👆👆 کاری که برای ایران شروع شد
چه شد که هامون به کمک آمد

ادامه از پست قبل


با این صحبت ایشان تصمیم گرفت بخشی از هزینه هر شخص را برای ثبت نام در دوره مدرک CISSP تقبل کند. لذا شرکت هامون به نوعی اسپانسر آکادمی روزبه قرار گرفت .

با تخفیف ۱۰ درصدی ثبت نام اولیه ، مجموع تخفیف به ۳۰ درصد رسید لذا عدد ثبت نام از ۱۹ م تومان به ۱۳ م تومان کاهش یافت.
به نظرم عددی است که برای دوستان شرایط بهتری را برای پرداخت فراهم می‌کند.

این شرایط را برای ایران و توسعه علم و دانش روز جهان فراهم کرده ایم چون ارزش زمانی که برای تدریس و منتورینگ و حل مسائل گذاشته خواهد شد خیلی بیشتر از هزینه دریافتی از کلاس است.


انشالله ۲۵ اردیبهشت کلاس رو شروع میکنیم و به توفیق الهی قدمی دیگر برای بهتر شدن و افزایش اعتماد به نفس ایرانیان برمی‌داریم. بر آن باورم که دانش؛ اعتماد به نفس و خودباوری میاورد که می‌تواند عزت را به ایرانی عطا کند.

هنوز تعداد محدودی می‌توانند به ما بپیوندند. این واتس اپ را میگذارم 09902857290


#آکادمی_روزبه

بررسی حملات رله در پروتکل‌های NTLM و Kerberos و تفاوت‌ها، محدودیت‌ها و ابزارهای مرتبط

مقدمه‌ای بر Kerberos

پروتکل Kerberos یک پروتکل احراز هویت شبکه‌ای است که با استفاده از رمزنگاری کلید متقارن و مرکز توزیع کلید (KDC) امکان احراز هویت امن را فراهم می‌کند. این پروتکل شامل اجزای زیر است:

- خدمت احراز هویت (AS):اعتبارسنجی اولیه کاربر و صدور بلیت TGT.
- خدمت صدور بلیت (TGS): صدور بلیت‌های سرویس خاص بر اساس TGT معتبر.
- مدل کلاینت-سرور: استفاده از پیام AP-REQ برای احراز هویت به سرویس‌ها.


حملات رله در Kerberos چگونه کار می‌کنند؟

برخلاف NTLM، حملات رله در Kerberos کمتر مستندسازی شده‌اند. اما تحقیقات اخیر نشان داده‌اند که این حملات نیز امکان‌پذیرند. در این حملات، مهاجم پیام AP-REQ را که حاوی بلیت سرویس است، رهگیری کرده و به سرویس هدف ارسال می‌کند تا به جای قربانی احراز هویت شود.

نکته کلیدی در اینجا استفاده از نام اصلی سرویس (SPN) است. اگر دو سرویس (مثلاً HTTP و SMB) از یک حساب کاربری در Active Directory استفاده کنند، بلیت صادرشده برای یکی می‌تواند برای دیگری نیز معتبر باشد، مگر اینکه سرویس‌ها به‌طور خاص SPN را بررسی کنند.

⚠️ محدودیت‌ها و چالش‌های حملات رله در Kerberos

حملات رله در Kerberos با محدودیت‌هایی مواجه‌اند:

- بررسی SPN: اگر سرویس‌ها SPN را بررسی کنند، بلیت‌های نادرست رد می‌شوند.
- محافظت‌های رمزنگاری: استفاده از امضای SMB یا LDAP و Extended Protection for Authentication (EPA) می‌تواند از این حملات جلوگیری کند.
- عدم امکان رله به میزبان‌های دیگر: برخلاف NTLM، در Kerberos نمی‌توان بلیت را به میزبان دیگری رله کرد، زیرا کلید رمزنگاری بر اساس رمز عبور حساب کاربری خاص است.

ابزارها و تکنیک‌های مرتبط

م ابزارهایی مانند KrbRelayEx برای اجرای حملات رله در Kerberos طراحی شده‌اند. این ابزارها به مهاجمان امکان می‌دهند تا پیام‌های AP-REQ را رهگیری و به سرویس‌های هدف ارسال کنند


✅ توصیه‌های امنیتی

برای کاهش خطر حملات رله در Kerberos:

- فعال‌سازی EPA:
Extended Protection for Authentication
را در سرویس‌های حساس فعال کنید.
- استفاده از امضای SMB و LDAP: این اقدامات می‌توانند از رهگیری و تغییر پیام‌ها جلوگیری کنند.
- بررسی SPN در سرویس‌ها:اطمینان حاصل کنید که سرویس‌ها SPN را به‌درستی بررسی می‌کنند.
- غیرفعال‌سازی پروتکل‌های نام‌گذاری قدیمی: پروتکل‌هایی مانند LLMNR و NetBIOS را در شبکه غیرفعال کنید.


#آکادمی_روزبه


https://decoder.cloud/2025/04/24/from-ntlm-relay-to-kerberos-relay-everything-you-need-to-know/

چرا تحلیل‌های جرم‌شناسی دیجیتال (DFIR) در سیستم‌عامل macOS می‌تواند در برخی موارد ساده‌تر از Windows باشد.


1. ساختار فایل یکپارچه و بدون رجیستری پیچیده
در macOS، ساختار فایل‌ها به سبک یونیکس و به‌صورت سلسله‌مراتبی است. اطلاعات کاربر در مسیرهای مشخصی مانند /Users/<username>/ قرار دارد. برخلاف Windows که از رجیستری پیچیده‌ای برای ذخیره تنظیمات استفاده می‌کند، macOS از فایل‌های plist (Property List) برای ذخیره تنظیمات بهره می‌برد. این فایل‌ها معمولاً به‌صورت XML یا باینری هستند و به‌راحتی قابل خواندن و تحلیل می‌باشند.

