شناسایی حملات و نفوذ از طریق بررسی فرآیندهای والد و فرزند

✍ روزبه نوروزی

یکی از روش‌های مهم در تحلیل نفوذ ، بررسی ارتباط بین فرآیندهای والد و فرزند است. این روش به ما کمک می‌کند تا بفهمیم چگونه یک بدافزار اجرا شده و از چه روش‌هایی برای نفوذ به سیستم استفاده کرده است.

فرآیند ( پراسس) والد چیست؟

فرآیند والد، فرآیندی است که یک فرآیند جدید (فرزند) را اجرا می‌کند. برای مثال، اگر یک برنامه‌ی مخرب توسط Explorer.exe اجرا شود، این بدان معناست که احتمالاً از طریق یک فایل میانبر مخرب (.lnk) اجرا شده است. شناسایی فرآیند والد می‌تواند به تحلیلگر کمک کند تا روش نفوذ بدافزار را تشخیص دهد.

🔶️نقش تجربه و ابزارها

تشخیص این موارد نیازمند تجربه و استفاده از ابزارهای مناسب است. ابزارهایی مانند Process Explorer از Sysinternals و یا EDR مانند ترند میکرو و سیمنتک ، به تحلیلگران کمک می‌کنند تا ارتباط بین فرآیندها را به سرعت مشاهده کنند.

🔷️مثال‌هایی از پراسس های والد

Explorer.exe
اجرای بدافزار از طریق فایل‌های میانبر
RunOnce.exe
اجرای بدافزار با استفاده از کلیدهای رجیستری
cmd.exe
اجرای اسکریپت‌ها یا فایل‌های batch مخرب
svchost.exe
استفاده از سرویس‌های ویندوز برای مخفی کردن اجرای بدافزار.

🏮۶ مورد از تاریخچه حملات واقعی قابل کشف با این روش:

〽️-حمله Stuxnet
تکنیک: استفاده از فرآیند Explorer.exe برای اجرای فایل‌های میانبر آلوده از طریق USB.
روش شناسایی: شناسایی فرآیند والد Explorer.exe که فایل‌های .lnk مخرب را اجرا می‌کرد.

〽️ -حمله WannaCry
تکنیک: استفاده از svchost.exe برای گسترش بدافزار در شبکه.
روش شناسایی: بررسی فرآیندهای svchost.exe که ارتباطات غیرعادی برقرار می‌کردند.

〽️ -حمله Emotet
تکنیک: استفاده از winword.exe برای اجرای ماکروهای مخرب در فایل‌های Word.
روش شناسایی: ارتباط بین winword.exe و PowerShell که کد مخرب را اجرا می‌کرد.

〽️-حمله گروه APT29 (Cozy Bear)
تکنیک: استفاده از mshta.exe برای اجرای کد مخرب از طریق فایل‌های HTML.
روش شناسایی: مشاهده ارتباط بین mshta.exe و فرآیندهای دیگر مانند cmd.exe.

〽️-حمله TrickBot
تکنیک: استفاده از powershell.exe برای دانلود و اجرای payload.
روش شناسایی: بررسی فرآیند powershell.exe که از فرآیند والد مخربی ایجاد شده بود.

〽️ -حمله Dridex
تکنیک: اجرای بدافزار از طریق explorer.exe با استفاده از پیوست‌های ایمیل آلوده.
روش شناسایی: تحلیل فرآیندهای مرتبط با فایل‌های اجراشده از طریق Explorer.exe.


بررسی ارتباط فرآیندهای والد و فرزند یکی از موثرترین روش‌ها در تحلیل و شناسایی بدافزارها است. با استفاده از ابزارهای مناسب و دانش کافی، می‌توان الگوهای رفتاری بدافزارها را شناسایی و از نفوذ آنها جلوگیری کرد.

