آکادمی آموزش روزبه 📚
یه حرف حق 👍 واقعا منو یکی از جوانب علمی روشن کنه اگر چیزی هست اونهایی که لازم بود پاک کنند به موقعش ظاهرا پاک نکردن واسه مردم عادی این چه ربطی داره مردیم به خدا از بی سوادی و عوام بودن جالبش اینجاست برخی کانال های مهم امنیت هم دستور به حذف واتس اپ دادن!!!
توضیح
نفوذ فعلی در کشور امری برنامه ریزی شده در بلند مدت بوده و از نظر من ضعف اطلاعاتی / ضد اطلاعاتی این شرایط رو ایجاد کرده
همه نکات هم برمیگرده به عدم نگاه علمی به مسائل
مثلا نبودن دید استراتژیک به حل مسائل؛ یک نقطه ضعف بزرگ در کشور هست.
الان تمام SMS ها که بسیاری از سازمان‌ها اطلاعات حساسشون رو روی اون می‌فرستند توسط برنامه مسیج گوگل روی اندویید خونده میشه!!
اما بعید می‌دانم در جایی در مستندی در برنامه استراتژیکی این موضوع دیده شده باشه
خود اندرویید و گوگل با وجود لابی گری کمیته AIPAC ببین چه ملغمه ای میتونه باشه که کل زندگی ما روش هست
من‌میگم هیچ توجهی به مسائل در کلیت نشده اونوقت یکنفر تز واتس اپ داده و خیلی ها هم پیرو شدند
الان تمام دفترچه تلفن اکثر مردم روی سرور گوگل هست . گوگل هم خیلی مبرا نیست که Data warehouse سازمان‌های اطلاعاتی نباشه
پس یافتن لینک بین افراد و حتی عنوان و محل شغل؛ از کانتکت ها همین الان از خیلی روشها قابل انجام هست
پس نفوذ عمیق تر و وسیع تر از این حرفهاست . نگاه لازمه کلان تر باشه
پی نوشت: همیشه نمیشه هرچیزی رو نوشت لذا باید برخی موارد اول به تخصص فرد نگاه کنیم بعد دقیق بشیم و استدلالش رو بخونیم . اونی که ازش تصویر متن رو گذاشتم قبول داشتم که متنش رو منتشر کردم .
حالا خیلی موضوع رو باز نکردند ولی خب متخصص هستند.
نفوذ فعلی در کشور امری برنامه ریزی شده در بلند مدت بوده و از نظر من ضعف اطلاعاتی / ضد اطلاعاتی این شرایط رو ایجاد کرده
همه نکات هم برمیگرده به عدم نگاه علمی به مسائل
مثلا نبودن دید استراتژیک به حل مسائل؛ یک نقطه ضعف بزرگ در کشور هست.
الان تمام SMS ها که بسیاری از سازمان‌ها اطلاعات حساسشون رو روی اون می‌فرستند توسط برنامه مسیج گوگل روی اندویید خونده میشه!!
اما بعید می‌دانم در جایی در مستندی در برنامه استراتژیکی این موضوع دیده شده باشه
خود اندرویید و گوگل با وجود لابی گری کمیته AIPAC ببین چه ملغمه ای میتونه باشه که کل زندگی ما روش هست
من‌میگم هیچ توجهی به مسائل در کلیت نشده اونوقت یکنفر تز واتس اپ داده و خیلی ها هم پیرو شدند
الان تمام دفترچه تلفن اکثر مردم روی سرور گوگل هست . گوگل هم خیلی مبرا نیست که Data warehouse سازمان‌های اطلاعاتی نباشه
پس یافتن لینک بین افراد و حتی عنوان و محل شغل؛ از کانتکت ها همین الان از خیلی روشها قابل انجام هست
پس نفوذ عمیق تر و وسیع تر از این حرفهاست . نگاه لازمه کلان تر باشه
پی نوشت: همیشه نمیشه هرچیزی رو نوشت لذا باید برخی موارد اول به تخصص فرد نگاه کنیم بعد دقیق بشیم و استدلالش رو بخونیم . اونی که ازش تصویر متن رو گذاشتم قبول داشتم که متنش رو منتشر کردم .
حالا خیلی موضوع رو باز نکردند ولی خب متخصص هستند.
👍15
بی‌توجهی به مجوزهای امنیت سایبری؛ تهدیدی برای امنیت ملی
بحران نوبیتکس
در دنیای امروز، امنیت سایبری نه‌تنها یک ضرورت برای محافظت از داده‌ها و دارایی‌های دیجیتال شهروندان و شرکت‌هاست، بلکه به شکل فزاینده‌ای به یک مسئله حیاتی در حوزه امنیت ملی تبدیل شده است. در کشوری مانند ایران که در معرض تهدیدات گسترده سایبری قرار دارد، عدم نظارت مؤثر بر رعایت الزامات امنیت سایبری توسط کسب‌وکارها، می‌تواند پیامدهایی فراتر از زیان‌های مالی یا نارضایتی عمومی به دنبال داشته باشد و زمینه‌ساز بحران‌های امنیتی شود.
یک نمونه واقعی: حمله به نوبیتکس
در میانه‌ی جنگ سایبری و واقعی کنونی ، حمله‌ی سایبری اخیر به صرافی رمز ارز نوبیتکس – یکی از بزرگ‌ترین پلتفرم‌های مبادله رمزارز در ایران – یک زنگ خطر جدی است. در این حمله، هکرها موفق به استخراج مقادیر قابل توجهی از دارایی‌های دیجیتال شدند و به‌جای انتقال و استفاده از آن‌ها، دارایی‌ها را در اقدامی نمایشی و بی‌سابقه "سوزاندند"؛ به عبارتی آن‌ها را به آدرسی غیرقابل دسترسی منتقل کردند که منجر به نابودی دائمی‌شان شد.
این اقدام علاوه بر خسارت مالی گسترده برای کاربران، تبعات روانی و اجتماعی عمیقی دارد: از بین رفتن اعتماد عمومی به زیرساخت‌های دیجیتال کشور، احساس ناامنی در فضای فناوری، و مهم‌تر از همه، پتانسیل ایجاد خشم، عصبانیت و ناآرامی در جامعه. در بستر یک جنگ، چنین بی‌ثباتی روانی اجتماعی می‌تواند به ابزار جنگ ترکیبی تبدیل شود.
عدم وجود چارچوب‌های اجباری امنیتی
یکی از مشکلات بنیادی که زمینه‌ساز چنین بح ان هایی می‌شود، نبود نظارت قوی بر میزان آمادگی سایبری کسب‌وکارهاست. در ایران، برخلاف بسیاری از کشورهای پیشرفته، دریافت مجوز امنیت سایبری یا رعایت استانداردهایی مانند ISO/IEC 27001، NIST Cybersecurity Framework یا الزامات OWASP برای پلتفرم‌های فناوری‌محور آنچنان الزامی و ساختاریافته نیست. کسب‌وکارها عموماً تنها در مواجهه با یک حمله واقعی به اهمیت امنیت سایبری پی می‌برند، اما در این لحظه، دیگر برای جبران خیلی دیر شده است.
ابعاد امنیت ملی موضوع
در شرایط جنگی، هدف قرار دادن زیرساخت‌های مالی و تکنولوژیکی یک کشور می‌تواند به اندازه حملات نظامی مؤثر باشد. از بین رفتن منابع مالی هزاران شهروند، در کنار ناتوانی در پاسخ‌گویی و جبران، می‌تواند به افزایش احساس بی‌عدالتی، نارضایتی شدید اجتماعی، و حتی زمینه‌ساز شورش‌های مردمی بدل شود. به عبارت دیگر، یک رخنه ساده در یک پلتفرم تجاری خصوصی، می‌تواند به یک تهدید امنیتی ملی تمام‌عیار تبدیل شود.
چه باید کرد؟
الزام مجوز امنیت سایبری: کلیه کسب‌وکارهای فناوری‌محور باید ملزم به دریافت گواهینامه امنیتی معتبر از نهادهای مشخص شوند و هرگونه فعالیت بدون این مجوز غیرقانونی اعلام گردد.
بازبینی دوره‌ای و آزمون نفوذ: سازمان‌ها باید ملزم شوند که به‌طور منظم توسط نهادهای مستقل مورد آزمون نفوذ قرار گیرند و نتایج این ارزیابی‌ها در اختیار نهادهای نظارتی قرار گیرد.
ایجاد سامانه نظارتی واحد: ایجاد یک مرجع ملی یکپارچه برای ثبت، نظارت، و رتبه‌بندی امنیت سایبری کسب‌وکارها می‌تواند شفافیت و اعتماد عمومی را افزایش دهد.
سخت‌گیری در حوزه رمزارز: به‌دلیل حساسیت بالا، صرافی‌های رمزارزی باید در طبقه‌بندی حساس‌ترین نهادهای مالی کشور قرار گیرند و ملزم به رعایت استانداردهای امنیتی در سطح بانک‌ها و مؤسسات مالی شوند.