2. مکان‌های کمتر برای ثبوت(Persistence)

در Windows، مکان‌های متعددی برای اجرای خودکار برنامه‌ها وجود دارد، مانند Task Scheduler، رجیستری، WMI و غیره. اما در macOS، مکان‌های اصلی برای پایداری شامل Launch Agents و Launch Daemons هستند. این سادگی باعث می‌شود تحلیل‌گر بتواند سریع‌تر مکان‌های احتمالی برای پایداری بدافزار را بررسی کند.

3. اطلاعات متادیتای مفید در فایل‌های دانلود شده
در macOS به‌صورت خودکار به فایل‌های دانلود شده متادیتایی مانند com.apple.quarantine اضافه می‌کند که شامل اطلاعاتی مانند منبع دانلود و تاریخ آن است. این اطلاعات می‌تواند در تحلیل‌های جرم‌شناسی بسیار مفید باشد. در مقابل، Windows از Zone.Identifier استفاده می‌کند که اطلاعات کمتری ارائه می‌دهد.

4. محیط کنترل‌شده و یکنواخت
سیستم عامل Apple کنترل کاملی بر سخت‌افزار و نرم‌افزار دستگاه‌های خود دارد. این باعث می‌شود تنوع نسخه‌های سیستم‌عامل و درایورها کمتر باشد و تحلیل‌گر با محیطی یکنواخت‌تر مواجه شود. در حالی که در Windows، تنوع سخت‌افزارها و نرم‌افزارهای شخص ثالث می‌تواند تحلیل را پیچیده‌تر کند.


⚠️ چالش‌های موجود در جرم‌شناسی macOS

1. رمزگذاری پیش‌فرض و امنیت سخت‌افزاری

ویژگی‌هایی مانند FileVault و تراشه‌های امنیتی T2 و Apple Silicon باعث می‌شوند داده‌ها به‌صورت پیش‌فرض رمزگذاری شوند. بدون دسترسی به رمز عبور کاربر، دسترسی به داده‌ها بسیار دشوار است. این موضوع در منابع مختلف تأیید شده است.

2. عدم امکان تصویربرداری فیزیکی در برخی موارد
در دستگاه‌های جدید Apple، به‌ویژه با تراشه‌های Apple Silicon، امکان تصویربرداری فیزیکی از دیسک وجود ندارد و فقط می‌توان تصویربرداری منطقی انجام داد. این محدودیت‌ها باعث می‌شود برخی اطلاعات قابل بازیابی نباشند.

3. تغییرات مداوم در ساختار سیستم‌عامل
سیستم عامل Apple به‌طور مداوم ساختار سیستم‌عامل خود را به‌روزرسانی می‌کند. این تغییرات می‌توانند باعث شوند ابزارهای جرم‌شناسی نیاز به به‌روزرسانی مداوم داشته باشند تا با ساختار جدید سازگار شوند.

#آکادمی_روزبه

https://medium.com/@mathias.fuchs/apples-to-apples-why-macos-forensics-can-be-easier-than-windows-19c9f234c1a1

بررسی حمله روز

حمله‌های سایبری اخیر نشان‌دهندهٔ همکاری بدافزار SocGholish (معروف به FakeUpdates) با گروه باج‌افزار RansomHub هستند.
این همکاری به مهاجمان امکان می‌دهد تا از طریق وب‌سایت‌های آلوده، به شبکه‌های سازمانی نفوذ کرده و حملات باج‌افزاری پیچیده‌ای را اجرا کنند. ​

نحوهٔ آلودگی: زنجیرهٔ حملهٔ SocGholish و RansomHub

آلودگی اولیه از طریق وب‌سایت‌های آلوده:

مهاجمان وب‌سایت‌های قانونی را با اسکریپت‌های مخرب جاوا اسکریپت آلوده می‌کنند. هنگامی که کاربران از این وب‌سایت‌ها بازدید می‌کنند، با پیام‌های جعلی به‌روزرسانی مرورگر مواجه می‌شوند. اگر کاربر این به‌روزرسانی جعلی را دانلود و اجرا کند، بدافزار SocGholish بر روی سیستم نصب می‌شود.​

دسترسی اولیه و شناسایی سیستم:
پس از نصب، SocGholish اطلاعات سیستم را جمع‌آوری کرده و به مهاجمان ارسال می‌کند. این اطلاعات شامل جزئیات سخت‌افزاری، نرم‌افزاری و شبکه‌ای سیستم است.​

استقرار درب پشتی و اجرای دستورات:
بدافزار با استفاده از ابزارهایی مانند PowerShell و WMI، درب پشتی را بر روی سیستم نصب می‌کند و به مهاجمان امکان اجرای دستورات از راه دور را می‌دهد.​

سرقت اطلاعات و گسترش در شبکه:
مهاجمان با استفاده از دستورات مختلف، اطلاعات حساس مانند نام‌های کاربری، رمزهای عبور و تنظیمات شبکه را جمع‌آوری می‌کنند. همچنین، با استفاده از ابزارهایی مانند certutil.exe، فایل‌های رجیستری مهم را استخراج می‌کنند.​

استقرار باج‌افزار RansomHub:
در نهایت، باج‌افزار RansomHub بر روی سیستم قربانی نصب می‌شود. این باج‌افزار فایل‌های سیستم را رمزگذاری کرده و از قربانی درخواست پرداخت باج می‌کند.​

روش‌های پیشگیری و کنترل

آموزش کاربران: کاربران را نسبت به خطرات کلیک بر روی لینک‌ها و به‌روزرسانی‌های مشکوک آگاه کنید.​

استفاده از نرم‌افزارهای امنیتی به‌روز: نرم‌افزارهای ضدویروس و ضدبدافزار را به‌روز نگه دارید تا بتوانند تهدیدات جدید را شناسایی و مسدود کنند.​

نظارت بر ترافیک شبکه: ترافیک شبکه را برای شناسایی رفتارهای غیرمعمول و ارتباط با سرورهای فرمان و کنترل (C2) مانیتور کنید.​