#آکادمی_روزبه

✅️ثبت نام دوره CISSP
واتس اپ 09902857290

جامپ لیست ها چرا مهم هستند ؟
فارنزیک برای آنها چگونه است ؟

#من_آموزش_میدهم
#آکادمی_روزبه

https://www.cybertriage.com/blog/jump-list-forensics-2025/

فکر کنم وقت این رسیده این ابزارها رو با من تست کنید

فردا من شروع میکنم
شما هم

#آکادمی_روزبه

https://github.com/MHaggis/PowerShell-Hunter

چرا هرکسی نمیتونه ابزار امنیتی تولید کنه ؟

✍️روزبه نوروزی

🔅این روزها که در بسیاری از محل ها اجبار به استفاده از محصولات بومی وجود داره تب تولید محصول امنیتی بالاگرفته و خیلی ها به این سمت رفتن.
🔅از سوی دیگه هم نرخ مهاجرت بالا در بین متخصصان امنیت زیاد بوده لذا از تعداد منتقدان و ناظران پروژه های امنیتی بشدت کاسته شده که این هم دلیلی مزید بر علت شده تا تعداد بیشتری به سرشون بزنه تا ایده ای دارند؛ اونو به شکل محصول دربیارن.

✳️اینجاست که باید گفت توجه به استاندارد هایی چون CC به ما می‌آموزه که ساخت تجهیز و نرم افزار امنیتی تابع شرایطی هست و نمیشه با هر طریق و مسلکی ابزار امنیتی ساخت .

⚠️استفاده از ابزار امنیتی که در ساخت اون توجهات لازم صورت نگرفته هم ما رو امن نکرده بلکه میتونه خودش ابزاری علیه ما باشه .
چطور ؟ لینک زیر

⭕️در این لینک میبینیم چطور ابزارهای امنیتی مطرح جهان دور می‌خورند و خودشون علیه صاحبشون اقدام می‌کنند.

🔴پس هر کسی و هر شرکتی نمیتواند دست به تولید نرم افزار و تجهیزات امنیتی بزند.

#آکادمی_روزبه
#من_آموزش_میدهم


https://neodyme.io/en/blog/com_hijacking_1/#security-risks-in-back-end-communication

چرا پاورشل باید دستورات Encode شده را بپذیرد؟


✍️روزبه نوروزی

همونطور که میدونیم برخی حملات سایبری با دستورات انکد شده انجام می‌شوند. که برای بررسی اون دستور باید دیکد بشن چون در ظاهر خوانایی ندارند.

⁉️حالا اصولا چرا باید امکان اجرای دستور بصورت انکد شده در سیستم عامل وجود داشته باشه ؟ چه ضرورتی هست ؟


✅️دلایل طراحی و ضرورت پذیرش دستورات انکد شده در پاورشل

🟣انتقال امن و سازگار دستورات در شبکه

این Base64 Encoding اطمینان می‌دهد که دستورات شامل کاراکترهای خاصی که ممکن است در مسیر انتقال (مانند شبکه یا فایل‌های متنی) باعث خطا شوند، به فرمت قابل انتقال و ایمن تبدیل شوند.
این موضوع در سناریوهایی مانند مدیریت از راه دور (Remote Administration) بسیار اهمیت دارد.

🟣اجرا در محیط‌هایی با محدودیت کاراکتر

در برخی موارد، ابزارها یا سیستم‌های واسط اجازه استفاده از کاراکترهای خاص (مانند نقل‌قول‌ها، نقطه‌ویرگول یا دیگر نمادهای رزرو شده) را نمی‌دهند. انکد کردن دستورات پاورشل به Base64، این محدودیت را دور می‌زند.

🟣یکپارچگی و جلوگیری از تغییر دستورات

هنگامی که دستورات به صورت انکد شده ارسال می‌شوند، احتمال تغییر یا خراب شدن آن‌ها به دلیل محدودیت‌های پروتکل یا ابزار کمتر است. این ویژگی به خصوص در زمان مدیریت راه دور (مانند WinRM) و اسکریپت‌های پیچیده مفید است.

🟣امنیت موقتی و پنهان‌سازی در انتقال

هرچند Base64 یک روش رمزگذاری نیست، اما نمایش مستقیم دستورات یا اطلاعات حساس را از کاربران غیرمجاز یا ابزارهای نظارتی عمومی پنهان می‌کند.

🟣خودکارسازی و ارسال دستورات طولانی

پاورشل برای اجرای اسکریپت‌های طولانی یا پیچیده از طریق یک خط فرمان یا یک ابزار واسط (مانند Task Scheduler) طراحی شده است. در چنین شرایطی، انکد کردن دستور به Base64 ارسال و اجرا را ساده‌تر و مطمئن‌تر می‌کند.


