تشکر از دوستان


تعدادی از همراهان در تماس با اکانت ادمین اظهار لطف کرده و نسبت به انتشار پستهای کانال تشکر داشته اند.

خواستم هم از ایشان که می‌بینند و آنقدر بزرگوار هستند که بیان می‌کنند تشکر کنم 🌹
هم بگویم این تشویق‌ها منجر به تولید مقالات بهتر و استفاده بیشتر خود شما از علم میگردد.

اصولا بنده انتشار پستهای کانال را در راستای علاقه ام به سه چیز انجام می‌دهم:

-علاقه شخصی به تدریس
-اشتراک دانش بعنوان وظیفه
-اصلاح امور جامعه پیرو سخنان حضرت علی (ع)

اما در عین حال ، تشویق ها و اظهار لطف شما ؛ توان اینجانب را دو چندان می‌کند.

حال که فعلا از دوره های اکادمی روزبه فقط CISSPو ISSMP برگزار می‌شود تنها راه موثر برای انتقال دانش همین کانال است پس پستهای کانال را بدقت بخوانید و برای علاقمندان ارسال نمایید

شاید در آینده مجددا اکادمی روزبه احیا شد

مشتاق شنیدن پیام های شما هستم

با احترام
روزبه نوروزی
پایان دیماه ۱۴۰۳

اسلاید های درس طرح پاسخ به حادثه از NIST

#آکادمی_روزبه

تیم قرمز اتمیک !

✍️روزبه نوروزی

بیایم با Atomic Red Team آشنا بشیم.
یک فریم‌ورک متن‌باز است که برای شبیه‌سازی تکنیک‌های حمله سایبری طراحی شده و توسط تیم شرکت Red Canary توسعه داده شده است. این ابزار به متخصصان امنیت سایبری و مدیران سیستم کمک می‌کند تا توانایی سیستم‌های دفاعی خود را در برابر حملات واقعی ارزیابی و بهبود دهند.

🔴ویژگی‌ها و کاربردهای Atomic Red Team:

🔅 تست تکنیک‌های حمله:
این ابزار بر اساس تکنیک‌های چارچوب MITRE ATT&CK طراحی شده است و به شما امکان می‌دهد تکنیک‌های مختلف حمله را شبیه‌سازی کنید.

🔅 سادگی در استفاده:
تکنیک‌ها به صورت مستقل (Atomic) طراحی شده‌اند، بنابراین می‌توانید بدون نیاز به پیکربندی پیچیده، یک تکنیک خاص را اجرا کنید.

🔅 سازگاری با سیستم‌های مختلف:
این Atomic Red Team از سیستم‌عامل‌های مختلف مانند Windows، macOS و Linux پشتیبانی می‌کند.

🔅 بهبود دفاع سایبری:
با شبیه‌سازی حملات، می‌توانید نقاط ضعف در سیستم‌های خود را شناسایی و برای تقویت آن‌ها اقدام کنید.

🔅 آموزش و یادگیری:
این ابزار یک منبع عالی برای آموزش تیم‌های امنیتی است تا با روش‌های واقعی حملات آشنا شوند و توانایی‌های خود را تقویت کنند.


✳️ تمرین کنیم :
این ابزار را از گیت هاب دانلود کنید و استفاده کنید . سرراست ترین دستور برای استفاده از Invoke-AtomicTest T#### -CheckPrereqs -GetPrereqs است. که در دستور فوق در بخش T شماره تکنیک درج میگردد.

◀️نتایج تست‌ها را از لاگ‌های تولید شده بررسی کنید.
◀️نقاط ضعف سیستم دفاعی را شناسایی کرده و سیاست‌های امنیتی خود را تقویت کنید.