#آکادمی_روزبه
مرکز تخصصی CISSP
بحران نوبیتکس
در دنیای امروز، امنیت سایبری نه‌تنها یک ضرورت برای محافظت از داده‌ها و دارایی‌های دیجیتال شهروندان و شرکت‌هاست، بلکه به شکل فزاینده‌ای به یک مسئله حیاتی در حوزه امنیت ملی تبدیل شده است. در کشوری مانند ایران که در معرض تهدیدات گسترده سایبری قرار دارد، عدم نظارت مؤثر بر رعایت الزامات امنیت سایبری توسط کسب‌وکارها، می‌تواند پیامدهایی فراتر از زیان‌های مالی یا نارضایتی عمومی به دنبال داشته باشد و زمینه‌ساز بحران‌های امنیتی شود.
یک نمونه واقعی: حمله به نوبیتکس
در میانه‌ی جنگ سایبری و واقعی کنونی ، حمله‌ی سایبری اخیر به صرافی رمز ارز نوبیتکس – یکی از بزرگ‌ترین پلتفرم‌های مبادله رمزارز در ایران – یک زنگ خطر جدی است. در این حمله، هکرها موفق به استخراج مقادیر قابل توجهی از دارایی‌های دیجیتال شدند و به‌جای انتقال و استفاده از آن‌ها، دارایی‌ها را در اقدامی نمایشی و بی‌سابقه "سوزاندند"؛ به عبارتی آن‌ها را به آدرسی غیرقابل دسترسی منتقل کردند که منجر به نابودی دائمی‌شان شد.
این اقدام علاوه بر خسارت مالی گسترده برای کاربران، تبعات روانی و اجتماعی عمیقی دارد: از بین رفتن اعتماد عمومی به زیرساخت‌های دیجیتال کشور، احساس ناامنی در فضای فناوری، و مهم‌تر از همه، پتانسیل ایجاد خشم، عصبانیت و ناآرامی در جامعه. در بستر یک جنگ، چنین بی‌ثباتی روانی اجتماعی می‌تواند به ابزار جنگ ترکیبی تبدیل شود.
عدم وجود چارچوب‌های اجباری امنیتی
یکی از مشکلات بنیادی که زمینه‌ساز چنین بح ان هایی می‌شود، نبود نظارت قوی بر میزان آمادگی سایبری کسب‌وکارهاست. در ایران، برخلاف بسیاری از کشورهای پیشرفته، دریافت مجوز امنیت سایبری یا رعایت استانداردهایی مانند ISO/IEC 27001، NIST Cybersecurity Framework یا الزامات OWASP برای پلتفرم‌های فناوری‌محور آنچنان الزامی و ساختاریافته نیست. کسب‌وکارها عموماً تنها در مواجهه با یک حمله واقعی به اهمیت امنیت سایبری پی می‌برند، اما در این لحظه، دیگر برای جبران خیلی دیر شده است.
ابعاد امنیت ملی موضوع
در شرایط جنگی، هدف قرار دادن زیرساخت‌های مالی و تکنولوژیکی یک کشور می‌تواند به اندازه حملات نظامی مؤثر باشد. از بین رفتن منابع مالی هزاران شهروند، در کنار ناتوانی در پاسخ‌گویی و جبران، می‌تواند به افزایش احساس بی‌عدالتی، نارضایتی شدید اجتماعی، و حتی زمینه‌ساز شورش‌های مردمی بدل شود. به عبارت دیگر، یک رخنه ساده در یک پلتفرم تجاری خصوصی، می‌تواند به یک تهدید امنیتی ملی تمام‌عیار تبدیل شود.
چه باید کرد؟
الزام مجوز امنیت سایبری: کلیه کسب‌وکارهای فناوری‌محور باید ملزم به دریافت گواهینامه امنیتی معتبر از نهادهای مشخص شوند و هرگونه فعالیت بدون این مجوز غیرقانونی اعلام گردد.
بازبینی دوره‌ای و آزمون نفوذ: سازمان‌ها باید ملزم شوند که به‌طور منظم توسط نهادهای مستقل مورد آزمون نفوذ قرار گیرند و نتایج این ارزیابی‌ها در اختیار نهادهای نظارتی قرار گیرد.
ایجاد سامانه نظارتی واحد: ایجاد یک مرجع ملی یکپارچه برای ثبت، نظارت، و رتبه‌بندی امنیت سایبری کسب‌وکارها می‌تواند شفافیت و اعتماد عمومی را افزایش دهد.
سخت‌گیری در حوزه رمزارز: به‌دلیل حساسیت بالا، صرافی‌های رمزارزی باید در طبقه‌بندی حساس‌ترین نهادهای مالی کشور قرار گیرند و ملزم به رعایت استانداردهای امنیتی در سطح بانک‌ها و مؤسسات مالی شوند.
#آکادمی_روزبه
مرکز تخصصی CISSP
👍5👏1💯1🍾1
تحلیل حملات سایبری بین ایران و رژیم صهیونیستی
این حملات را که گاهی به آن «جنگ سایبری سایه‌ها» (Shadow Cyber War) گفته می‌شود – یکی از پیچیده‌ترین و مداوم‌ترین نبردهای سایبری در سطح جهان است. این حملات طیف وسیعی از اهداف شامل زیرساخت‌های حیاتی، صنایع، شرکت‌های فناوری، دانشگاه‌ها، مراکز امنیتی و حتی بخش‌های عمومی را هدف قرار داده‌اند.
1. نمای کلی جنگ سایبری ایران و اسرائیل
نوع حملات: تخریب‌گر، جاسوسی، اخاذی، اطلاعاتی، و حملات زنجیره تأمین.
بازیگران کلیدی:
از سوی ایران: گروه‌های APT مانند APT34 (OilRig)، APT35 (Charming Kitten)، Agrius، و MuddyWater.
از سوی اسرائیل : LAPIS/LAC, گروه‌هایی با نام‌های ناشناس یا گروه‌هایی که ظاهراً در قالب "Hacktivist" ظاهر می‌شوند مثل Predatory Sparrow (گنجشک درنده).
2. ابزارها و تکنیک‌های مورد استفاده
🔻 از سمت ایران:
📌 ابزارها و بدافزارهای شاخص:
POWGOOP / POWERTRASH / POWERSTATS: ابزارهای RAT مبتنی بر PowerShell.
Shamoon Variant: در حملات خرابکارانه.
Pierogi / NokNok / Tonedeaf: توسط APT34.
Remote Access Tools مثل njRAT و Remcos در حملات سطح پایین‌تر.
🔧 تکنیک‌های رایج:
Phishing / Spear Phishing برای دسترسی اولیه.
Living off the Land (LotL): استفاده از ابزارهای داخلی ویندوز مانند PowerShell و WMI.
Credential Dumping (استفاده از Mimikatz).
DNS Tunneling برای ارتباط C2.
Web Shells مثل
China Chopper برای پایداری.
استفاده از فایل‌های مخرب Word و Excel با ماکرو فعال.
Watering Hole Attacks (آلوده‌سازی سایت‌های خاص برای هدف‌گیری کاربران خاص).
🔻 از سمت اسرائیل :
📌 ابزارها و بدافزارها:
ZeroCleare
(نسبت داده شده به همکاری IBM X-Force و گروه‌های اسرائیلی).
MalKamak:
یک گروه ناشناخته که زیرساخت‌های ایرانی را هدف گرفت.
Wiper Malware
ها مثل MeteorExpress و Azerbaijani Wiper.
Predatory Sparrow Tools:
بدافزارهایی که در حملات تخریبگرانه در ایران استفاده شده‌اند (مانند حوزه بنزین، سامانه راه‌آهن، و کارخانه‌های فولاد).
🔧 تکنیک‌ها:
حملات بسیار دقیق تخریبگرانه (Destructive attacks) با استفاده از Wiper Malware.
پنهان‌کاری پیشرفته در حملات زنجیره تأمین و سیستم‌های OT.
استفاده از ابزارهای خاص برای هدف‌گیری زیرساخت‌های صنعتی (ICS/SCADA).
پوشش رسانه‌ای و جنگ روانی هم‌زمان با حملات سایبری (Cyber-Psychological Warfare).
3. نمونه حملات معروف
📍 حملات منتسب به ایران:
حمله به شرکت‌های اسرائیلی در حوزه دفاعی و لجستیک (2020–2021) با هدف جاسوسی.
حمله به شبکه برق اسرائیل
انتشار اطلاعات کاربران سایت‌های همسریابی.
حمله به دانشگاه‌های اسرائیل برای سرقت تحقیقات علمی.
📍 حملات منتسب به اسرائیل:
Stuxnet (2010):
اولین حمله صنعتی واقعی به سانتریفیوژهای نطنز
حمله به سیستم سوخت‌رسانی ایران (2021): اختلال گسترده در پمپ‌های بنزین.
حمله به سامانه راه‌آهن ایران (2021): پیام جعلی "تاخیر در حرکت قطار" روی تابلوها.
حمله به کارخانه‌های فولاد ایران (2022)
#آکادمی_روزبه
مرکز تخصصی CISSP
این حملات را که گاهی به آن «جنگ سایبری سایه‌ها» (Shadow Cyber War) گفته می‌شود – یکی از پیچیده‌ترین و مداوم‌ترین نبردهای سایبری در سطح جهان است. این حملات طیف وسیعی از اهداف شامل زیرساخت‌های حیاتی، صنایع، شرکت‌های فناوری، دانشگاه‌ها، مراکز امنیتی و حتی بخش‌های عمومی را هدف قرار داده‌اند.
1. نمای کلی جنگ سایبری ایران و اسرائیل
نوع حملات: تخریب‌گر، جاسوسی، اخاذی، اطلاعاتی، و حملات زنجیره تأمین.