#من_آموزش_میدهم
#آکادمی_روزبه

فکر میکنم مستند خوبیه واسه پراسس هالوئینگ
#آکادمی_روزبه

بررسی تحرکات گروه لازاروس


#آکادمی_روزبه

https://www.validin.com/blog/inoculating_contagious_interview_with_validin/

معماری مبنا برای امنیت هوش مصنوعی

#آکادمی_روزبه

تشکر از دوستان


تعدادی از همراهان در تماس با اکانت ادمین اظهار لطف کرده و نسبت به انتشار پستهای کانال تشکر داشته اند.

خواستم هم از ایشان که می‌بینند و آنقدر بزرگوار هستند که بیان می‌کنند تشکر کنم 🌹
هم بگویم این تشویق‌ها منجر به تولید مقالات بهتر و استفاده بیشتر خود شما از علم میگردد.

اصولا بنده انتشار پستهای کانال را در راستای علاقه ام به سه چیز انجام می‌دهم:

-علاقه شخصی به تدریس
-اشتراک دانش بعنوان وظیفه
-اصلاح امور جامعه پیرو سخنان حضرت علی (ع)

اما در عین حال ، تشویق ها و اظهار لطف شما ؛ توان اینجانب را دو چندان می‌کند.

حال که فعلا از دوره های اکادمی روزبه فقط CISSPو ISSMP برگزار می‌شود تنها راه موثر برای انتقال دانش همین کانال است پس پستهای کانال را بدقت بخوانید و برای علاقمندان ارسال نمایید

شاید در آینده مجددا اکادمی روزبه احیا شد

مشتاق شنیدن پیام های شما هستم

با احترام
روزبه نوروزی
پایان دیماه ۱۴۰۳

اسلاید های درس طرح پاسخ به حادثه از NIST

#آکادمی_روزبه

تیم قرمز اتمیک !

✍️روزبه نوروزی

بیایم با Atomic Red Team آشنا بشیم.
یک فریم‌ورک متن‌باز است که برای شبیه‌سازی تکنیک‌های حمله سایبری طراحی شده و توسط تیم شرکت Red Canary توسعه داده شده است. این ابزار به متخصصان امنیت سایبری و مدیران سیستم کمک می‌کند تا توانایی سیستم‌های دفاعی خود را در برابر حملات واقعی ارزیابی و بهبود دهند.

🔴ویژگی‌ها و کاربردهای Atomic Red Team:

🔅 تست تکنیک‌های حمله:
این ابزار بر اساس تکنیک‌های چارچوب MITRE ATT&CK طراحی شده است و به شما امکان می‌دهد تکنیک‌های مختلف حمله را شبیه‌سازی کنید.

🔅 سادگی در استفاده:
تکنیک‌ها به صورت مستقل (Atomic) طراحی شده‌اند، بنابراین می‌توانید بدون نیاز به پیکربندی پیچیده، یک تکنیک خاص را اجرا کنید.

🔅 سازگاری با سیستم‌های مختلف:
این Atomic Red Team از سیستم‌عامل‌های مختلف مانند Windows، macOS و Linux پشتیبانی می‌کند.

🔅 بهبود دفاع سایبری:
با شبیه‌سازی حملات، می‌توانید نقاط ضعف در سیستم‌های خود را شناسایی و برای تقویت آن‌ها اقدام کنید.

🔅 آموزش و یادگیری:
این ابزار یک منبع عالی برای آموزش تیم‌های امنیتی است تا با روش‌های واقعی حملات آشنا شوند و توانایی‌های خود را تقویت کنند.


✳️ تمرین کنیم :
این ابزار را از گیت هاب دانلود کنید و استفاده کنید . سرراست ترین دستور برای استفاده از Invoke-AtomicTest T#### -CheckPrereqs -GetPrereqs است. که در دستور فوق در بخش T شماره تکنیک درج میگردد.

◀️نتایج تست‌ها را از لاگ‌های تولید شده بررسی کنید.
◀️نقاط ضعف سیستم دفاعی را شناسایی کرده و سیاست‌های امنیتی خود را تقویت کنید.