❓️حالا سوال : آیا قدمی برداشته اید تا در اسپلانک سازمان خودتان این حملات را کشف کنید ‌؟



#من_آموزش_میدهم
#آکادمی_روزبه

دوستان در SOC ؛ یک نگاه به این لینک بندازین
مپ هست بین اتمیک تست و رولهای سیگما و اسپلانک

#آکادمی_روزبه

https://attackrulemap.netlify.app/?v=2

این هفته پنج شنبه جلسه پنجم ISSMP دوره مدیریت ارشد امنیت بصورت آنلاین در سراسر ایران برگزار میشود .
برای شرکت در دوره های آینده به واتس اپ زیر پیام دهید
09902957290

گزارشی از فعالیت های جهانی علیه حملات باج افزاری

#آکادمی_روزبه

https://blog.bushidotoken.net/2025/01/analysis-of-counter-ransomware.html

زیر ساخت ESXi را تست کنید


#آکادمی_روزبه

https://github.com/AlbinoGazelle/esxi-testing-toolkit

امروز در مسیر کار گوش می‌کنم
اپیزودی در حوزه DFIR

#آکادمی_روزبه

https://open.spotify.com/show/4ifGmei1Z8eJJ5q08ayUfS?si=fFBTgI4RTFuayN_517FxpA


بحث در رابطه با این مقاله است

https://thedfirreport.com/2024/12/02/the-curious-case-of-an-egg-cellent-resume/

کوبر زیر حمله

#آکادمی_روزبه

تحلیل svchost.exe با استفاده از Volatility: بررسی تزریق کد و رفتار مشکوک

تمرین عملی

مقدمه
پروسس svchost.exe در سیستم‌عامل ویندوز به‌عنوان میزبان سرویس‌های مختلف سیستم عمل می‌کند. با این حال، به دلیل ماهیت چندمنظوره و اجرای سرویس‌های قانونی، این پروسس هدف محبوبی برای مهاجمان است تا کدهای مخرب را در آن تزریق کنند و از شناسایی توسط ابزارهای امنیتی فرار کنند.
ابزار Volatility به‌عنوان یکی از بهترین ابزارهای تحلیل حافظه، می‌تواند برای شناسایی تزریق کد به svchost.exe و تحلیل رفتار آن استفاده شود.

مراحل تحلیل svchost.exe با Volatility
مرحله 1: جمع‌آوری حافظه سیستم (Memory Dump)
برای شروع تحلیل، نیاز به یک Memory Dump از سیستم آلوده دارید. این فایل می‌تواند با استفاده از ابزارهایی مانند DumpIt، FTK Imager، یا LiME ایجاد شود.

مرحله 2: شناسایی پروفایل حافظه
Volatility برای کار با فایل حافظه نیاز به شناسایی پروفایل سیستم دارد. از دستور زیر برای شناسایی پروفایل استفاده کنید:

volatility -f memory.dmp imageinfo
خروجی:
این دستور پروفایل‌های پیشنهادی سیستم (مانند Win7SP1x64) را ارائه می‌دهد.
مرحله 3: شناسایی پروسس‌های فعال
با استفاده از دستور pslist یا psscan، فهرست پروسس‌های فعال در حافظه را بررسی کنید:
volatility -f memory.dmp --profile=Win7SP1x64 pslist
خروجی نمونه:
PID PPID Name Offset(V) 1000 4 System 0x00000000 1500 1000 svchost.exe 0x12345678
این خروجی نشان می‌دهد که svchost.exe در سیستم اجرا شده است.
مرحله 4: بررسی DLLهای بارگذاری‌شده توسط svchost.exe
حملات تزریق کد معمولاً شامل بارگذاری DLLهای مخرب در پراسس های قانونی هستند. برای شناسایی DLLهای بارگذاری‌شده توسط svchost.exe، از دستور dlllist استفاده کنید:
volatility -f memory.dmp --profile=Win7SP1x64 dlllist -p 1500
خروجی نمونه:
Base Size Path 0x7ffd9000 0x12000 C:\Windows\System32\kernel32.dll 0x6d9c0000 0x1f000 C:\Windows\Temp\malicious.dll
در اینجا، DLL مشکوکی به نام malicious.dll شناسایی شده که در مسیر غیرمعمولی (Temp) قرار دارد.
مرحله 5: جستجوی تزریق کد در حافظه
تزریق کد معمولاً شامل تخصیص حافظه جدید در پروسس هدف است. با استفاده از دستور malfind، تزریق کد را بررسی کنید:
volatility -f memory.dmp --profile=Win7SP1x64 malfind -p 1500
خروجی نمونه:
Process: svchost.exe PID: 1500 Address: 0x7a45000 Injected Code: 0x7a45000 - 0x7a46000 Dumped to malfind.1500.0x7a45000.dmp
این خروجی نشان می‌دهد که کد تزریقی در آدرس حافظه 0x7a45000 قرار دارد.