بازیگران کلیدی:
از سوی ایران: گروه‌های APT مانند APT34 (OilRig)، APT35 (Charming Kitten)، Agrius، و MuddyWater.
از سوی اسرائیل : LAPIS/LAC, گروه‌هایی با نام‌های ناشناس یا گروه‌هایی که ظاهراً در قالب "Hacktivist" ظاهر می‌شوند مثل Predatory Sparrow (گنجشک درنده).
2. ابزارها و تکنیک‌های مورد استفاده
🔻 از سمت ایران:
📌 ابزارها و بدافزارهای شاخص:
POWGOOP / POWERTRASH / POWERSTATS: ابزارهای RAT مبتنی بر PowerShell.
Shamoon Variant: در حملات خرابکارانه.
Pierogi / NokNok / Tonedeaf: توسط APT34.
Remote Access Tools مثل njRAT و Remcos در حملات سطح پایین‌تر.
🔧 تکنیک‌های رایج:
Phishing / Spear Phishing برای دسترسی اولیه.
Living off the Land (LotL): استفاده از ابزارهای داخلی ویندوز مانند PowerShell و WMI.
Credential Dumping (استفاده از Mimikatz).
DNS Tunneling برای ارتباط C2.
Web Shells مثل
China Chopper برای پایداری.
استفاده از فایل‌های مخرب Word و Excel با ماکرو فعال.
Watering Hole Attacks (آلوده‌سازی سایت‌های خاص برای هدف‌گیری کاربران خاص).
🔻 از سمت اسرائیل :
📌 ابزارها و بدافزارها:
ZeroCleare
(نسبت داده شده به همکاری IBM X-Force و گروه‌های اسرائیلی).
MalKamak:
یک گروه ناشناخته که زیرساخت‌های ایرانی را هدف گرفت.
Wiper Malware
ها مثل MeteorExpress و Azerbaijani Wiper.
Predatory Sparrow Tools:
بدافزارهایی که در حملات تخریبگرانه در ایران استفاده شده‌اند (مانند حوزه بنزین، سامانه راه‌آهن، و کارخانه‌های فولاد).
🔧 تکنیک‌ها:
حملات بسیار دقیق تخریبگرانه (Destructive attacks) با استفاده از Wiper Malware.
پنهان‌کاری پیشرفته در حملات زنجیره تأمین و سیستم‌های OT.
استفاده از ابزارهای خاص برای هدف‌گیری زیرساخت‌های صنعتی (ICS/SCADA).
پوشش رسانه‌ای و جنگ روانی هم‌زمان با حملات سایبری (Cyber-Psychological Warfare).
3. نمونه حملات معروف
📍 حملات منتسب به ایران:
حمله به شرکت‌های اسرائیلی در حوزه دفاعی و لجستیک (2020–2021) با هدف جاسوسی.
حمله به شبکه برق اسرائیل
انتشار اطلاعات کاربران سایت‌های همسریابی.
حمله به دانشگاه‌های اسرائیل برای سرقت تحقیقات علمی.
📍 حملات منتسب به اسرائیل:
Stuxnet (2010):
اولین حمله صنعتی واقعی به سانتریفیوژهای نطنز
حمله به سیستم سوخت‌رسانی ایران (2021): اختلال گسترده در پمپ‌های بنزین.
حمله به سامانه راه‌آهن ایران (2021): پیام جعلی "تاخیر در حرکت قطار" روی تابلوها.
حمله به کارخانه‌های فولاد ایران (2022)
#آکادمی_روزبه
مرکز تخصصی CISSP
⚡3❤1
تحویل بدافزار از طریق قرارداد هوشمند در بلاک‌چین؛ روش نوین فرار از شناسایی
در سال‌های اخیر، مهاجمان سایبری از بلاک‌چین تنها برای پول‌شویی و دریافت رمزارز استفاده نمی‌کنند؛ بلکه از زنجیره‌های بلاک‌چین عمومی مانند BSC (Binance Smart Chain) برای مخفی‌سازی و تحویل بدافزار نیز بهره می‌برند. این تکنیک نوظهور به عنوان یک روش «بدافزار به‌عنوان قرارداد هوشمند» (Malware-as-a-Smart-Contract) شناخته می‌شود.
در این روش، مهاجم یک قرارداد هوشمند روی شبکه BSC منتشر می‌کند که شامل یک متغیر مخفی (معمولاً رشته‌ای hex یا base64) است. این متغیر در واقع کد مخرب است که باید در سمت کلاینت (قربانی) اجرا شود. سپس یک وب‌سایت آلوده، معمولاً با سوءاستفاده از آسیب‌پذیری یا تزریق در قالب وردپرس، مرورگر قربانی را وادار می‌کند تا از طریق JavaScript به این قرارداد متصل شده و مقدار آن را بخواند. کد خوانده‌شده، decode شده و نهایتاً با دستوراتی مانند eval() اجرا می‌شود.
برتری این روش در پایداری و فرار از شناسایی است. چون اطلاعات بدافزار در بلاک‌چین ذخیره شده، نه‌تنها حذف آن تقریباً غیرممکن است، بلکه ابزارهای سنتی امنیتی مانند آنتی‌ویروس‌ها و فایروال‌ها که روی دامنه‌ها یا URL تمرکز دارند، نمی‌توانند رفتار مشکوک را شناسایی کنند.
این تکنیک نشان می‌دهد که زیرساخت‌های غیرمتمرکز، در صورت فقدان سیاست‌های امنیتی، می‌توانند به بستری برای حملات نوآورانه تبدیل شوند. سازمان‌ها باید از تحلیل رفتار مرورگر، ترافیک بلاک‌چینی، و استفاده مشکوک از eval() در صفحات وب آگاه باشند و برای محافظت از کاربران خود سیاست‌هایی پیشگیرانه اتخاذ کنند.
#آکادمی_روزبه
مرکز تخصصی CISSP
https://labs.jumpsec.com/malware-as-a-smart-contract-part-1-weaponising-bsc-to-target-windows-users-via-wordpress/
در سال‌های اخیر، مهاجمان سایبری از بلاک‌چین تنها برای پول‌شویی و دریافت رمزارز استفاده نمی‌کنند؛ بلکه از زنجیره‌های بلاک‌چین عمومی مانند BSC (Binance Smart Chain) برای مخفی‌سازی و تحویل بدافزار نیز بهره می‌برند. این تکنیک نوظهور به عنوان یک روش «بدافزار به‌عنوان قرارداد هوشمند» (Malware-as-a-Smart-Contract) شناخته می‌شود.
در این روش، مهاجم یک قرارداد هوشمند روی شبکه BSC منتشر می‌کند که شامل یک متغیر مخفی (معمولاً رشته‌ای hex یا base64) است. این متغیر در واقع کد مخرب است که باید در سمت کلاینت (قربانی) اجرا شود. سپس یک وب‌سایت آلوده، معمولاً با سوءاستفاده از آسیب‌پذیری یا تزریق در قالب وردپرس، مرورگر قربانی را وادار می‌کند تا از طریق JavaScript به این قرارداد متصل شده و مقدار آن را بخواند. کد خوانده‌شده، decode شده و نهایتاً با دستوراتی مانند eval() اجرا می‌شود.
برتری این روش در پایداری و فرار از شناسایی است. چون اطلاعات بدافزار در بلاک‌چین ذخیره شده، نه‌تنها حذف آن تقریباً غیرممکن است، بلکه ابزارهای سنتی امنیتی مانند آنتی‌ویروس‌ها و فایروال‌ها که روی دامنه‌ها یا URL تمرکز دارند، نمی‌توانند رفتار مشکوک را شناسایی کنند.
این تکنیک نشان می‌دهد که زیرساخت‌های غیرمتمرکز، در صورت فقدان سیاست‌های امنیتی، می‌توانند به بستری برای حملات نوآورانه تبدیل شوند. سازمان‌ها باید از تحلیل رفتار مرورگر، ترافیک بلاک‌چینی، و استفاده مشکوک از eval() در صفحات وب آگاه باشند و برای محافظت از کاربران خود سیاست‌هایی پیشگیرانه اتخاذ کنند.
#آکادمی_روزبه
مرکز تخصصی CISSP
https://labs.jumpsec.com/malware-as-a-smart-contract-part-1-weaponising-bsc-to-target-windows-users-via-wordpress/
JUMPSEC Labs
Malware-as-a-Smart-Contract – Part 1: Weaponising BSC to Target Windows Users via WordPress
A few weeks ago, I found an interesting ClickFix sample (e.g., a fake reCAPTCHA) during an investigation of a compromised WordPress website. A threat actor is infecting legitimate WordPress websites with a malicious Base64 Blob in the tags, which results…
❤5
تهدیدی جدید
رولها رو به روز کنید
تهدید جدیدی که Red Canary اسمش رو گذاشته Mocha Manakin (از اوایل ژانویه ۲۰۲۵ کشف شده)، و به تکنیکی به اسم paste‑and‑run متکی هست. تکنیک به این شکله: کاربر ترغیب میشه کدی رو از یک صفحه (مثل Fake CAPTCHA یا پیام “برای دسترسی باید تایید کنید”) کپی کنه و در پنجره Run ویندوز بچسبونه، بدون اینکه بدونه داره یک PowerShell مخرب اجرا می‌کنه
.