❓️حالا سوال : آیا قدمی برداشته اید تا در اسپلانک سازمان خودتان این حملات را کشف کنید ‌؟



#من_آموزش_میدهم
#آکادمی_روزبه

دوستان در SOC ؛ یک نگاه به این لینک بندازین
مپ هست بین اتمیک تست و رولهای سیگما و اسپلانک

#آکادمی_روزبه

https://attackrulemap.netlify.app/?v=2

این هفته پنج شنبه جلسه پنجم ISSMP دوره مدیریت ارشد امنیت بصورت آنلاین در سراسر ایران برگزار میشود .
برای شرکت در دوره های آینده به واتس اپ زیر پیام دهید
09902957290

گزارشی از فعالیت های جهانی علیه حملات باج افزاری

#آکادمی_روزبه

https://blog.bushidotoken.net/2025/01/analysis-of-counter-ransomware.html

زیر ساخت ESXi را تست کنید


#آکادمی_روزبه

https://github.com/AlbinoGazelle/esxi-testing-toolkit

امروز در مسیر کار گوش می‌کنم
اپیزودی در حوزه DFIR

#آکادمی_روزبه

https://open.spotify.com/show/4ifGmei1Z8eJJ5q08ayUfS?si=fFBTgI4RTFuayN_517FxpA


بحث در رابطه با این مقاله است

https://thedfirreport.com/2024/12/02/the-curious-case-of-an-egg-cellent-resume/

کوبر زیر حمله

#آکادمی_روزبه

تحلیل svchost.exe با استفاده از Volatility: بررسی تزریق کد و رفتار مشکوک

تمرین عملی

مقدمه
پروسس svchost.exe در سیستم‌عامل ویندوز به‌عنوان میزبان سرویس‌های مختلف سیستم عمل می‌کند. با این حال، به دلیل ماهیت چندمنظوره و اجرای سرویس‌های قانونی، این پروسس هدف محبوبی برای مهاجمان است تا کدهای مخرب را در آن تزریق کنند و از شناسایی توسط ابزارهای امنیتی فرار کنند.
ابزار Volatility به‌عنوان یکی از بهترین ابزارهای تحلیل حافظه، می‌تواند برای شناسایی تزریق کد به svchost.exe و تحلیل رفتار آن استفاده شود.

مراحل تحلیل svchost.exe با Volatility
مرحله 1: جمع‌آوری حافظه سیستم (Memory Dump)
برای شروع تحلیل، نیاز به یک Memory Dump از سیستم آلوده دارید. این فایل می‌تواند با استفاده از ابزارهایی مانند DumpIt، FTK Imager، یا LiME ایجاد شود.

مرحله 2: شناسایی پروفایل حافظه
Volatility برای کار با فایل حافظه نیاز به شناسایی پروفایل سیستم دارد. از دستور زیر برای شناسایی پروفایل استفاده کنید:

volatility -f memory.dmp imageinfo
خروجی:
این دستور پروفایل‌های پیشنهادی سیستم (مانند Win7SP1x64) را ارائه می‌دهد.
مرحله 3: شناسایی پروسس‌های فعال
با استفاده از دستور pslist یا psscan، فهرست پروسس‌های فعال در حافظه را بررسی کنید:
volatility -f memory.dmp --profile=Win7SP1x64 pslist
خروجی نمونه:
PID PPID Name Offset(V) 1000 4 System 0x00000000 1500 1000 svchost.exe 0x12345678
این خروجی نشان می‌دهد که svchost.exe در سیستم اجرا شده است.
مرحله 4: بررسی DLLهای بارگذاری‌شده توسط svchost.exe
حملات تزریق کد معمولاً شامل بارگذاری DLLهای مخرب در پراسس های قانونی هستند. برای شناسایی DLLهای بارگذاری‌شده توسط svchost.exe، از دستور dlllist استفاده کنید:
volatility -f memory.dmp --profile=Win7SP1x64 dlllist -p 1500
خروجی نمونه:
Base Size Path 0x7ffd9000 0x12000 C:\Windows\System32\kernel32.dll 0x6d9c0000 0x1f000 C:\Windows\Temp\malicious.dll
در اینجا، DLL مشکوکی به نام malicious.dll شناسایی شده که در مسیر غیرمعمولی (Temp) قرار دارد.
مرحله 5: جستجوی تزریق کد در حافظه
تزریق کد معمولاً شامل تخصیص حافظه جدید در پروسس هدف است. با استفاده از دستور malfind، تزریق کد را بررسی کنید:
volatility -f memory.dmp --profile=Win7SP1x64 malfind -p 1500
خروجی نمونه:
Process: svchost.exe PID: 1500 Address: 0x7a45000 Injected Code: 0x7a45000 - 0x7a46000 Dumped to malfind.1500.0x7a45000.dmp
این خروجی نشان می‌دهد که کد تزریقی در آدرس حافظه 0x7a45000 قرار دارد.