مرحله 6: استخراج کد تزریق‌شده
برای تحلیل بیشتر، کد تزریق‌شده را استخراج کنید. Volatility این امکان را فراهم می‌کند که محتویات حافظه را برای تحلیل دستی ذخیره کنید:
volatility -f memory.dmp --profile=Win7SP1x64 malfind -p 1500 --dump-dir=./dumps
فایل‌های تولیدشده را می‌توان با ابزارهایی مانند IDA Pro، Ghidra، یا PEStudio بررسی کرد.
مرحله 7: بررسی اتصالات شبکه‌ای svchost.exe
برای شناسایی ارتباطات شبکه‌ای مرتبط با svchost.exe، از دستور netscan استفاده کنید:
volatility -f memory.dmp --profile=Win7SP1x64 netscan
خروجی نمونه:
Proto Local Address Foreign Address PID TCP 192.168.1.10:5040 198.51.100.23:443 1500
در اینجا، svchost.exe با آدرس خارجی مشکوک 198.51.100.23 در حال ارتباط است.

یافته‌های تحلیل
تزریق کد در آدرس حافظه 0x7a45000 شناسایی شد.
اینجا DLL مشکوک malicious.dll بارگذاری شده است.
ارتباط شبکه‌ای به آدرس خارجی ناشناخته نشان‌دهنده احتمال ارتباط با سرور Command and Control است.
جمع‌بندی
تحلیل پروسس svchost.exe با Volatility می‌تواند به شناسایی تزریق کد، بارگذاری DLLهای مخرب، و رفتارهای شبکه‌ای غیرعادی کمک کند. این روش برای پاسخ به حوادث امنیتی (Incident Response) و تحلیل بدافزارها ضروری است. با استفاده از ابزارهایی مانند Volatility و بررسی دقیق خروجی‌ها، امکان شناسایی و مقابله با تهدیدات سایبری فراهم می‌شود.

#من_آموزش_میدهم
#آکادمی_روزبه

استاکس نت تحولی در عصر نفوذ رو رقم زد مستند zero days رو برای مطلع شدن از ابعاد قضیه پیشنهاد میکنم

اما چند مقاله مهم و فنی در این خصوص رو در زیر می‌گذارم.

من در کلاسهایم در هر سطحی بالاخره یک مروری بر استاکس نت دارم حالا اگر ‌کلاس فنی باشد جزئیات فنی را پیش میکشم و اگر مدیریتی باشد مسائل غیر آن .

چون درس آموخته های استاکس نت خودش آموزش بزرگیست.


#آکادمی_روزبه

مقاله سیمنتک

https://docs.broadcom.com/doc/security-response-w32-stuxnet-dossier-11-en

مقاله کسپرسکی

https://www.kaspersky.com/resource-center/definitions/what-is-stuxnet

https://www.langner.com/stuxnet/

🏮جایی که ابزار کم میاورد اما دانش میتواند جلو برود

✍️روزبه نوروزی


◀️بسیاری از ما از volatility برای تحلیل حافظه در فارنزیک و کشف حملات پیچیده استفاده می‌کنیم. اما آیا به این فکر کرده اید این دستوراتی که درvolatility اینقدر سر راست برای ما اطلاعات را بیرون میکشند زمانی ممکن است دور بخورند ؟

🔴خیلی سوال مهمی است چون در برخی کلاسها تاکید بسیاری بر این ابزار است اما آیا در عمل کاملا میتواند موفق باشد ؟


✴️نمونه بدافزارهایی که Volatility را می‌توانند دور بزنند:

Turla Rootkit (Snake):
این بدافزار از تکنیک‌های پنهان‌سازی پیشرفته برای پنهان کردن فعالیت‌های خود در حافظه و شبکه استفاده می‌کند.
Stuxnet:
با تزریق کدهای پیشرفته به فرآیندهای سیستم و استفاده از مبهم‌سازی.
ShadowHammer:
این بدافزار با دستکاری ماژول‌ها و استفاده از گواهینامه‌های معتبر سعی در گمراه کردن تحلیل‌گران داشت.
GrayFish (Equation Group):
این بدافزار در BIOS و حافظه مخفی می‌شود و تشخیص آن بسیار دشوار است.

