدام کنید.
🔅 آموزش و یادگیری:
این ابزار یک منبع عالی برای آموزش تیم‌های امنیتی است تا با روش‌های واقعی حملات آشنا شوند و توانایی‌های خود را تقویت کنند.
✳️ تمرین کنیم :
این ابزار را از گیت هاب دانلود کنید و استفاده کنید . سرراست ترین دستور برای استفاده از Invoke-AtomicTest T#### -CheckPrereqs -GetPrereqs است. که در دستور فوق در بخش T شماره تکنیک درج میگردد.
◀️نتایج تست‌ها را از لاگ‌های تولید شده بررسی کنید.
◀️نقاط ضعف سیستم دفاعی را شناسایی کرده و سیاست‌های امنیتی خود را تقویت کنید.
❓️حالا سوال : آیا قدمی برداشته اید تا در اسپلانک سازمان خودتان این حملات را کشف کنید ؟
#من_آموزش_میدهم
#آکادمی_روزبه
دوستان در SOC ؛ یک نگاه به این لینک بندازین
مپ هست بین اتمیک تست و رولهای سیگما و اسپلانک
#آکادمی_روزبه
https://attackrulemap.netlify.app/?v=2
مپ هست بین اتمیک تست و رولهای سیگما و اسپلانک
#آکادمی_روزبه
https://attackrulemap.netlify.app/?v=2
attackrulemap.netlify.com
ARM - AttackRuleMap
Mapping of open-source detection rules and atomic tests.