به‌روزرسانی منظم سیستم‌ها: سیستم‌عامل و نرم‌افزارهای نصب‌شده را به‌طور منظم به‌روزرسانی کنید تا آسیب‌پذیری‌ها برطرف شوند.​

محدود کردن دسترسی‌ها: دسترسی کاربران به منابع سیستم را بر اساس نیاز محدود کنید و از اصل کمترین امتیاز (Least Privilege) پیروی کنید.​

پشتیبان‌گیری منظم: از داده‌های مهم به‌طور منظم پشتیبان‌گیری کنید و اطمینان حاصل کنید که نسخه‌های پشتیبان در مکان‌های امن ذخیره می‌شوند.​

#آکادمی_روزبه

https://rewterz.com/threat-advisory/the-socgholish-ransomhub-connection-active-iocs

حمله‌ی جدیدی به نام «Inception» ضعف‌های امنیتی گسترده‌ای را در مدل‌های زبانی هوش مصنوعی مانند ChatGPT، Gemini، Copilot، Claude و دیگران آشکار کرده است.

این حمله با استفاده از سناریوهای داستانی تو در تو، مدل‌ها را به تولید محتوای ممنوعه مانند بدافزار، ایمیل‌های فیشینگ و دستورالعمل‌های ساخت سلاح وادار می‌کند. روش دوم با پرسیدن اینکه مدل چگونه نباید پاسخ دهد، اطلاعاتی درباره‌ی محدودیت‌های آن استخراج کرده و سپس با استفاده از حافظه‌ی متنی مدل، این محدودیت‌ها را دور می‌زند. این آسیب‌پذیری‌ها نشان می‌دهند که اقدامات فعلی برای ایمن‌سازی هوش مصنوعی در برابر سوءاستفاده‌ها ناکافی هستند و نیاز به بازنگری جدی دارند.

#آکادمی_روزبه

https://cybersecuritynews-com.cdn.ampproject.org/c/s/cybersecuritynews.com/inception-jailbreak-attack-bypasses/amp/

چرا همه چیز تقصیر هکرها نیست!
یعنی: چرا برخی از تهدیدهای سایبری شبه عمد شناسایی نمی‌شوند؟

✍️روزبه نوروزی

در بسیاری از SOCها، ما فقط تهدیدهایی را می‌بینیم که تصمیم گرفته‌ایم ببینیم. عجیب است؟ بیایید دقیق‌تر نگاه کنیم:

1. فیلترهای عملیاتی:
ما به‌صورت ناخواسته فقط به هشدارهایی توجه می‌کنیم که «بر اساس SLA» یا KPIهای از پیش تعریف‌شده باشند. تهدیدهایی که به‌نظر زمان‌بر، پیچیده یا خارج از محدوده‌ی Playbookها هستند، نادیده گرفته می‌شوند.

2. ملاحظات سیاسی:
بله، گاهی شناسایی یک حمله ممکن است پیامدهایی برای تیم داخلی یا کسب‌وکار داشته باشد. تهدیدهایی که ممکن است مدیر پروژه خاصی را زیر سؤال ببرند، تمایل چندانی برای escalate شدن ندارند.

3. خستگی از هشدارها (Alert Fatigue):
وقتی تیم شما روزانه با ۵۰۰۰ هشدار روبروست، مغز شما یاد می‌گیرد که فقط به آنچه "آشنا و قابل حل" است توجه کند. حملات پیشرفته‌تر که نویز کمی دارند؟ احتمالاً گم می‌شوند.

4. تعارض هدف با فناوری:
برخی راهکارهای دفاعی به‌گونه‌ای طراحی شده‌اند که هر تهدید را به یک signature یا rule تقلیل دهند. اما مهاجمان واقعی در چارچوب signature فکر نمی‌کنند.

واقعیت تلخ:
تهدیدهای زیادی اصلاً دیده نمی‌شوند، نه به‌خاطر مهارت عجیب هکر، بلکه به‌خاطر مدل عملیاتی ما، چارچوب‌های محدود تصمیم‌گیری، و سیاست‌های داخلی.

با خود فکر کنید:
در حوزه عملکرد شما، چه عواملی باعث شده که یک تهدید سایبری «عمداً» یا «ناخواسته» نادیده گرفته شود؟


#آکادمی_روزبه

آسیب پذیری جدید

آسیب‌پذیری جدیدی در سرویس‌های دامنه Active Directory با شناسه CVE-2025-21293 را در لینک زیر خواهید دید . این آسیب‌پذیری به مهاجمان اجازه می‌دهد تا با سوءاستفاده از گروه "Network Configuration Operators"، سطح دسترسی خود را به سطح SYSTEM ارتقاء دهند.

خلاصه‌ای از مقاله:

کشف آسیب‌پذیری: در سپتامبر ۲۰۲۴، نویسنده هنگام انجام مأموریتی برای مشتری، متوجه گروه "Network Configuration Operators" شد که به‌طور پیش‌فرض در Active Directory وجود دارد. این گروه دارای مجوز "CreateSubKey" برای کلیدهای رجیستری حساس مانند DnsCache و NetBT بود.

سوءاستفاده از Performance Counters: با استفاده از مجوزهای این گروه، مهاجم می‌تواند زیرکلیدهایی در رجیستری ایجاد کند که به وی امکان ثبت یک DLL مخرب را می‌دهد. این DLL هنگام فراخوانی Performance Counters توسط ابزارهایی مانند WMI یا PerfMon.exe با سطح دسترسی SYSTEM اجرا می‌شود.

کد نمونه: مقاله شامل نمونه‌ای از کد DLL است که توابع Open، Collect و Close را پیاده‌سازی می‌کند. این کد به‌عنوان اثبات مفهوم برای بهره‌برداری از آسیب‌پذیری ارائه شده است.

پچ امنیتی: مایکروسافت در ژانویه ۲۰۲۵ این آسیب‌پذیری را با انتشار به‌روزرسانی امنیتی اصلاح کرد.