🔵تکلیف : کمی درباره علت توضیح دادم ولی بیشتر دقیق شوید و بررسی کنید چرا این اتفاقات می‌افتد.


#آموزش_میدهم
#آکادمی_روزبه

خب این جمعه تمرکز رو بگذاریم رو تحلیل بدافزار

شروع رو از یک تمرین ساده با Ghidra داریم
خیلی سختش نکنید
ویدئو رو ببینید

این لینک هم بخونین

https://medium.com/@cy1337/reversing-a-simple-crackme-with-ghidra-decompiler-5dd1b1c3c0ba


#آکادمی_روزبه

https://m.youtube.com/watch?v=fTGTnrgjuGA

یک تحلیل واقعی

برای مبتدیان

برای انجام یک تحلیل واقعی با استفاده از Ghidra، می‌توانیم یک نمونه ساده از برنامه‌های CrackMe را بررسی کنیم. این برنامه‌ها برای تمرین مهارت‌های مهندسی معکوس طراحی شده‌اند و محیطی امن برای یادگیری فراهم می‌کنند.

مرحله 1: دانلود یک نمونه CrackMe

دریافت فایل:
به وب‌سایت Crackmes.one مراجعه کنید.
یک CrackMe با سطح دشواری "آسان" را انتخاب و دانلود کنید.

مرحله 2: راه‌اندازی Ghidra

ایجاد پروژه جدید:
Ghidra را باز کنید و یک پروژه جدید ایجاد کنید.
نام پروژه را متناسب با نمونه انتخابی قرار دهید.

وارد کردن فایل اجرایی:
فایل CrackMe دانلودشده را به پروژه وارد کنید.
Ghidra به‌طور خودکار نوع فایل را شناسایی می‌کند.

مرحله 3: تحلیل اولیه فایل

اجرای تحلیل خودکار:
پس از وارد کردن فایل، Ghidra پیشنهاد می‌دهد که تحلیل خودکار را انجام دهد؛ این فرآیند را تأیید کنید.
این تحلیل شامل شناسایی توابع، رشته‌ها و ساختارهای داده‌ای است.

مرحله 4: جستجوی رشته‌ها (Strings)

نمایش رشته‌ها:
از منوی Window > Defined Strings استفاده کنید تا تمامی رشته‌های موجود در برنامه را مشاهده کنید.
به دنبال رشته‌هایی مانند "Password incorrect" یا "Access granted" باشید که ممکن است به فرآیند تأیید رمز عبور مرتبط باشند.

مرحله 5: تحلیل توابع مرتبط با رمز عبور

شناسایی توابع مهم:
در پنجره Symbol Tree، به بخش Functions بروید و توابعی که ممکن است با تأیید رمز عبور مرتبط باشند را شناسایی کنید.
توابعی با نام‌هایی مانند check_password یا validate می‌توانند مورد توجه باشند.

دی‌کامپایل توابع:
روی تابع مورد نظر دوبار کلیک کنید تا کد اسمبلی آن نمایش داده شود.
در پنجره Decompile، کد شبه‌C نمایش داده می‌شود که درک آن ساده‌تر است.

مرحله 6: شناسایی رمز عبور

بررسی منطق تأیید:
در کد دی‌کامپایل‌شده، به دنبال مقایسه‌هایی باشید که ورودی کاربر را با یک مقدار ثابت مقایسه می‌کنند.
اگر مقدار ثابت (رمز عبور) در کد مشخص باشد، می‌توانید آن را استخراج کنید.

