یه زمانی آرزو داشتم اینجا بودم
گذشت و نشد ...

تا اینکه این عیدی که گذشت با ۲۶۰ نفر از برو بچ در کانال تلگرام آکادمی روزبه خودمون انجامش دادیم
همین جا ایران

این مقاله به بررسی یکی از آسیب‌پذیری‌های مهم رجیستری ویندوز می‌پردازد که می‌تواند منجر به ارتقای دسترسی (Privilege Escalation) یا اجرای کد شود. نویسنده، James Forshaw از تیم Project Zero، روند کشف آسیب‌پذیری را با رویکرد عملی توضیح می‌دهد. او با مثال‌هایی نشان می‌دهد چگونه مشکلاتی مثل ضعف در reference counting یا مدیریت اشتباه دسترسی (ACL) ممکن است مهاجمان را قادر به سوءاستفاده از رجیستری کند.

یکی از محورهای اصلی مقاله توضیح شرایط مسابقه (race condition) و تاثیر آن در هسته ویندوز است. نویسنده با ارایه نمونه کد (PoC) مراحل کشف، سودجویی و اثبات مشکل امنیتی را بازگو می‌کند. در نهایت به روش‌های دفاعی و اصلاحات مایکروسافت اشاره می‌شود و بیان می‌کند اصلاح دستیابی و اعمال سیاست‌های دقیق‌تر می‌تواند از چنین حملاتی جلوگیری کند.

این مقاله بر اهمیت ردیابی تغییرات رجیستری برای تیم‌های امنیتی و تحلیلگران Forensics تاکید می‌کند و تحلیل رجیستری را یکی از منابع حساس برای شناسایی حملات پیچیده و پیشرفته می‌داند.


#آکادمی_روزبه
مرکز تخصصی CISSP


https://googleprojectzero.blogspot.com/2025/05/the-windows-registry-adventure-8-exploitation.html

تهدید افشای غیرمستقیم: حتی بدون نماد حضور دیجیتال قربانی می‌شویم

ضرورت آموزش OPSEC برای خانواده، تیم حفاظت، میهمانان و رسانه‌ها

روزبه نوروزی


قسمت اول


مقدمه
در دنیای امروز، بسیاری بر این باورند که اگر شخصی حساب کاربری عمومی در شبکه‌های اجتماعی نداشته باشد، شماره تماس و مشخصاتش در اینترنت درج نشده باشد و هیچ اثری از نام و شماره ملی او در اسناد آنلاین یا سایت‌های جستجوی اطلاعات نباشد، پس امنیت او بزرگترین دغدغه نیست و در معرض خطر جدی نیست. این نگرش به شدت ناکافی و گمراه‌کننده است، چرا که خطر افشای غیرمستقیم اطلاعات ـ معروف به «اطلاعات اشتراکی پیرامونی» ـ به سرعت به یکی از مهم‌ترین جنبه‌های امنیت شخصی، حفاظت از افراد مهم (VIPs) و امنیت عملیات (OPSEC) بدل شده است.
ساده‌ترین اشتباه دوستانه، یک پست اینستاگرامی ساده توسط فرزند یا یک خط گفتگوی کوتاه در تاکسی، یا حتی انتشار یک عکس از یک مهمانی خانوادگی توسط یک مهمان می‌تواند حلقه‌های امنیتی بزرگترین افراد کشورها و سازمان‌ها را تهدید کند.
در این مقاله اهمیت مفهوم «افشای غیرمستقیم» به زبان ساده و با تحلیل علمی بررسی و سپس راهکارهای عملی و آموزشی برای کاهش این ریسک‌ها ارائه می‌شود.
۱. افشای غیرمستقیم چیست؟
افشای غیرمستقیم (Indirect Exposure یا Collateral Leakage) زمانی رخ می‌دهد که داده‌ها، آثار، تصاویر، آدرس‌ها و اطلاعات حساس، نه توسط خود شخص بلکه از طریق اطرافیان، فرزندان، دوستان، مهمانان، همکاران، محیط پیرامون یا حتی رسانه‌ها به بیرون درز کند.
۱.۱. شکل‌های اصلی افشای غیرمستقیم:
افشای خانوادگی و نزدیکان:
اطلاعات شخص VIP یا مهم، از طریق عکس‌ها، پست‌ها، یا وویس‌های اعضای خانواده یا دوستان نزدیک افشا می‌شود. مثلاً فرزند یک مقام نظامی، ناخواسته با انتشار استوری سفر، مکان یا برنامه‌های خانوادگی را لو می‌دهد.
اشتباهات انسانی:
مهمان یک همایش، با انتشار عکس تگ‌شده از رویداد، حضور یک فرد خاص را عیان می‌کند. بی‌خبری راننده تاکسی در گفتگو با دیگران نشانه‌ای از محل حضور یک VIP می‌دهد.
رد آشکارسازی محیطی (Venue OSINT):
گاهی نشانه‌های محلی مثل نمای ساختمان، خودرو پارک‌شده با پلاک خاص، المان‌های منحصربه‌فرد در طبیعت یا خیابان، اطلاعات حیاتی موقعیتی را فاش می‌کند.
نشت‌های تصادفی از داده‌های عمومی:
اطلاعات رجیستری خودرو، داده‌های صندوق رای، یا حتی خبرگزاری‌ها و سایت‌های خبری محلی گاهی دیتای غیرمستقیم اما ارزشمند بیرون می‌دهند.