🔍 مراحل فعالیت Mocha Manakin
اول : ورود به سیستم (Initial Access)
با همین ترفند paste‑and‑run، اسکریپتی دانلود و اجرا میشه که فایل مخربی مثل یک backdoor دانلود می‌کنه
دوم Payload – NodeInitRAT
این payload یک backdoor نوشته‌شده با NodeJS هست که فایل node.exe قانونی رو اجرا کرده و از طریق آن backdoor فعال میشه
ثبت persistence از طریق کلید رجیستری
کشف اطلاعات سیستم و دامین‌ها
برقراری ارتباط با سرور C2 از طریق HTTP/Cloudflare
اجرای دستورات دلخواه و دانلود payloadهای بیشتر
سوم: ارتباط با باج‌افزار
این تهدید احتمالاً مقدمات لازم برای حمله باج‌افزاری را فراهم می‌کند، هر چند تا می ۲۰۲۵ باج‌افزار مشاهده نشده، اما تشدید حمله منطقی است .
🛡️ توصیه‌های دفاعی
مراقبت از تکنیک paste‑and‑run
با GPO می‌توان shortcut ویندوز+R را غیرفعال کرد (خیلی کاربردی نیست چون کاربران هم ازش استفاده می‌کنند)
آموزش کاربران برای شناسایی ترفندهایی مانند "برای دسترسی کلیک کنید"
شناسایی NodeInitRAT
بررسی پردازه‌های node.exe فعال
حذف فایل‌هایی با مسیر \AppData\Roaming\[a-z0-9]{8}.log
پاک‌سازی کلیدهای رجیستری Run
بلوکه کردن دامنه‌ها/IPهای مرتبط با trycloudflare[.]com
هشدار مبتنی بر رفتار
مانیتورینگ اجرای PowerShell با invoke-expression و invoke-restmethod همراه آدرس IP برای بارگذاری اسکریپت مخرب
شناسایی node.exe که cmd.exe را اجرا می‌کند تا کلید رجیستری تنظیم کند .
#آکادمی_روزبه
مرکز تخصصی CISSP
https://redcanary.com/blog/threat-intelligence/mocha-manakin-nodejs-backdoor/?utm_source=linkedin&utm_medium=social
رولها رو به روز کنید
تهدید جدیدی که Red Canary اسمش رو گذاشته Mocha Manakin (از اوایل ژانویه ۲۰۲۵ کشف شده)، و به تکنیکی به اسم paste‑and‑run متکی هست. تکنیک به این شکله: کاربر ترغیب میشه کدی رو از یک صفحه (مثل Fake CAPTCHA یا پیام “برای دسترسی باید تایید کنید”) کپی کنه و در پنجره Run ویندوز بچسبونه، بدون اینکه بدونه داره یک PowerShell مخرب اجرا می‌کنه
.
🔍 مراحل فعالیت Mocha Manakin
اول : ورود به سیستم (Initial Access)
با همین ترفند paste‑and‑run، اسکریپتی دانلود و اجرا میشه که فایل مخربی مثل یک backdoor دانلود می‌کنه
دوم Payload – NodeInitRAT
این payload یک backdoor نوشته‌شده با NodeJS هست که فایل node.exe قانونی رو اجرا کرده و از طریق آن backdoor فعال میشه
ثبت persistence از طریق کلید رجیستری
کشف اطلاعات سیستم و دامین‌ها
برقراری ارتباط با سرور C2 از طریق HTTP/Cloudflare
اجرای دستورات دلخواه و دانلود payloadهای بیشتر
سوم: ارتباط با باج‌افزار
این تهدید احتمالاً مقدمات لازم برای حمله باج‌افزاری را فراهم می‌کند، هر چند تا می ۲۰۲۵ باج‌افزار مشاهده نشده، اما تشدید حمله منطقی است .
🛡️ توصیه‌های دفاعی
مراقبت از تکنیک paste‑and‑run
با GPO می‌توان shortcut ویندوز+R را غیرفعال کرد (خیلی کاربردی نیست چون کاربران هم ازش استفاده می‌کنند)
آموزش کاربران برای شناسایی ترفندهایی مانند "برای دسترسی کلیک کنید"
شناسایی NodeInitRAT
بررسی پردازه‌های node.exe فعال
حذف فایل‌هایی با مسیر \AppData\Roaming\[a-z0-9]{8}.log
پاک‌سازی کلیدهای رجیستری Run
بلوکه کردن دامنه‌ها/IPهای مرتبط با trycloudflare[.]com
هشدار مبتنی بر رفتار
مانیتورینگ اجرای PowerShell با invoke-expression و invoke-restmethod همراه آدرس IP برای بارگذاری اسکریپت مخرب
شناسایی node.exe که cmd.exe را اجرا می‌کند تا کلید رجیستری تنظیم کند .
#آکادمی_روزبه
مرکز تخصصی CISSP
https://redcanary.com/blog/threat-intelligence/mocha-manakin-nodejs-backdoor/?utm_source=linkedin&utm_medium=social
Red Canary
Mocha Manakin delivers custom NodeJS backdoor via paste and run | Red Canary
Named by Red Canary, Mocha Manakin uses paste and run with PowerShell to drop a custom NodeJS backdoor that could lead to ransomware
🙏4❤2
به روز رسانی در BloodHound
نقش Privilege Zones در تقویت مرزبندی امنیتی سازمان‌ها
مقدمه
در چشم‌انداز مدرن امنیت سایبری، مدل "حداقل دسترسی" (Least Privilege) یکی از مهم‌ترین اصول برای محافظت از دارایی‌های حساس سازمانی محسوب می‌شود. با این حال، پیاده‌سازی عملی این مدل در شبکه‌های پیچیده، به‌ویژه در ترکیب محیط‌های محلی و ابری، همواره چالش‌برانگیز بوده است. شرکت SpecterOps در پاسخ به این نیاز، ویژگی جدیدی به نام "Privilege Zones" را به پلتفرم BloodHound Enterprise افزوده است که می‌تواند گامی عملی و مهم در جهت مرزبندی دسترسی و جلوگیری از حرکت جانبی مهاجمان باشد.
تعریف Privilege Zones
این Privilege Zones به زبان ساده، امکان ایجاد "زون‌های منطقی امنیتی" را فراهم می‌کند که دارایی‌های سازمان درون آن دسته‌بندی می‌شوند. این زون‌ها بر اساس معیارهای عملیاتی یا امنیتی مانند الزامات قانونی (مثلاً HIPAA، PCI-DSS)، نوع سیستم‌ها (مانند سرورهای مالی، سامانه‌های توسعه کد) یا سطح حساسیت تعریف می‌شوند. هر زون به‌عنوان یک مرز مجازی عمل می‌کند که فقط موجودیت‌های خاص و مجاز، حق دسترسی و تعامل میان آن‌ها را دارند.
قابلیت‌های کلیدی Privilege Zones
تفکیک منابع حیاتی: جلوگیری از دسترسی تصادفی یا هدفمند به سیستم‌های بحرانی از سوی کاربران یا اکانت‌های غیرمرتبط.
کنترل حرکت جانبی (Lateral Movement): کاهش مسیرهای ممکن برای مهاجمان از طریق قطع ارتباط مستقیم میان زون‌ها.
تقویت سیاست Least Privilege: تعیین دقیق و قابل اجرا برای آنکه چه افرادی در چه زون‌هایی و با چه امتیازاتی مجاز به فعالیت هستند.
افزایش قابلیت مانیتورینگ و پاسخ: امکان تحلیل حملات و دسترسی‌های غیرمجاز در قالب مرزهای زون، ساده‌تر و دقیق‌تر می‌شود.
مثال کاربردی
فرض کنید سازمانی دارای چندین گروه منابع شامل تیم توسعه، بخش مالی و سیستم‌های درمانی باشد. با استفاده از Privilege Zones، می‌توان دسترسی کاربران تیم توسعه را تنها به زیرساخت‌های مورد نیاز خود محدود کرد و از دسترسی به داده‌های پزشکی یا مالی جلوگیری نمود. در عین حال، مسیرهای حمله‌ای که ممکن است از یک اکانت آسیب‌پذیر در تیم توسعه آغاز شده و به منابع حیاتی برسد، مسدود خواهد شد.
مزیت نسبت به مدل سنتی
در مدل‌های قدیمی، سیاست Least Privilege به صورت دستی و در سطح حساب‌های کاربری یا گروه‌های Active Directory تعریف می‌شد که هم پیچیده و هم خطاپذیر بود. در Privilege Zones با تجزیه خودکار مسیرهای حمله و پیشنهاد کنترل‌های پیشگیرانه، این روند را ساختاریافته، مقیاس‌پذیر و قابل نگهداری می‌کند.
نتیجه‌گیری
قابلیت Privilege Zones تحولی مهم در پیاده‌سازی عملی least privilege در شبکه‌های سازمانی ایجاد کرده است. این ویژگی با تمرکز بر مرزبندی منابع و کاهش سطح حمله، به تیم‌های امنیتی کمک می‌کند تا در برابر تهدیدات پیشرفته مقاوم‌تر شوند. در عصر تهدیدات مداوم و حرکت جانبی پیچیده، چنین ابزارهایی نقش حیاتی در دفاع پیشگیرانه خواهند داشت.