توصیه‌ها:

اگر از نسخه‌های آسیب‌پذیر ویندوز یا Windows Server استفاده می‌کنید، توصیه می‌شود به‌روزرسانی‌های امنیتی ژانویه ۲۰۲۵ را هرچه سریع‌تر نصب کنید تا از بهره‌برداری احتمالی جلوگیری شود.

#آکادمی_روزبه


https://birkep.github.io/posts/Windows-LPE/

فایروالی برای LLM


یک فایروال متن‌باز برای مدل‌های زبان بزرگ (LLMs) مثل LLaMA طراحی شده و هدفش ایجاد چارچوب محافظتی یا "guardrail" برای ساخت عامل‌های هوش مصنوعی ایمن است.


چی هست؟
این "LlamaFirewall" یک سیستم فایروال یا گاردریل برای مدل‌های زبانیه که:
متن ورودی کاربر (prompt)، خروجی مدل (response)، و تعامل با ابزارهای خارجی رو بررسی می‌کنه.
بر پایه مدل LlamaGuard ساخته شده، که خودش یک مدل LLM فاین‌تیون‌شده‌ برای بررسی سیاست‌های امنیتیه.

چه مشکلی رو حل می‌کنه؟
مدل‌های زبانی ممکنه:
خروجی خطرناک یا غیرمجاز تولید کنن (مثلاً اطلاعات غلط، محتوای خشونت‌آمیز، یا کمک به فعالیت‌های هکری).
با ابزارهای خارجی به‌شکلی ناامن تعامل کنن (مثل اجرای کد بدون کنترل).
قابلیت‌ها:
بررسی 3 بخش اصلی در تعامل عامل‌های AI:
User Input (Prompt Filtering)
Model Output (Response Filtering)
Tool Use (Action Validation)
تعریف و شخصی‌سازی policyها (مثلاً اینکه آیا دستورات مربوط به هک کردن مجازه یا نه).
متن‌بازه و قابل استفاده برای توسعه‌دهنده‌هایی که می‌خوان LLM خودشون رو در شرایط کنترل‌شده استفاده کنن.

کاربرد برای ما؟
اگر در حال ساخت یک سیستم مبتنی بر LLM هستید(مثلاً چت‌بات، یا AI agent که با API یا ابزار تعامل می‌کنه)، این فایروال کمک می‌کنه از لحاظ امنیتی کنترل بیشتری روی ورودی‌ها، خروجی‌ها، و تصمیمات عامل داشته باشید


#آکادمی_روزبه

https://ai.meta.com/research/publications/llamafirewall-an-open-source-guardrail-system-for-building-secure-ai-agents/

دوستان بسیاری رو نتونستم برای دوره CISSP همراه خودم داشته باشم چون پیش نیازها رو نگذرانده بودن یا نداشتن .


لذا پیش نیازها رو میگذارم که برای دوره های بعدی بتونین شرکت کنین

تسلط به :
سکوریتی پلاس یا SSCP
سنز ۵۰۴ یا CEH

سابقه ۳ ساله در فناوری یا امنیت
آشنایی خوب به یکی از این سه تا
LPIC1
MCSA
CCNA

البته اینها حداقل ها هستند
هرچه بیشتر بلد باشید و سابقتتون بالاتر باشه ؛ بیشتر میتونید بیشتر از دوره های من یاد بگیرید . ✅ CISSP ته نداره !!

واتس اپ واسه رزرو 09902857290

چطور بدافزار میتونه فایل خودش رو از آنتی ویروس مخفی کنه
یک راهکار

---هدف بدافزار:

جلوگیری از اینکه آنتی‌ویروس بتونه:

* فایل مخرب رو باز کنه (مثلاً برای اسکن)
* اطلاعات فایل رو بخونه یا حتی ببینه


1. آنتی‌ویروس سعی می‌کنه فایل رو باز کنه

برنامه آنتی‌ویروس (در User Mode) تابع CreateFile() رو صدا می‌زنه
این تابع در نهایت یک System Call مثل NtCreateFile یا NtOpenFile رو فعال می‌کنه.

2.و System Call به کرنل می‌ره و از طریق SSDT

ویندوز نگاه می‌کنه: آدرس تابع NtCreateFile کجاست؟
از جدول SSDT می‌ره و آدرس اصلی تابع رو اجرا می‌کنه.

3. بدافزار SSDT رو Hook می‌کنه

بدافزار (که خودش یک درایور یا روت‌کیت کرنلیه) قبل از این که آنتی‌ویروس فایل رو باز کنه، ریدایرکت رو انجام می‌ده


4. تابع تقلبی (Hooked) چیکار می‌کنه؟


وقتی آنتی‌ویروس سعی کنه فایل my_malware.exe رو باز کنه:

* به جای اجرای NtCreateFile اصلی،
* به MyMaliciousNtCreateFile هدایت می‌شه،
* اونجا بدافزار بررسی می‌کنه که آیا فایل مخرب خودش قراره باز شه؟
* اگه بله ؛تظاهر به خطا و آنتی‌ویروس فکر می‌کنه فایل وجود نداره یا مجوز دسترسی نداره.

ملاحظات مهم:

1. برای انجام این کار، بدافزار باید در کرنل اجرا بشه
یعنی یا از طریق درایور مخرب (.sys) یا با اکسپلویت کرنل.

2. مایکروسافت بعد از ویندوز XP/Vista محدودیت‌هایی گذاشت
و SSDT Hooking تو نسخه‌های جدید سخت‌تر شده (مثل استفاده از PatchGuard در ویندوز 10 و 11).

3. این تکنیک با EMET، HVCI و سایر تکنولوژی‌های محافظتی شناسایی می‌شه.


جمع‌بندی ساده:

* بدافزار درایور خودش رو لود می‌کنه.
* جدول SSDT رو دستکاری می‌کنه.
* به جای اجرای توابع کرنلی واقعی، تابع تقلبی خودش رو اجرا می‌کنه.
* بسته به شرایط، جلوی دسترسی آنتی‌ویروس به فایل، پروسس یا منابع رو می‌گیره.