شناسایی الگوریتم‌های مبهم‌سازی:
در صورتی که رمز عبور به‌صورت مستقیم در کد نباشد، ممکن است از الگوریتم‌های رمزنگاری یا مبهم‌سازی استفاده شده باشد که نیاز به تحلیل دقیق‌تر دارد.

مرحله 7: آزمایش رمز عبور

اجرای برنامه:
برنامه CrackMe را اجرا کنید و رمز عبور استخراج‌شده را وارد کنید.
در صورت صحیح بودن تحلیل، باید پیام موفقیت را مشاهده کنید.


#آکادمی_روزبه

علیرغم تحریم ایران توسط ISACA ارائه سرفصل مدرک CCOAمطابق تصویر فوق امکان پذیر است

جهت ثبت نام سازمانی تماس از طریق واتس اپ 09902857290

#آکادمی_روزبه
سرفصل های رسمی و بین المللی
#من_آموزش_میدهم

کشف دامپ با taskmanager

✍️روزبه نوروزی

در حمله ای مشاهده شده که هکر با دسترسی ادمینی که داشته بجای استفاده از Mimikatz از taskmanager اومده و دامپ lsass.exe رو گرفته تا بتونه کردنشیال رو دربیاره .
چرا از این روش که استفاده از LOLBins - ابزارهای ویندوز-نام داره استفاده کرده ؟
تا ابزارهای حساس به Mimikatz که ابزاری هکری هست فعال نشن.

واسه گرفتن این رفتار من از سیسمون استفاده میکنم. به شرح کانفیگ فایل زیر .
شما هم اگر نظری دارید بفرمایید .

<EventFiltering>
<ProcessAccess onmatch="include">
<TargetImage condition="contains">lsass.exe</TargetImage>
<SourceImage condition="contains">taskmgr.exe</SourceImage>
<GrantedAccess condition="contains">0x1410</GrantedAccess> <!-- Specific LSASS memory access -->
</ProcessAccess>
<ProcessCreate onmatch="include">
<Image condition="contains">taskmgr.exe</Image>
<CommandLine condition="contains">lsass</CommandLine> <!-- Task Manager dump triggers -->
</ProcessCreate>
<FileCreate onmatch="include">
<TargetFilename condition="ends with">.dmp</TargetFilename>
<TargetFilename condition="contains">\Windows\Temp\</TargetFilename>
<TargetFilename condition="contains">\CrashDumps\</TargetFilename>
</FileCreate>
</EventFiltering>



تایپ دسترسی (0x1410) تلاش برای خواندن رو لاگ میکنه اگر شما اینو که فیلتر GrantedAccess است در کانفیگ سیسمون نداشته باشید دچار FP میشین.


حتما باید ایجاد پراسس پایش بشه


خروجی دامپ با پسوند .dmp

#آکادمی_روزبه

مقاله فوق: "مدیریت ریسک سایبری در عصر سرمایه‌داری ذینفع‌محور" ،
نشان می‌دهد که رویکردهای سنتی ارزیابی ریسک‌های سایبری ناکافی هستند و نیاز به یک چارچوب جامع‌تر وجود دارد. با استفاده از معیارهای اجتماعی و حکمرانی (SG)، سازمان‌ها می‌توانند هزینه‌های واقعی ناشی از نقض امنیت سایبری را بهتر درک کنند و استراتژی‌های بهتری برای مدیریت این ریسک‌ها توسعه دهند.

بخشی از منبع درسISSMP مدیر ارشد امنیت سایبری
با سرفصل روز
این پنج شنبه جلسه ششم

چرادوره CISSP عمومی را فعلا برگزار نمیکنم ؟

✍️روزبه نوروزی

پس از 3 ماه تبلیغات تنها 7 نفر برای دوره CISSP ثبت نام قطعی داشته ایم و این موضوع برای بنده هم ناامید کننده است و هم اینکه در پروژه های زیادی درگیر هستم و ترجیح میدهم در آنها مشغول باشم چون حس مفید بودن بیشتری دارم . این در شرایطی است که درایران فقط 6 دارنده این مدرک را داریم و در نسبت به رشد سایبری با کشورهای همطراز بسیار عقب هستیم. این مدرک یکی از عالی ترین مدارک دنیای IT است که در صحنه جهان نقش بسزایی در نقل انتقال استخدامی ایفا میکند و تعداد دارندگان مدرک نسبت مستقیمی با رشد سایبری کشورها دارد.