#آکادمی_روزبه
مرکز تخصصی CISSP
https://specterops.io/news/specterops-launches-privilege-zones-in-bloodhound-enterprise-to-protect-mission-critical-assets-from-identity-compromise/
نقش Privilege Zones در تقویت مرزبندی امنیتی سازمان‌ها
مقدمه
در چشم‌انداز مدرن امنیت سایبری، مدل "حداقل دسترسی" (Least Privilege) یکی از مهم‌ترین اصول برای محافظت از دارایی‌های حساس سازمانی محسوب می‌شود. با این حال، پیاده‌سازی عملی این مدل در شبکه‌های پیچیده، به‌ویژه در ترکیب محیط‌های محلی و ابری، همواره چالش‌برانگیز بوده است. شرکت SpecterOps در پاسخ به این نیاز، ویژگی جدیدی به نام "Privilege Zones" را به پلتفرم BloodHound Enterprise افزوده است که می‌تواند گامی عملی و مهم در جهت مرزبندی دسترسی و جلوگیری از حرکت جانبی مهاجمان باشد.
تعریف Privilege Zones
این Privilege Zones به زبان ساده، امکان ایجاد "زون‌های منطقی امنیتی" را فراهم می‌کند که دارایی‌های سازمان درون آن دسته‌بندی می‌شوند. این زون‌ها بر اساس معیارهای عملیاتی یا امنیتی مانند الزامات قانونی (مثلاً HIPAA، PCI-DSS)، نوع سیستم‌ها (مانند سرورهای مالی، سامانه‌های توسعه کد) یا سطح حساسیت تعریف می‌شوند. هر زون به‌عنوان یک مرز مجازی عمل می‌کند که فقط موجودیت‌های خاص و مجاز، حق دسترسی و تعامل میان آن‌ها را دارند.
قابلیت‌های کلیدی Privilege Zones
تفکیک منابع حیاتی: جلوگیری از دسترسی تصادفی یا هدفمند به سیستم‌های بحرانی از سوی کاربران یا اکانت‌های غیرمرتبط.
کنترل حرکت جانبی (Lateral Movement): کاهش مسیرهای ممکن برای مهاجمان از طریق قطع ارتباط مستقیم میان زون‌ها.
تقویت سیاست Least Privilege: تعیین دقیق و قابل اجرا برای آنکه چه افرادی در چه زون‌هایی و با چه امتیازاتی مجاز به فعالیت هستند.
افزایش قابلیت مانیتورینگ و پاسخ: امکان تحلیل حملات و دسترسی‌های غیرمجاز در قالب مرزهای زون، ساده‌تر و دقیق‌تر می‌شود.
مثال کاربردی
فرض کنید سازمانی دارای چندین گروه منابع شامل تیم توسعه، بخش مالی و سیستم‌های درمانی باشد. با استفاده از Privilege Zones، می‌توان دسترسی کاربران تیم توسعه را تنها به زیرساخت‌های مورد نیاز خود محدود کرد و از دسترسی به داده‌های پزشکی یا مالی جلوگیری نمود. در عین حال، مسیرهای حمله‌ای که ممکن است از یک اکانت آسیب‌پذیر در تیم توسعه آغاز شده و به منابع حیاتی برسد، مسدود خواهد شد.
مزیت نسبت به مدل سنتی
در مدل‌های قدیمی، سیاست Least Privilege به صورت دستی و در سطح حساب‌های کاربری یا گروه‌های Active Directory تعریف می‌شد که هم پیچیده و هم خطاپذیر بود. در Privilege Zones با تجزیه خودکار مسیرهای حمله و پیشنهاد کنترل‌های پیشگیرانه، این روند را ساختاریافته، مقیاس‌پذیر و قابل نگهداری می‌کند.
نتیجه‌گیری
قابلیت Privilege Zones تحولی مهم در پیاده‌سازی عملی least privilege در شبکه‌های سازمانی ایجاد کرده است. این ویژگی با تمرکز بر مرزبندی منابع و کاهش سطح حمله، به تیم‌های امنیتی کمک می‌کند تا در برابر تهدیدات پیشرفته مقاوم‌تر شوند. در عصر تهدیدات مداوم و حرکت جانبی پیچیده، چنین ابزارهایی نقش حیاتی در دفاع پیشگیرانه خواهند داشت.
#آکادمی_روزبه
مرکز تخصصی CISSP
https://specterops.io/news/specterops-launches-privilege-zones-in-bloodhound-enterprise-to-protect-mission-critical-assets-from-identity-compromise/
SpecterOps
SpecterOps Launches Privilege Zones in BloodHound Enterprise
SpecterOps, the leader in identity risk management and adversary tradecraft, today introduced Privilege Zones, a new addition to its flagship BloodHound Enterprise platform. Privilege Zones enable teams to define custom security boundaries around business…
❤5
مایکروسافت توی ویندوز ۱۱ یه سیستم گذاشته که وقتی می‌خوای کاری با دسترسی ادمین انجام بدی، یه حساب مخصوص ادمین مخفی استفاده می‌کنه تا امنیت بره بالا. این باعث میشه بدافزارها سخت‌تر بتونن کنترل سیستم رو بگیرن.
قبلاً در ویندوز، وقتی یه کاربر معمولی می‌خواست کاری مثل نصب برنامه انجام بده، ویندوز ازش می‌پرسید:
«آیا می‌خوای این کار رو با دسترسی ادمین انجام بدی؟» (همون پنجره UAC که Yes/No داره)
ولی بعضی برنامه‌ها می‌تونستن بدون اینکه این پنجره نشون داده بشه، مخفیانه خودشونو ادمین کنن! این یعنی خطر برای امنیت.
راه‌حل جدید ویندوز چیه؟
ویندوز ۱۱ یه کار جالب کرده:
به‌جای اینکه به همون کاربر اجازه‌ی ادمین بده، میاد یه حساب جداگانه به اسم admin_اسم‌کاربر درست می‌کنه.
مثلاً اگر اسم کاربر milad باشه، یه حساب مخفی به اسم admin_milad ساخته میشه که فقط مخصوص کارهای ادمینه.
وقتی کاربر لازم داره کاری با دسترسی ادمین انجام بده:
ویندوز از اون حساب admin_milad استفاده می‌کنه تا کار انجام بشه، نه از همون حساب کاربر.
این چه فایده‌ای داره؟
برنامه‌های بدخواه(مثل ویروس‌ها) دیگه نمی‌تونن راحت از UAC رد بشن و خودشونو ادمین کنن.
چون الان باید از یه حساب جداگانه استفاده بشه که شرایط خاصی داره.
آیا هنوز هم راه دور زدن هست؟
بله، مقاله زیر می‌گه بعضی از روش‌های قدیمی هنوز ممکنه توی شرایطی کار کنن، ولی مایکروسافت داره اوضاع رو خیلی سخت‌تر می‌کنه برای مهاجم‌ها.
#آکادمی_روزبه
مرکز تخصصی CISSP
https://specterops.io/blog/2025/06/18/administrator-protection/
قبلاً در ویندوز، وقتی یه کاربر معمولی می‌خواست کاری مثل نصب برنامه انجام بده، ویندوز ازش می‌پرسید:
«آیا می‌خوای این کار رو با دسترسی ادمین انجام بدی؟» (همون پنجره UAC که Yes/No داره)
ولی بعضی برنامه‌ها می‌تونستن بدون اینکه این پنجره نشون داده بشه، مخفیانه خودشونو ادمین کنن! این یعنی خطر برای امنیت.
راه‌حل جدید ویندوز چیه؟
ویندوز ۱۱ یه کار جالب کرده:
به‌جای اینکه به همون کاربر اجازه‌ی ادمین بده، میاد یه حساب جداگانه به اسم admin_اسم‌کاربر درست می‌کنه.
مثلاً اگر اسم کاربر milad باشه، یه حساب مخفی به اسم admin_milad ساخته میشه که فقط مخصوص کارهای ادمینه.
وقتی کاربر لازم داره کاری با دسترسی ادمین انجام بده:
ویندوز از اون حساب admin_milad استفاده می‌کنه تا کار انجام بشه، نه از همون حساب کاربر.
این چه فایده‌ای داره؟
برنامه‌های بدخواه(مثل ویروس‌ها) دیگه نمی‌تونن راحت از UAC رد بشن و خودشونو ادمین کنن.
چون الان باید از یه حساب جداگانه استفاده بشه که شرایط خاصی داره.
آیا هنوز هم راه دور زدن هست؟
بله، مقاله زیر می‌گه بعضی از روش‌های قدیمی هنوز ممکنه توی شرایطی کار کنن، ولی مایکروسافت داره اوضاع رو خیلی سخت‌تر می‌کنه برای مهاجم‌ها.
#آکادمی_روزبه
مرکز تخصصی CISSP
https://specterops.io/blog/2025/06/18/administrator-protection/
SpecterOps
Administrator Protection Review
Microsoft will be introducing Administrator Protection into Windows 11. This post explores security considerations for red teamers.
👍8
ابزار Forensic Timeliner
این ابزار که در این پست معرفی میکنم ، یک ابزار تایم‌لاین‌ساز سریع مخصوص تحلیل‌های دیجیتال (Digital Forensics) هست، مخصوص کسانی که توی حوزه‌ی DFIR (Digital Forensics and Incident Response) کار می‌کنن.