#آکادمی_روزبه

راهنمای گام‌به‌گامی برای اجرای بومی ابزارهای EZ Tools در لینوکس .
نوشته ای از سنز

مجموعه ابزار EZ Tools مجموعه‌ای از ابزارهای متن‌باز تحلیل جرم‌یابی دیجیتال است که توسط «اریک زیمرمن» توسعه یافته‌اند و معمولاً در محیط ویندوز استفاده می‌شوند. با توجه به قابلیت کراس‌پلتفرم .NET، این ابزارها را می‌توان در لینوکس نیز اجرا کرد.

ابزارهای کلیدی در EZ Tools

برخی از ابزارهای مهم در این مجموعه عبارت‌اند از:

* MFTECmd:
تحلیل رکوردهای MFT در فایل‌سیستم NTFS.
* EvtxECmd:
تحلیل فایل‌های لاگ رویداد ویندوز (.evtx).
* RECmd:
استخراج و جستجوی داده‌ها از رجیستری ویندوز.
* PECmd:
تحلیل فایل‌های Prefetch برای شناسایی اجرای برنامه‌ها.
* JLECmd و LECmd:
تحلیل فایل‌های Jump List و Shortcut برای بررسی تعاملات کاربر با فایل‌ها.

مراحل نصب در لینوکس را در لینک زیر. ببینید .


این راهنما به متخصصان جرم‌یابی دیجیتال کمک می‌کند تا از ابزارهای قدرتمند EZ Tools در محیط لینوکس بهره‌مند شوند.

#آکادمی_روزبه
🔴توجه :
لینوکس خودش این artefactها (مثل Prefetch، رجیستری، فایل‌های EVTX و غیره) رو نداره. هدف از اجرای این ابزارها در لینوکس، بررسی آرتیفکت‌های ویندوزی خارج از سیستم ویندوزه — مثلاً در تحلیل دیسک، فارنزیک یا بررسی ایمیج هارد دیسک ویندوز در یک محیط امن.
اجرای ابزارهایی مثل MFTECmd, EvtxECmd, RECmd و غیره روی لینوکس به شما این امکان رو می‌ده که بدون بوت کردن اون سیستم ویندوز، Artefactهای اون رو تحلیل کنید، بدون اینکه چیزی رو تغییر بدید یا سیستم رو آلوده‌تر کنید.

https://www.sans.org/blog/running-ez-tools-natively-on-linux-a-step-by-step-guide/?utm_medium=Organic_Social&utm_source=LinkedIn&utm_rdetail=PMM&utm_goal=Community_Growth&utm_type=Curriculum&utm_campaign=DFIR_Blog

سناریوی تحلیل جرم‌یابی WannaCry سال ۲۰۱۷ با EZ Tools:

زمینه: در می ۲۰۱۷، باج‌افزار WannaCry هزاران سیستم در سراسر جهان را آلوده کرد. این بدافزار با سوءاستفاده از آسیب‌پذیری EternalBlue (در SMBv1) گسترش می‌یافت و پس از نفوذ، فایل‌ها را رمز می‌کرد.

چگونه می‌توان این رویداد را با EZ Tools بررسی کرد:

1. ابزار EvtxECmd (بررسی لاگ‌های سیستم):

* تحلیل فایل‌های .evtx در مسیرهایی مانند `C:\Windows\System32\winevt\Logs\System.evtx یا Security.evtx برای یافتن event IDهایی مانند:

* 4624 (ورود موفق)
* 4673 و 4674 (اجرای فرآیندهای حساس)
* 7045 (ایجاد سرویس جدید توسط WannaCry)
* جستجوی آثار اجرای tasksche.exe یا @WanaDecryptor@.exe.

2. ابزار PECmd (تحلیل Prefetch):

* بررسی اجرای فایل‌هایی مثل tasksche.exe یا @WanaDecryptor@.exeدر Prefetch که نشان‌دهنده اجرای بدافزار روی سیستم است.

3.ابزارMFTECmd (بررسی MFT):

* تحلیل تغییرات در فایل‌سیستم NTFS برای شناسایی زمان ایجاد فایل‌های WannaCry و رفتارهای مشکوک مثل حذف فایل‌ها.

4. ابزارRECmd (تحلیل رجیستری):

* تحلیل مسیرهایی مثل Run یا RunOnce برای یافتن بقایای ماندگاری (persistence).
* بررسی کلیدهایی که نشان‌دهنده تنظیمات رمزگذاری یا مسیر اجرای فایل‌های مخرب هستند.

#آکادمی_روزبه

دوره رایگان

#آکادمی_روزبه

https://redteamleaders.coursestack.com/courses/96e8cffc-ac6e-4605-b7e1-39c6c26bd2e8

بررسی حمله روز

مقاله‌ای زیر درباره‌ی یک حمله پیشرفته از گروه APT موسوم به TheWizards است که از تکنیکی به نام SLAAC spoofing برای اجرای حملات Adversary-in-the-Middle (AitM) استفاده می‌کند.


انجام SLAAC Spoofing و حمله Adversary-in-the-Middle:

1. موضوع SLAAC چیست
این SLAAC (Stateless Address Autoconfiguration) یکی از روش‌های خودکار برای گرفتن آدرس IPv6 توسط کلاینت‌هاست. در این روش، کلاینت‌ها با گوش دادن به پیام‌های Router Advertisement (RA) از روترها، آدرس خود را تنظیم می‌کنند.

2. این SLAAC Spoofing چگونه کار می‌کند؟
مهاجم یک پیام جعلی RA را روی شبکه لوکال ارسال می‌کند که وانمود می‌کند از طرف یک روتر قانونی است. این پیام چه می‌گوید:

* به کلاینت‌ها می‌گوید برای ارسال ترافیک از یک دروازه (Gateway) خاص استفاده کنند.
* باعث می‌شود ترافیک مقصدهای خارجی از طریق دستگاه مهاجم عبور کند.