مرحله 6: استخراج کد تزریق‌شده
برای تحلیل بیشتر، کد تزریق‌شده را استخراج کنید. Volatility این امکان را فراهم می‌کند که محتویات حافظه را برای تحلیل دستی ذخیره کنید:
volatility -f memory.dmp --profile=Win7SP1x64 malfind -p 1500 --dump-dir=./dumps
فایل‌های تولیدشده را می‌توان با ابزارهایی مانند IDA Pro، Ghidra، یا PEStudio بررسی کرد.
مرحله 7: بررسی اتصالات شبکه‌ای svchost.exe
برای شناسایی ارتباطات شبکه‌ای مرتبط با svchost.exe، از دستور netscan استفاده کنید:
volatility -f memory.dmp --profile=Win7SP1x64 netscan
خروجی نمونه:
Proto Local Address Foreign Address PID TCP 192.168.1.10:5040 198.51.100.23:443 1500
در اینجا، svchost.exe با آدرس خارجی مشکوک 198.51.100.23 در حال ارتباط است.

یافته‌های تحلیل
تزریق کد در آدرس حافظه 0x7a45000 شناسایی شد.
اینجا DLL مشکوک malicious.dll بارگذاری شده است.
ارتباط شبکه‌ای به آدرس خارجی ناشناخته نشان‌دهنده احتمال ارتباط با سرور Command and Control است.
جمع‌بندی
تحلیل پروسس svchost.exe با Volatility می‌تواند به شناسایی تزریق کد، بارگذاری DLLهای مخرب، و رفتارهای شبکه‌ای غیرعادی کمک کند. این روش برای پاسخ به حوادث امنیتی (Incident Response) و تحلیل بدافزارها ضروری است. با استفاده از ابزارهایی مانند Volatility و بررسی دقیق خروجی‌ها، امکان شناسایی و مقابله با تهدیدات سایبری فراهم می‌شود.

#من_آموزش_میدهم
#آکادمی_روزبه

استاکس نت تحولی در عصر نفوذ رو رقم زد مستند zero days رو برای مطلع شدن از ابعاد قضیه پیشنهاد میکنم

اما چند مقاله مهم و فنی در این خصوص رو در زیر می‌گذارم.

من در کلاسهایم در هر سطحی بالاخره یک مروری بر استاکس نت دارم حالا اگر ‌کلاس فنی باشد جزئیات فنی را پیش میکشم و اگر مدیریتی باشد مسائل غیر آن .

چون درس آموخته های استاکس نت خودش آموزش بزرگیست.


#آکادمی_روزبه

مقاله سیمنتک

https://docs.broadcom.com/doc/security-response-w32-stuxnet-dossier-11-en

مقاله کسپرسکی

https://www.kaspersky.com/resource-center/definitions/what-is-stuxnet

https://www.langner.com/stuxnet/

🏮جایی که ابزار کم میاورد اما دانش میتواند جلو برود

✍️روزبه نوروزی


◀️بسیاری از ما از volatility برای تحلیل حافظه در فارنزیک و کشف حملات پیچیده استفاده می‌کنیم. اما آیا به این فکر کرده اید این دستوراتی که درvolatility اینقدر سر راست برای ما اطلاعات را بیرون میکشند زمانی ممکن است دور بخورند ؟

🔴خیلی سوال مهمی است چون در برخی کلاسها تاکید بسیاری بر این ابزار است اما آیا در عمل کاملا میتواند موفق باشد ؟


✴️نمونه بدافزارهایی که Volatility را می‌توانند دور بزنند:

Turla Rootkit (Snake):
این بدافزار از تکنیک‌های پنهان‌سازی پیشرفته برای پنهان کردن فعالیت‌های خود در حافظه و شبکه استفاده می‌کند.
Stuxnet:
با تزریق کدهای پیشرفته به فرآیندهای سیستم و استفاده از مبهم‌سازی.
ShadowHammer:
این بدافزار با دستکاری ماژول‌ها و استفاده از گواهینامه‌های معتبر سعی در گمراه کردن تحلیل‌گران داشت.
GrayFish (Equation Group):
این بدافزار در BIOS و حافظه مخفی می‌شود و تشخیص آن بسیار دشوار است.

🔵تکلیف : کمی درباره علت توضیح دادم ولی بیشتر دقیق شوید و بررسی کنید چرا این اتفاقات می‌افتد.


#آموزش_میدهم
#آکادمی_روزبه