ادامه دارد.....


#آکادمی_روزبه
مرکز تخصصی CISSP

قسمت دوم


۲.سازوکار فنی و روان‌شناختی افشا
۲.۱. چرخه افشای غیرمستقیم

برای فهم عمیق‌تر، بیایید وضعیت یک فرد مهم که هیچ‌گونه حضور رسمی دیجیتالی ندارد را بررسی کنیم:

خانواده و دوستان: همه ما انسان‌هایی در پس زمینه داریم. به‌راحتی ممکن است موقعیت مکانی، برنامه‌های روزانه، علاقمندی‌ها و حتی شماره تماس از طریق عکسی که مادربزرگ در گروه خانوادگی گذاشته یا پستی که همسر در کانال اینستاگرامی خود درج کرده کشف شود.
داده‌های مستعمل و ثانویه: بسیاری از سایت‌های جمع‌آوری دیتا (جمع‌آوری دادگانی)، اطلاعاتی را از دیتابیس‌های سوم‌شخص یا اطلاعات قدیمی می‌گیرند. مثلاً اگر در شهری کوچک فقط یک داروخانه باشد و کسی در مورد فرد مهمی عکس از خرید دارو منتشر کند، خیلی سریع می‌توان رد او را گرفت.
تلاقی داده‌ها (Data Correlation): داده‌های به‌تنهایی بی‌خطر با هم ترکیب می‌شوند و اطلاعات مهمی به‌دست می‌دهند. مثال: تاریخ یک ایمیل کاری + یک پست اینستاگرامی + یک تپسی یا اسنپ می‌تواند الگوی حرکتی فرد VIP را عیان کند.

۲.۲. نقش روان‌شناسی:

اغلب خانواده یا نزدیکان تصور می‌کنند که شبکه کوچک آن‌ها امن است و نکته حساسیت‌برانگیزی در اشتراک یک رویداد یا عکس وجود ندارد. همچنین، ناآگاهی اجتماعی از پیامدهای امنیتی حتی از سوی رسانه‌ها و خبرنگاران مزید بر علت می‌شود.