3. نتیجه این حمله چیست؟

* مهاجم بین کلاینت و اینترنت قرار می‌گیرد (Adversary-in-the-Middle).
* می‌تواند ترافیک را شنود (sniff)، دستکاری (modify) یا تغییر مسیر دهد.
* در برخی موارد، حتی می‌تواند گواهی جعلی ارائه دهد و SSL/TLS را دور بزند (در صورت نبود حفاظت مناسب).

4. مزیت این حمله برای مهاجم:

* بی‌نیاز از اکسپلویت یا بدافزار است؛ کاملاً مبتنی بر ضعف پیکربندی یا اعتماد به IPv6 است.
* در بسیاری از شبکه‌ها، IPv6 به‌صورت پیش‌فرض فعال است اما مدیریت یا مانیتور نمی‌شود.


در این مقاله، ESETبه این موضوع اشاره دارد که گروه TheWizards از این تکنیک برای نفوذ به شبکه‌های سازمانی استفاده کرده‌اند و با قرار گرفتن در مسیر ترافیک، به ارتباطات داخلی دست یافته‌اند.


#آکادمی_روزبه
https://www.welivesecurity.com/en/eset-research/thewizards-apt-group-slaac-spoofing-adversary-in-the-middle-attacks/?ref=t.me/onhex_ir

آزمون رسمی CISSP چگونه است؟
بخش اول : CAT

روش CAT (Computerized Adaptive Testing) که توسط سازمان ISC2 برای آزمون‌های CISSP و سایر گواهینامه‌ها استفاده می‌شود، یک شیوه نوین و هوشمندانه برای ارزیابی توانمندی‌های داوطلبان است. این روش با هدف افزایش دقت، کارایی و امنیت آزمون طراحی شده است.

نحوه عملکرد آزمون CAT

در آزمون CAT، هر داوطلب با سؤالاتی مواجه می‌شود که به‌صورت پویا و بر اساس عملکرد قبلی او انتخاب می‌شوند. فرآیند به این صورت است:

1. شروع با سؤالات ساده‌تر: آزمون با سؤالی آغاز می‌شود که سطح دشواری آن پایین‌تر از حد استاندارد قبولی است.

2. تنظیم سطح دشواری: پس از هر پاسخ، الگوریتم آزمون توانایی داوطلب را مجدداً ارزیابی می‌کند و بر اساس آن، سؤال بعدی را با سطح دشواری مناسب انتخاب می‌کند.

3. هدف‌گیری دقت ۵۰٪: سیستم سعی می‌کند سؤالاتی ارائه دهد که احتمال پاسخ صحیح داوطلب به آن‌ها حدود ۵۰٪ باشد، تا بتواند سطح واقعی توانایی او را به‌دقت تعیین کند.

4. تعیین پایان آزمون: آزمون زمانی پایان می‌یابد که سیستم با اطمینان ۹۵٪ بتواند تصمیم بگیرد که داوطلب موفق شده یا نه، یا زمانی که حداکثر تعداد سؤالات مجاز پاسخ داده شده باشد.

مشخصات آزمون CISSP در قالب CAT

* تعداد سؤالات: بین ۱۰۰ تا ۱۵۰ سؤال، که شامل ۲۵ سؤال آزمایشی (بدون نمره) نیز می‌شود.

* حداقل سؤالات نمره‌دار: داوطلب باید حداقل به ۷۵ سؤال نمره‌دار پاسخ دهد.

* مدت زمان آزمون: کاهش یافته از ۶ ساعت به حداکثر ۳ ساعت

نمره قبولی: کسب حداقل ۷۰۰ از ۱۰۰۰ نمره ممکن.

فرمت سؤالات: چندگزینه‌ای و سؤالات نوآورانه پیشرفته.

زبان‌های موجود: انگلیسی، چینی، آلمانی، ژاپنی و اسپانیایی.

مزایای استفاده از CAT

ارزیابی دقیق‌تر و کارآمدتر: با تنظیم سطح دشواری سؤالات بر اساس عملکرد داوطلب، ارزیابی دقیق‌تری از توانمندی‌های او به‌دست می‌آید.

کاهش مدت زمان آزمون: در مقایسه با آزمون‌های سنتی، CAT مدت زمان کمتری برای ارزیابی نیاز دارد. مثلا قبلا CISSP به مدت ۶ ساعت برگزار می‌شد.

افزایش امنیت آزمون: با تنوع سؤالات و ترتیب آن‌ها برای هر داوطلب، احتمال تقلب کاهش می‌یابد.

تجربه شخصی‌سازی‌شده برای داوطلبان: هر داوطلب با مسیر آزمونی منحصربه‌فرد مواجه می‌شود که متناسب با سطح توانایی اوست.

تغییرات آینده در آزمون‌های ISC2

از ۱ اکتبر ۲۰۲۵، آزمون‌های CC، CCSP و SSCP نیز به‌طور انحصاری در قالب CAT ارائه خواهند شد. تا آن زمان، این آزمون‌ها همچنان در قالب سنتی نیز در دسترس خواهند بود.


#آکادمی_روزبه
ارائه دهنده دوره آمادگی آزمون رسمی CISSP
واتس اپ 09902857290

❌️پایان تخفیف 30 درصد

✅️شروع تخفیف 20 درصد

فقط تا ۲۰ اردیبهشت ؛ مخصوص اشخاص ساکن در ایران


مرکز آموزش هامون
آکادمی روزبه

دو ردپای فارنزیک

🔍 معرفی کلی
این ShimCacheو AmCache بخشی از زیرساخت Application Compatibility ویندوز هستند که برای اجرای برنامه‌های قدیمی روی سیستم‌های جدید طراحی شده‌اند. این آرتیفکت‌ها یا همان ردپا ؛ متادیتای مرتبط با فایل‌های اجرایی و برنامه‌های نصب‌شده را ذخیره می‌کنند و از این رو، منابع مهمی برای تحلیل‌گران فارنزیک محسوب می‌شوند.