💡 کار اصلی این ابزار چیه؟
اطلاعات جمع‌آوری‌شده از سیستم (مثل لاگ‌ها، آرتیفکت‌ها و فایل‌ها) رو می‌گیره، اون‌ها رو مرتب می‌کنه و به صورت یک تایم‌لاین (خط زمانی) منظم در میاره.
یعنی چی؟
یعنی شما می‌تونید ببینید:
چه اتفاقی در چه زمانی افتاده؟
کِی یه فایل خاص ساخته یا حذف شده؟
چه زمانی یوزری لاگین کرده؟
و خیلی اطلاعات دقیق زمانی دیگه...
✨ ویژگی‌های جدید نسخه 2.2:
پیش‌نمایش تعاملی فیلترهای YAML برای لاگ‌های MFT و Event Logs
پیشنهاد تگ‌گذاری با کلمات کلیدی (TLE tagging) برای تولید session با پسوند .tle_sess
پشتیبانی از علامت [] در فیلترها برای پوشش همه Event IDها
✅ از چی پشتیبانی می‌کنه؟
با ابزارهای مطرح تحلیل دیجیتال کار می‌کنه، مثل:
EZ Tools/KAPE
Chainsaw
Hayabusa
Axiom
🔍 مناسب برای چه کسانیه؟
تحلیلگران فورنزیک دیجیتال
تیم‌های Incident Response
تیم SOC Analystهایی که دنبال کشف زمان وقوع و ترتیب رویدادها هستن
#آکادمی_روزبه
مرکز تخصصی CISSP
https://github.com/acquiredsecurity/forensic-timeliner
این ابزار که در این پست معرفی میکنم ، یک ابزار تایم‌لاین‌ساز سریع مخصوص تحلیل‌های دیجیتال (Digital Forensics) هست، مخصوص کسانی که توی حوزه‌ی DFIR (Digital Forensics and Incident Response) کار می‌کنن.
💡 کار اصلی این ابزار چیه؟
اطلاعات جمع‌آوری‌شده از سیستم (مثل لاگ‌ها، آرتیفکت‌ها و فایل‌ها) رو می‌گیره، اون‌ها رو مرتب می‌کنه و به صورت یک تایم‌لاین (خط زمانی) منظم در میاره.
یعنی چی؟
یعنی شما می‌تونید ببینید:
چه اتفاقی در چه زمانی افتاده؟
کِی یه فایل خاص ساخته یا حذف شده؟
چه زمانی یوزری لاگین کرده؟
و خیلی اطلاعات دقیق زمانی دیگه...
✨ ویژگی‌های جدید نسخه 2.2:
پیش‌نمایش تعاملی فیلترهای YAML برای لاگ‌های MFT و Event Logs
پیشنهاد تگ‌گذاری با کلمات کلیدی (TLE tagging) برای تولید session با پسوند .tle_sess
پشتیبانی از علامت [] در فیلترها برای پوشش همه Event IDها
✅ از چی پشتیبانی می‌کنه؟
با ابزارهای مطرح تحلیل دیجیتال کار می‌کنه، مثل:
EZ Tools/KAPE
Chainsaw
Hayabusa
Axiom
🔍 مناسب برای چه کسانیه؟
تحلیلگران فورنزیک دیجیتال
تیم‌های Incident Response
تیم SOC Analystهایی که دنبال کشف زمان وقوع و ترتیب رویدادها هستن
#آکادمی_روزبه
مرکز تخصصی CISSP
https://github.com/acquiredsecurity/forensic-timeliner
GitHub
GitHub - acquiredsecurity/forensic-timeliner: A high-speed forensic timeline engine for Windows forensic artifact CSV output built…
A high-speed forensic timeline engine for Windows forensic artifact CSV output built for DFIR investigators. Quickly consolidate CSV output from processed triage evidence for Eric Zimmerman (EZ Too...
❤4👏1
isaca.pdf
661 KB
پایداری سایبری در زیرساخت‌های حیاتی
مستندی از ISACA
نگاهی به NIS2 و DORA
#آکادمی_روزبه
مرکز تخصصی CISSP
مستندی از ISACA
نگاهی به NIS2 و DORA
#آکادمی_روزبه
مرکز تخصصی CISSP
❤4
برای دانشجویان به زبان ساده
شنود سیستم کال
سیستم کال و نه API اپلیکیشن تحت وب، شنود تماس‌های API بین اجزای سیستم‌عامل، سرویس‌ها، یا حتی بین برنامه و کرنل هست؛ مثلاً:
شنود System Call API در لینوکس یا ویندوز (مثلاً NtCreateFile, ReadFile, socket, execve)
تحلیل رفتار بدافزار یا برنامه از طریق API Monitoring
استفاده از ابزارهایی مثل strace, sysdig, procmon, یا API Monitor
🎯 هدف: آموزش شنود APIهای سیستم به دانشجویان
🔹 ۱. تعریف ساده و کاربردی
«در سیستم‌عامل‌ها، وقتی برنامه‌ای می‌خواد کاری انجام بده مثل خوندن یک فایل، باز کردن اینترنت، یا اختصاص دادن حافظه، درخواستش رو از طریق یک API یا System Call به سیستم‌عامل می‌فرسته. شنود این APIها یعنی بررسی اینکه چه برنامه‌ای چه دستوری به سیستم‌عامل داده.»
🟣 مثال ساده:
وقتی Notepad رو باز می‌کنی و یک فایل رو ذخیره می‌کنی، پشت صحنه سیستم از CreateFile, WriteFile, CloseHandle استفاده می‌کنه. ما می‌تونیم این APIها رو ببینیم.
🔹 ۲. چرا لازمه API Callهای سیستم شنود بشن؟
تحلیل رفتار برنامه‌ها:
آیا برنامه بدون اجازه شما به فایل یا شبکه دسترسی داره؟
کشف بدافزارها:
بدافزارها با APIها رفتار خودشون رو نشون می‌دن، مثلاً VirtualAlloc برای رزرو حافظه جهت shellcode
مهندسی معکوس:
این API Callها قدم به قدم به شما می‌گن برنامه داره چه‌کار می‌کنه
شناسایی رفتار مشکوک:
اگر برنامه‌ای پشت صحنه keylogger اجرا کنه، APIهای GetAsyncKeyState یا SetWindowsHookEx ظاهر می‌شن
تست امنیتی:
فهمیدن اینکه یه برنامه از چه System Callهایی استفاده می‌کنه، میتونه به تست نفوذ کمک کنه
🔹 ۳. ابزارهای پیشنهادی (بسته به سیستم‌عامل):
✅ ویندوز:
ابزار Process Monitor (Procmon) – از Sysinternals. برای دیدن File, Registry, Network, و API Calls.
ابزار API Monitor – برای رصد کردن دقیق APIهای ویندوز (user-mode و kernel-mode).
ابزار WinDbg + Sysinternals – برای سطح پایین‌تر، مخصوص دانشجویان پیشرفته‌تر.
✅ لینوکس:
ابزار strace – برای دیدن System Callهای سطح پایین مثل open, read, write
ابزار lsof, dstat, iotop – برای مشاهده منابع درگیر
ابزار sysdig – تحلیل و شنود عمیق‌تر از kernel space
ابزار auditd – برای مانیتور کردن دقیق سیاست‌محور از system callها
این API Callها مثل گفت‌وگوی مخفی بین نرم‌افزار و سیستم‌عامل هستند. شنیدن این مکالمه‌ها یعنی اینکه بفهمیم برنامه‌ها واقعاً چی کار می‌کنند، نه فقط اون چیزی که در ظاهر نشون می‌دن. این یک سلاح کلیدی برای شکار تهدید، مهندسی معکوس، و تحلیل امنیتی هست.
🔆🔆مثال تمرینی در پستهای آتی
#آکادمی_روزبه
مرکز تخصصی CISSP
شنود سیستم کال
سیستم کال و نه API اپلیکیشن تحت وب، شنود تماس‌های API بین اجزای سیستم‌عامل، سرویس‌ها، یا حتی بین برنامه و کرنل هست؛ مثلاً:
شنود System Call API در لینوکس یا ویندوز (مثلاً NtCreateFile, ReadFile, socket, execve)
تحلیل رفتار بدافزار یا برنامه از طریق API Monitoring
استفاده از ابزارهایی مثل strace, sysdig, procmon, یا API Monitor
🎯 هدف: آموزش شنود APIهای سیستم به دانشجویان
🔹 ۱. تعریف ساده و کاربردی
«در سیستم‌عامل‌ها، وقتی برنامه‌ای می‌خواد کاری انجام بده مثل خوندن یک فایل، باز کردن اینترنت، یا اختصاص دادن حافظه، درخواستش رو از طریق یک API یا System Call به سیستم‌عامل می‌فرسته. شنود این APIها یعنی بررسی اینکه چه برنامه‌ای چه دستوری به سیستم‌عامل داده.»
🟣 مثال ساده:
وقتی Notepad رو باز می‌کنی و یک فایل رو ذخیره می‌کنی، پشت صحنه سیستم از CreateFile, WriteFile, CloseHandle استفاده می‌کنه. ما می‌تونیم این APIها رو ببینیم.