قبول دارم که بدلایل اقتصادی اخذ مدرک رسمی مشکل تر از خود آزمون ( که خودش غول عظیمی است ) شده است اما وجود افرادی با دانش کامل CISSP نیاز توسعه ای ایران میباشد.
به بیان دیگر همانطور که برای توسعه نیاز به دکتر ، مهندس و تکنسین داریم نیاز به متخصص در سطح CISSP هم برای مدیریت پروژه های کشور و هم برای ایفای کارشناسی ارشد وجود دارد .
این جمله نافی وجود متخصص با سواد همطراز CISSP در کشور نیست. اما بنا به دلیل اینکه آموزش مکفی و اخذ مدرک رسمی وجود ندارد امکان بررسی صلاحیت کسب کرسی های مدیریت و کارشناسی ارشد وجود ندارد و فقط از راههای معرفی امکان این هست و خب خطاهای خود را دارد .
در کل باید گفت هر فرد میتواند گستره ای وسیع از دانش ها را داشته باشد اما وقتی در چهارچوب هایی چون سنز و ISC2 درمیاید میتونیم مطمین شویم دانش ایشان یکنواخت است و بصورت اصولی آجرهای دانشی روی هم گذاشته شده اند. در این حال ما با شخص پخته ای در علم امنیت اطلاعات مواجه هستیم که میتوانیم امورات را با خیال راحت به او بسپریم.
بازهم تاکید میکنم نه CISSPمعجزه میکند و نه آنکه CISSPندارد الزاما کم سواداست بلکه ترویج مدارکی چون CISSP ساختار سازی جامعه و پشتیبانی از تلاش و پاداش دهی به خواستن و توانسن افراد است.
تا کنون در این سالها دوره های بسیاری از CISSP داشته ام ولی فقط 12 نفر را صلاح دیدم آزمون دهند و توصیه کردم آزمون دهند که همانها که حدس زدم قبول هم شدند. اما متاسفانه همگی مهاجرت کرده اند.
شاید این مشکلی که در تشکیل کلاس پیش آمده به مهاجرت نخبه های عالی که هدایتگر لایه پایین تر بودند برمیگردد.
ضمنا با توجه به کیفیت کلاس، مزایای جانبی و همچنین سطح و سابقه مورد نیاز برای شرکت در کلاس ، هزینه کلاس هم معقول و قابل پرداخت است.
خداروشکر ، بنده هم شغل خود را دارم هم فان مربوطه که مطالعه و تحقیق است که در پست هایم میبینید که هم از خوانده ها میگویم هم از تجربیات.
خواستم با برگزاری این کلاس عمومی ،پیرو یادگاری های قبلی بازهم از خود چیزی برای این کشور داشته باشم که این بار نشد.
حالا باز اگر دوستان خواستند امکان برگزاری در بهار خواهد بود. اما خداروشکر هنوز در برخی مجموعه ها افراد باسواد و دلسوز وجود دارند لذا برای ایشان بصورت درون سازمانی وقت میگذارم و حس خوبی دارم .

🔴مهم برای SOC
پراسس هالویینگ با آخرین به روز رسانی ویندوز ۱۱ دیگر ممکن نیست !

اما لینک زیر چیز دیگر می‌گوید

پس به فکر کشف باشید که دیر نشود

#آکادمی_روزبه
#من_آموزش_میدهم 

https://hshrzd.wordpress.com/2025/01/27/process-hollowing-on-windows-11-24h2/

مقاله تحلیلی DFIR

#من_آموزش_میدهم
#آموزش_میدهم

https://thedfirreport.com/2025/01/27/cobalt-strike-and-a-pair-of-socks-lead-to-lockbit-ransomware/