🧩مقوله ی AmCache چیست؟

محل ذخیره‌سازی:فایل رجیستری با فرمت REGF در مسیر C:\Windows\AppCompat\Programs\Amcache.hve (در نسخه‌های قدیمی‌تر: C:\AppCompat\Programs\RecentFileCache.bcf)
اطلاعات ذخیره‌شده: متادیتای مرتبط با برنامه‌های نصب‌شده، فایل‌های اجرایی، درایورها و موارد دیگر
محدودیت‌ها:

* هش SHA1 فقط برای فایل‌هایی تا ۳۰ مگابایت محاسبه می‌شود.
* اطلاعاتی مانند آرگومان‌های فرآیند، کاربر اجراکننده یا زمان اجرا را شامل نمی‌شود.
* به دلیل پیچیدگی ساختار، تغییرات متعدد در نسخه‌های مختلف و محدودیت‌های فوق، بهتر است از AmCache به‌عنوان مدرکی برای وجود فایل‌ها استفاده شود، نه اثبات اجرای آن‌ها.



🧩 مقوله ی ShimCache چیست؟

محل ذخیره‌سازی: در رجیستری ویندوز، مسیر HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\AppCompatCache
* اطلاعات ذخیره‌شده: مسیر فایل، تاریخ آخرین دسترسی، و در برخی نسخه‌ها، زمان اجرای فایل
محدودیت‌ها:

* عدم وجود هش فایل یا اطلاعات کاربر اجراکننده
* ممکن است شامل فایل‌هایی باشد که هرگز اجرا نشده‌اند (مثلاً فقط مشاهده‌شده‌اند).
* ساختار و فرمت داده‌ها در نسخه‌های مختلف ویندوز متفاوت است.



🛠 ابزارهای تحلیل

برای تحلیل این آرتیفکت‌ها، ابزارهای مختلفی وجود دارند:

* ابزار Cyber Triage: ابزاری تجاری برای جمع‌آوری و تحلیل داده‌های فارنزیک از سیستم‌های ویندوزی.
* ابزار AmCacheParser: ابزاری متن‌باز برای استخراج و تحلیل داده‌های AmCache.
* ابزارAppCompatCacheParser: ابزاری متن‌باز برای تحلیل داده‌های ShimCache.


✅ نکات کلیدی برای تحلیل‌گران

* هر دو آرتیفکت می‌توانند وجود فایل‌ها را حتی پس از حذف آن‌ها از دیسک اثبات کنند.
* هیچ‌کدام به‌تنهایی برای اثبات اجرای یک برنامه کافی نیستند؛ بهتر است با سایر آرتیفکت‌ها مانند Prefetch یا Event Logs ترکیب شوند.
* تغییرات در ساختار این آرتیفکت‌ها در نسخه‌های مختلف ویندوز می‌تواند تحلیل را پیچیده کند؛ بنابراین، آشنایی با نسخه‌های مختلف و ابزارهای مناسب ضروری است.

#آکادمی_روزبه
مبحث جرم شناسی و فارنزیک درس CISSP

چالش‌های خاص تحلیل جرم‌شناسی و فارنزیک در لینوکس

در حالی که لینوکس مزایایی مانند متن‌باز بودن و انعطاف‌پذیری بالا دارد، اما این ویژگی‌ها می‌توانند تحلیل جرم‌شناسی را پیچیده‌تر کنند. در مقابل، ویندوز با ساختارهای مرکزی‌تر و ابزارهای گرافیکی ممکن است فرآیند تحلیل را ساده‌تر کند. اما در نهایت، میزان دشواری تحلیل جرم‌شناسی به تجربه و دانش تحلیل‌گر در هر سیستم‌عامل بستگی دارد.

چرا ممکن است فارنزیک در لینوکس سخت باشد؟

✅ ۱. تنوع فایل‌سیستم‌ها در لینوکس

در لینوکس، فایل‌سیستم‌های متنوعی مانند Ext3، Ext4، XFS، Btrfs و ZFS مورد استفاده قرار می‌گیرند. این تنوع می‌تواند تحلیل جرم‌شناسی را پیچیده‌تر کند، زیرا هر فایل‌سیستم ویژگی‌ها و ساختارهای خاص خود را دارد. به‌عنوان مثال، فایل‌سیستم XFS به دلیل ویژگی‌هایی مانند تخصیص تأخیری و پشتیبانی محدود از ابزارهای تحلیل، می‌تواند بازیابی داده‌ها را دشوارتر کند.


✅ ۲. پیچیدگی در مدیریت حجم‌های منطقی (LVM)

بسیاری از سیستم‌های لینوکسی از LVM برای مدیریت دیسک‌ها استفاده می‌کنند. در حالی که این ابزار انعطاف‌پذیری بالایی در مدیریت ذخیره‌سازی فراهم می‌کند، اما در تحلیل جرم‌شناسی می‌تواند چالش‌برانگیز باشد، زیرا برخی از ابزارهای تحلیل قادر به تفسیر ساختارهای LVM نیستند.


✅ ۳. عدم وجود رجیستری مرکزی

برخلاف ویندوز که از رجیستری مرکزی برای ذخیره تنظیمات سیستم و برنامه‌ها استفاده می‌کند، لینوکس فاقد چنین ساختاری است. تنظیمات در لینوکس معمولاً در فایل‌های متنی پراکنده در مسیرهایی مانند /etc ذخیره می‌شوند. این پراکندگی می‌تواند فرآیند جمع‌آوری و تحلیل داده‌ها را پیچیده‌تر کند.


✅ ۴. نیاز به تسلط بر خط فرمان

بسیاری از ابزارهای تحلیل جرم‌شناسی در لینوکس مبتنی بر خط فرمان هستند، مانند dd، grep و Autopsy. این موضوع می‌تواند برای افرادی که به محیط‌های گرافیکی عادت دارند، چالش‌برانگیز باشد. در مقابل، ویندوز ابزارهای گرافیکی متعددی برای تحلیل جرم‌شناسی فراهم می‌کند.


✅ ۵. تنوع توزیع‌های لینوکس

وجود توزیع‌های مختلف لینوکس با ساختارها و پیکربندی‌های متفاوت می‌تواند تحلیل جرم‌شناسی را پیچیده‌تر کند. هر توزیع ممکن است از ابزارها و مسیرهای متفاوتی برای ذخیره لاگ‌ها و تنظیمات استفاده کند.