🔹 ۲. چرا لازمه API Callهای سیستم شنود بشن؟
تحلیل رفتار برنامه‌ها:
آیا برنامه بدون اجازه شما به فایل یا شبکه دسترسی داره؟
کشف بدافزارها:
بدافزارها با APIها رفتار خودشون رو نشون می‌دن، مثلاً VirtualAlloc برای رزرو حافظه جهت shellcode
مهندسی معکوس:
این API Callها قدم به قدم به شما می‌گن برنامه داره چه‌کار می‌کنه
شناسایی رفتار مشکوک:
اگر برنامه‌ای پشت صحنه keylogger اجرا کنه، APIهای GetAsyncKeyState یا SetWindowsHookEx ظاهر می‌شن
تست امنیتی:
فهمیدن اینکه یه برنامه از چه System Callهایی استفاده می‌کنه، میتونه به تست نفوذ کمک کنه
🔹 ۳. ابزارهای پیشنهادی (بسته به سیستم‌عامل):
✅ ویندوز:
ابزار Process Monitor (Procmon) – از Sysinternals. برای دیدن File, Registry, Network, و API Calls.
ابزار API Monitor – برای رصد کردن دقیق APIهای ویندوز (user-mode و kernel-mode).
ابزار WinDbg + Sysinternals – برای سطح پایین‌تر، مخصوص دانشجویان پیشرفته‌تر.
✅ لینوکس:
ابزار strace – برای دیدن System Callهای سطح پایین مثل open, read, write
ابزار lsof, dstat, iotop – برای مشاهده منابع درگیر
ابزار sysdig – تحلیل و شنود عمیق‌تر از kernel space
ابزار auditd – برای مانیتور کردن دقیق سیاست‌محور از system callها
این API Callها مثل گفت‌وگوی مخفی بین نرم‌افزار و سیستم‌عامل هستند. شنیدن این مکالمه‌ها یعنی اینکه بفهمیم برنامه‌ها واقعاً چی کار می‌کنند، نه فقط اون چیزی که در ظاهر نشون می‌دن. این یک سلاح کلیدی برای شکار تهدید، مهندسی معکوس، و تحلیل امنیتی هست.
🔆🔆مثال تمرینی در پستهای آتی
#آکادمی_روزبه
مرکز تخصصی CISSP
❤5👌1
آکادمی آموزش روزبه 📚
برای دانشجویان به زبان ساده شنود سیستم کال سیستم کال و نه API اپلیکیشن تحت وب، شنود تماس‌های API بین اجزای سیستم‌عامل، سرویس‌ها، یا حتی بین برنامه و کرنل هست؛ مثلاً: شنود System Call API در لینوکس یا ویندوز (مثلاً NtCreateFile, ReadFile, socket, execve)…
تمرین
بخش اول: برنامه ساده C شارپ که چند System Call صدا می‌زنه
این برنامه یک فایل متنی ایجاد می‌کنه، داخلش می‌نویسه، از شبکه استفاده می‌کنه، و سپس می‌خوابه.
using System;
using System.IO;
using System.Net;
using System.Threading;
class Program
{
static void Main(string[] args)
{
Console.WriteLine(" شروع برنامه...");
// 1. ایجاد و نوشتن در فایل
string path = "test_log.txt";
File.WriteAllText(path, "این یک تست است.\n");
// 2. ارسال یک درخواست ساده HTTP
using (var client = new WebClient())
{
string result = client.DownloadString("http://example.com");
Console.WriteLine(" داده از example.com دریافت شد.");
}
// 3. وقفه
Thread.Sleep(3000);
Console.WriteLine(" پایان برنامه.");
}
}
بخش دوم: چطور System Callها رو ببینیم؟
🔹 برای ویندوز (با استفاده از Procmon)
ابزار: Process Monitor (Procmon)
📌 مراحل:
Procmon را اجرا کنید.
فیلتر زیر را تنظیم کنید:
Process Name is Program.exe (یا اسم اجرایی برنامه C# خودتون)
حالا برنامه C# رو اجرا کنید (مثلاً dotnet run یا .exe تولید شده رو مستقیم اجرا کنید).
در Procmon، خواهید دید:
CreateFile
WriteFile
ReadFile
RegOpenKey
TCP Connect
Sleep (به شکل وقفه بین درخواست‌ها)
می‌تونید روی هر آیتم دابل‌کلیک کنید و جزئیات رو ببینید: مسیر فایل، نتیجه API، رجیستری‌ها و حتی IP مقصد.
سوالات برای بحث :
آیا مسیر فایل نوشته شده در System Callها با چیزی که انتظار داشتید، هم‌خوانی داشت؟
آیا برنامه به دامنه‌ای متصل شد که انتظارش رو نداشتید؟
چه اطلاعاتی از رفتار برنامه فقط از طریق شنود API متوجه شدید؟
#آکادمی_روزبه
مرکز تخصصی CISSP
تئوری و تمرین ضروری برای یادگیری
بخش اول: برنامه ساده C شارپ که چند System Call صدا می‌زنه
این برنامه یک فایل متنی ایجاد می‌کنه، داخلش می‌نویسه، از شبکه استفاده می‌کنه، و سپس می‌خوابه.
using System;
using System.IO;
using System.Net;
using System.Threading;
class Program
{
static void Main(string[] args)
{
Console.WriteLine(" شروع برنامه...");
// 1. ایجاد و نوشتن در فایل
string path = "test_log.txt";
File.WriteAllText(path, "این یک تست است.\n");
// 2. ارسال یک درخواست ساده HTTP
using (var client = new WebClient())
{
string result = client.DownloadString("http://example.com");
Console.WriteLine(" داده از example.com دریافت شد.");
}
// 3. وقفه
Thread.Sleep(3000);
Console.WriteLine(" پایان برنامه.");
}
}
بخش دوم: چطور System Callها رو ببینیم؟
🔹 برای ویندوز (با استفاده از Procmon)
ابزار: Process Monitor (Procmon)
📌 مراحل:
Procmon را اجرا کنید.
فیلتر زیر را تنظیم کنید:
Process Name is Program.exe (یا اسم اجرایی برنامه C# خودتون)
حالا برنامه C# رو اجرا کنید (مثلاً dotnet run یا .exe تولید شده رو مستقیم اجرا کنید).
در Procmon، خواهید دید:
CreateFile
WriteFile
ReadFile
RegOpenKey
TCP Connect
Sleep (به شکل وقفه بین درخواست‌ها)
می‌تونید روی هر آیتم دابل‌کلیک کنید و جزئیات رو ببینید: مسیر فایل، نتیجه API، رجیستری‌ها و حتی IP مقصد.
سوالات برای بحث :
آیا مسیر فایل نوشته شده در System Callها با چیزی که انتظار داشتید، هم‌خوانی داشت؟
آیا برنامه به دامنه‌ای متصل شد که انتظارش رو نداشتید؟
چه اطلاعاتی از رفتار برنامه فقط از طریق شنود API متوجه شدید؟
#آکادمی_روزبه
مرکز تخصصی CISSP
تئوری و تمرین ضروری برای یادگیری
👌5
آکادمی آموزش روزبه 📚
تمرین بخش اول: برنامه ساده C شارپ که چند System Call صدا می‌زنه این برنامه یک فایل متنی ایجاد می‌کنه، داخلش می‌نویسه، از شبکه استفاده می‌کنه، و سپس می‌خوابه. using System; using System.IO; using System.Net; using System.Threading; class Program { …
خلاصه دو پست قبل برای مرور
دنبال این بودیم که بفهمیم وقتی یک برنامه با سیستم‌عامل کار می‌کنه (مثل خوندن یا نوشتن فایل، یا وصل شدن به اینترنت)، در پشت‌صحنه چه اتفاقی می‌افته و چطور می‌تونیم اون دستورات یا "درخواست‌ها" رو که به سیستم داده میشه ببینیم.
به این درخواست‌ها می‌گیم:
👉 System Call (یا API Call به سیستم‌عامل)
🧪 آزمایشی که انجام دادیم:
یه برنامه ساده با زبان C شارپ نوشتیم که:
یه فایل می‌سازه و داخلش می‌نویسه.
به یه سایت وصل میشه و اطلاعاتی می‌گیره.
چند ثانیه صبر می‌کنه.
بعد با استفاده از ابزار Procmon (برای ویندوز) اومدیم:
ببینیم برنامه دقیقاً چه کارهایی انجام داده.
مثلاً چه فایلی باز کرده؟ آیا واقعاً به اینترنت وصل شده؟ چقدر طول کشید؟
✅ نتیجه:
ما تونستیم درخواست‌های پنهان بین برنامه و سیستم‌عامل رو ببینیم. این کار در تحلیل بدافزار، بررسی امنیت، یا حتی رفع باگ خیلی مهمه.
#آکادمی_روزبه
مرکز تخصصی CISSP
آموزش تئوری و عملی
دنبال این بودیم که بفهمیم وقتی یک برنامه با سیستم‌عامل کار می‌کنه (مثل خوندن یا نوشتن فایل، یا وصل شدن به اینترنت)، در پشت‌صحنه چه اتفاقی می‌افته و چطور می‌تونیم اون دستورات یا "درخواست‌ها" رو که به سیستم داده میشه ببینیم.
به این درخواست‌ها می‌گیم:
👉 System Call (یا API Call به سیستم‌عامل)
🧪 آزمایشی که انجام دادیم:
یه برنامه ساده با زبان C شارپ نوشتیم که:
یه فایل می‌سازه و داخلش می‌نویسه.
به یه سایت وصل میشه و اطلاعاتی می‌گیره.
چند ثانیه صبر می‌کنه.