✅ ۶. ابزارهای تحلیل جرم‌شناسی

در حالی که ویندوز ابزارهای تجاری قدرتمندی مانند EnCase و FTK دارد، لینوکس بیشتر به ابزارهای متن‌باز مانند The Sleuth Kit و Autopsy متکی است. اگرچه این ابزارها قدرتمند هستند، اما ممکن است نیاز به دانش فنی بیشتری برای استفاده مؤثر از آن‌ها باشد.

✅ ۷. ساختار مجوزها و مالکیت فایل‌ها

لینوکس از مدل مجوزهای مبتنی بر مالک، گروه و دیگران استفاده می‌کند، که می‌تواند در تحلیل دسترسی‌ها و تغییرات فایل‌ها پیچیدگی‌هایی ایجاد کند. در مقابل، ویندوز از لیست‌های کنترل دسترسی (ACL) استفاده می‌کند که ساختار متفاوتی دارد.


#آکادمی_روزبه
مرکز تخصصی CISSP
Www.Roozbeh.academy

پس از شب

✍️ روزبه نوروزی
برای شروعی دوباره

در ژرفنای شب‌های تار، آن‌گاه که همه چیز فرو ریخته و صداها خاموش شده‌اند، روح انسان، اگرچه زخم‌خورده و فرورفته در خاکستر ناکامی، جرقه‌ای از امید را در خویش می‌پروراند. شکست، اگرچه خنجری است در قلب آرزوها، اما گاه، همان زخم است که راهی به روشنی می‌گشاید؛ زخمی که می‌آموزد، پالایش می‌کند، و از دلِ سکوتِ فرود، آوازِ صعود می‌سازد.

بازگشت به میدان، بازگشتِ جسم نیست، خیزشِ جان است. آن‌که زمین خورده، اگر دل در آتش نهاد و به جای ناله، نغمه‌ی اراده سر داد، از ویرانه‌های شکست، قصری از عزم بنا خواهد کرد. چه بسیارند آنان که افتادند و در همان افتادن، بذر ققنوس‌وار بیداری خویش را در خاک ریختند.

مقاومت، نه فقط پایداری در برابر سختی، که ترجمه‌ی اراده در قاموس رنج است. هر گامی که در مسیر بازگشت برداشته می‌شود، شهادتی است بر بی‌مرگی امید؛ و هر ایستادگی، بیانی‌ست از این حقیقت جاودانه که انسان، حتی در سیاه‌ترین لحظه‌ها، می‌تواند برخیزد، بدرخشد و بار دیگر میدان را از آن خویش کند.

آری، آن‌که از دلِ تاریکی‌ها می‌گذرد، خورشید را بهتر درمی‌یابد. و آن‌که از خاکستر خویش برخیزد، دیگر نه انسانی شکست‌خورده، که افسانه‌ای زنده خواهد بود.

تقدیم به همه ی آنها که نقشی هرچند بزرگ یا کوچک ( چه مثبت و چه منفی) در این چند سال اخیر تاکنون داشتند.

💫بماند به یادگار اردیبهشت ۱۴۰۴ تهران ایران

❇️ افتتاح مجدد سایت #آکادمی_روزبه
Www.Roozbeh.academy
فاز اول

مفهوم IRP در کرنل برای تحلیلگر بدافزار


واقعاً دانستن مفهوم IRP برای یک تحلیلگر بدافزار ضروری است، مخصوصاً اگر با Rootkitها یا درایورهای مخرب در فضای کرنل سروکار داشته باشیم( از گروه کتاب Evasive Malware کانال آکادمی روزبه )

در ادامه به‌صورت دقیق و کاربردی توضیح می‌دهم چرا یک تحلیلگر بدافزار باید IRP را بشناسد:
1. بررسی Rootkitهای سطح پایین (Kernel-Mode Rootkits)

بسیاری از rootkitها با نصب درایور در کرنل، IRPها را Hook می‌کنند تا فعالیت‌های خاصی را پنهان کنند (مثلاً فایل، پردازش، یا پورت مخفی). اگر IRP را نشناسید، نمی‌فهمید این hook چطوری عمل می‌کنه یا چطور باید تشخیصش بدید.

مثال:
یک Rootkit ممکنه IRP_MJ_DIRECTORY_CONTROL رو hook کنه تا فایل خودش رو در لیست دایرکتوری‌ها پنهان کنه.

2. درک رفتار بدافزارهایی که درایور نصب می‌کنند

بسیاری از بدافزارهای پیشرفته (APT یا باج‌افزارهای پیچیده) درایورهای خاص خودشون رو نصب می‌کنن. تحلیلگر باید بدونه این درایورها چطور از IRP استفاده می‌کنن یا چطور IRPها رو تغییر می‌دن.

3. درک لاگ‌های تولیدشده در تحلیل داینامیک

ابزارهایی مثل Sysinternals یا Kernel Debuggerها گاهی اطلاعاتی مثل نوع IRP و مسیر عبور آن را نشان می‌دهند. بدون دانش IRP نمی‌تونید این لاگ‌ها رو تفسیر کنید.

4. تحلیل حافظه (Memory Forensics)

در تحلیل حافظه (مثلاً با Volatility یا Rekall)، اگر درایورهای مشکوک و Hookهای غیرعادی روی IRP Function Tableها (مثل DriverObject->MajorFunction[]) پیدا کنید، این یعنی احتمال وجود بدافزار کرنلی. بدون درک IRP نمی‌تونید بفهمید این مقادیر برای چی هستند.

5. شناسایی تکنیک‌های ضدتحلیل (Anti-Forensics)

بدافزارهایی وجود دارن که IRPهای خاصی رو کنترل می‌کنن تا ابزارهای امنیتی یا تحلیل را فریب بدن (مثلاً مانع از دسترسی ابزار به فایل‌های بدافزار می‌شوند).


#آکادمی_روزبه