بعد با استفاده از ابزار Procmon (برای ویندوز) اومدیم:
ببینیم برنامه دقیقاً چه کارهایی انجام داده.
مثلاً چه فایلی باز کرده؟ آیا واقعاً به اینترنت وصل شده؟ چقدر طول کشید؟
✅ نتیجه:
ما تونستیم درخواست‌های پنهان بین برنامه و سیستم‌عامل رو ببینیم. این کار در تحلیل بدافزار، بررسی امنیت، یا حتی رفع باگ خیلی مهمه.
#آکادمی_روزبه
مرکز تخصصی CISSP
آموزش تئوری و عملی
👌6
سناریو کارگاه: تحلیل ایمیج دیسک “مرده” ویندوز با Velociraptor
#آکادمی_روزبه
مرکز تخصصی CISSP
https://kyjonin.blogspot.com/2025/05/velociraptor-dead-disk-forensics.html?m=1
#آکادمی_روزبه
مرکز تخصصی CISSP
https://kyjonin.blogspot.com/2025/05/velociraptor-dead-disk-forensics.html?m=1
Blogspot
Velociraptor Dead-Disk Forensics
The Problem (and the solution) So you need to perform dead-disk forensics on a Windows host, but post acquisition (which may typically be pr...
❤5
آکادمی آموزش روزبه 📚
اشک شوق برای تلاش و پشتکار و شب نخوابی ها برای علم آموزی و پیشرفت 🥹🥹👏👏👏
ترجمه
امروز، چیزی کوچک از طریق پست رسید — اما وزنی دارد که فقط دارندگان CISSP واقعاً آن را درک می‌کنند.
این سنجاق کت (lapel pin) چیزی فراتر از یک مدرک را نشان می‌دهد. این یک یادآور بی‌صدای شب‌های طولانی، جلسات مطالعه بی‌وقفه، تمرین‌های بی‌پایان و تعهد به رعایت بالاترین استانداردها در حوزه امنیت سایبری است.
پوشیدن آن ( زدن به سینه )فقط مربوط به حروف نیست — بلکه مربوط به مسیر، رشد، و مسئولیتی است که با آن همراه است.
برای همه کسانی که هنوز در این مسیر هستند: ادامه بدهید. ارزشش را دارد، در هر قدم.
#CISSP #ISC2
(در تصویر پایین نیز سنجاق رسمی CISSP را روی کارت خوش‌آمدگویی ISC2 می‌بینیم که نوشته:
"Your journey begins here." یعنی: "سفر شما از اینجا آغاز می‌شود.")
#آکادمی_روزبه
مرکز تخصصی CISSP
امروز، چیزی کوچک از طریق پست رسید — اما وزنی دارد که فقط دارندگان CISSP واقعاً آن را درک می‌کنند.
این سنجاق کت (lapel pin) چیزی فراتر از یک مدرک را نشان می‌دهد. این یک یادآور بی‌صدای شب‌های طولانی، جلسات مطالعه بی‌وقفه، تمرین‌های بی‌پایان و تعهد به رعایت بالاترین استانداردها در حوزه امنیت سایبری است.
پوشیدن آن ( زدن به سینه )فقط مربوط به حروف نیست — بلکه مربوط به مسیر، رشد، و مسئولیتی است که با آن همراه است.
برای همه کسانی که هنوز در این مسیر هستند: ادامه بدهید. ارزشش را دارد، در هر قدم.
#CISSP #ISC2
(در تصویر پایین نیز سنجاق رسمی CISSP را روی کارت خوش‌آمدگویی ISC2 می‌بینیم که نوشته:
"Your journey begins here." یعنی: "سفر شما از اینجا آغاز می‌شود.")
#آکادمی_روزبه
مرکز تخصصی CISSP
❤6👏2
من که گفتم مشاوران امنیت شبکه بانکی و برخی مسوولین امنیت اون رو باید یه جاروی درست حسابی کرد... ولی کسی گوش نکرد !!
این مشاوران و مسوولین سالهاست دربین بانک‌ها درحال چرخش هستند و حالا داره مشخص میشه اثراتش
این مشاوران و مسوولین سالهاست دربین بانک‌ها درحال چرخش هستند و حالا داره مشخص میشه اثراتش
👍17
آکادمی آموزش روزبه 📚
من که گفتم مشاوران امنیت شبکه بانکی و برخی مسوولین امنیت اون رو باید یه جاروی درست حسابی کرد... ولی کسی گوش نکرد !! این مشاوران و مسوولین سالهاست دربین بانک‌ها درحال چرخش هستند و حالا داره مشخص میشه اثراتش
منکر تلاش عزیزانی که دل در گرو کار دارند و عزیزانی که اگر بلد نیستند کنار می‌کشند نیستم
همین که شبکه بانکی الان درحال خدمت رسانی به مردم هست نشان از وجود تعدادی افرادی لایق و باسواد است ؛ ولی خوب که نگاه کنید از ۱۰ سال پیش بانک ها و مراکز درحال هک شدن هستند و مشاوران تقریبا همان و مسوولین هم اگر ارتقاء نگرفته و پست بهتری نگرفته باشند از بانکی به بانک دیگر جابجا شده اند و کسی نپرسیده درجای قبلی که نفوذ رخ داد چقدر مسوولیت داشتی و چه شد که هک شدید ؟ ( شاید هم بوده و من نمیدانم )
درضمن اگر با من آشنا باشید میدانید همینطوری صحبت نمیکنم و برای صحبت هایم دلایل و مصادیق دارم و اصولا همیشه علم مبنای بیانهایم است. و چون نمی‌شود الان به جزئیات بیان کرد نظر کلی و کارشناسی خودم رو فقط مینویسم.
همین که شبکه بانکی الان درحال خدمت رسانی به مردم هست نشان از وجود تعدادی افرادی لایق و باسواد است ؛ ولی خوب که نگاه کنید از ۱۰ سال پیش بانک ها و مراکز درحال هک شدن هستند و مشاوران تقریبا همان و مسوولین هم اگر ارتقاء نگرفته و پست بهتری نگرفته باشند از بانکی به بانک دیگر جابجا شده اند و کسی نپرسیده درجای قبلی که نفوذ رخ داد چقدر مسوولیت داشتی و چه شد که هک شدید ؟ ( شاید هم بوده و من نمیدانم )
درضمن اگر با من آشنا باشید میدانید همینطوری صحبت نمیکنم و برای صحبت هایم دلایل و مصادیق دارم و اصولا همیشه علم مبنای بیانهایم است. و چون نمی‌شود الان به جزئیات بیان کرد نظر کلی و کارشناسی خودم رو فقط مینویسم.
👏10👍3
چرا Live Forensics اهمیت دارد؟
در بسیاری از موارد، پس از اعلام وقوع جرم روی یک رایانه و موبایل یا نفوذ بدافزار ؛ خاموش کردن سیستم یا دستکاری فیزیکی آن می‌تواند منجر به از دست رفتن داده‌های مهم یا تغییر در ساختار شواهد شود. برای مثال:
مهاجم ممکن است مکانیزم‌هایی طراحی کرده باشد که با خاموش شدن سیستم، آثار حمله حذف شوند.
برخی شواهد مانند اطلاعات RAM فقط در زمان اجرا قابل دسترسی هستند.
خاموش کردن سرورهای حیاتی می‌تواند آسیب‌های جدی به کسب‌وکار وارد کند.
بنابراین تحلیل زنده بهترین گزینه برای حفظ یکپارچگی داده‌ها و انجام بررسی سریع است. یعنی شکافتن بدن رایانه درحالت زنده!!
چالش‌ها و ملاحظات
اگرچه Live Forensics ابزار قدرتمندی است، اما نیازمند رعایت دقت بالاست. هرگونه اقدام نادرست می‌تواند موجب تغییر در وضعیت سیستم شده یا اعتبار شواهد را زیر سؤال ببرد. به همین دلیل، کارشناسان باید از ابزارهای Read-Only استفاده کرده و هر قدم را مستند کنند.
#آکادمی_روزبه
مرکز تخصصی CISSP
در بسیاری از موارد، پس از اعلام وقوع جرم روی یک رایانه و موبایل یا نفوذ بدافزار ؛ خاموش کردن سیستم یا دستکاری فیزیکی آن می‌تواند منجر به از دست رفتن داده‌های مهم یا تغییر در ساختار شواهد شود. برای مثال:
مهاجم ممکن است مکانیزم‌هایی طراحی کرده باشد که با خاموش شدن سیستم، آثار حمله حذف شوند.
برخی شواهد مانند اطلاعات RAM فقط در زمان اجرا قابل دسترسی هستند.
خاموش کردن سرورهای حیاتی می‌تواند آسیب‌های جدی به کسب‌وکار وارد کند.
بنابراین تحلیل زنده بهترین گزینه برای حفظ یکپارچگی داده‌ها و انجام بررسی سریع است. یعنی شکافتن بدن رایانه درحالت زنده!!
چالش‌ها و ملاحظات
اگرچه Live Forensics ابزار قدرتمندی است، اما نیازمند رعایت دقت بالاست. هرگونه اقدام نادرست می‌تواند موجب تغییر در وضعیت سیستم شده یا اعتبار شواهد را زیر سؤال ببرد. به همین دلیل، کارشناسان باید از ابزارهای Read-Only استفاده کرده و هر قدم را مستند کنند.
#آکادمی_روزبه
مرکز تخصصی CISSP
❤10