این همان نقطه‌ای است که آموزش فرهنگی و امنیتی اهمیت دوچندان پیدا می‌کند.
۳. مصادیق واقعی و نمونه‌های عملی
۳.۱. نمونه اول (واقعی):

در یکی از پرونده‌های امنیت ملی یک کشور آسیایی، یک مقام بالارتبه نظامی علناً هیچ‌گونه حساب شبکه اجتماعی و شماره ارتباطی قابل ردیابی نداشت. اما دختر وی در دانشگاه، در پستی اینستاگرامی تصویری از جشن تولد خانوادگی را منتشر کرد که در گوشه عکس تابلوی یک فروشگاه محلی کاملاً مشخص بود. همین عکس توسط مهاجمان برای شناسایی محل زندگی مقام و ارسال بسته مشکوک مورد استفاده قرار گرفت.
۳.۲. نمونه دوم:

در جریان نشست‌های بین‌المللی، بسیاری از محافظان و رانندگان فکر می‌کنند جزو هدف قرار نمی‌گیرند. اما مهاجمان با مشاهده پست‌های خانوادگی، یا بررسی عکس‌های محیطی که حضور وسایل نقلیه خاص یا المان امنیتی به چشم می‌آید، موفق به شناسایی الگوهای انتقال یا حتی شناسایی راننده اختصاصی شده‌اند.
۳.۳. نمونه سوم (Venue OSINT):

در یک مورد مربوط به پژوهش‌های علمی و تکنولوژی، لوکیشن یک کنفرانس توسط یک دانشجو با عکس باکیفیت پانوراما ناخواسته لو رفت. تابلو یک رستوران فست‌فود محلی در پس زمینه به راحتی توسط موتورهای جستجوی تصویر قابل شناسایی بود و مخالفان رویداد امنیت شرکت‌کنندگان را تهدید کردند.


ادامه دارد .....


#آکادمی_روزبه
مرکز تخصصی CISSP

قسمت سوم



۴. نقش رسانه‌ها و اخبار

یکی از خطرناک‌ترین اشکال افشای غیرمستقیم، برداشت اشتباه یا بی‌دقت رسانه‌ها و خبرنگاران است. بسیاری اوقات یک گزارش خبری با عکس‌هایی که پشت‌صحنه ( مساله بازدید رئیس جمهور وقت از سانتریفیوژهای نطنز ) یا جزییات، لوکیشن را نشان می‌دهد، برنامه‌ریزی و عملیات حفاظتی را به سادگی بی‌اثر می‌کند.
مثال:

در بسیاری از کشورها خبرنگاران موظف‌اند هنگام تصویربرداری، جزییات مکانی (تابلو، شماره پلاک خودرو، مسیرهای منحصربه‌فرد یا حتی چهره‌های افراد غیرمرتبط) را حذف کنند. اما حتی یک عکس نابسامان می‌تواند اطلاعات مکانی استراتژیک یا هویت محافظان را فاش کند.
۵. چرا فرد بدون حضور دیجیتال همچنان در خطر است؟

افسانه «حضور نداشتن در اینترنت = امنیت» بارها با شکست روبرو شده است. دلیل اصلی بقای خطرات، ماهیت شبکه‌ای اطلاعات انسان‌هاست. حتی اگر یک فرد هیچ حساب ایمیل، تلفن و شبکه اجتماعی نداشته باشد، معمولاً دست‌کم یکی از افراد پیرامونش (همکار، خانواده، دوستان، مهمانان) در جایی اسمی از او می‌برند، عکسی با او می‌اندازند و یا سهواً اطلاعات کاری یا خانوادگی‌اش را درج می‌کنند.

برخی دلایل و ریشه‌های فنی:

جمع‌آوری داده فراگیر توسط موتورهای جستجو، هوش مصنوعی و OSINT
تلاقی داده‌های عمومی (سایت خبری، عکس‌های عمومی، اسناد اداری با دسترسی عمومی)
داده‌کاوی سایبری توسط مجرمان و مهاجمان برای دستیابی به الگوهای زندگی و نقاط آسیب‌پذیر

۶. راهبردها و چارچوب‌های آموزش OPSEC

مفهوم OPSEC (Operational Security/امنیت عملیات) عبارت است از فرآیند شناسایی، کنترل و محافظت از اطلاعات حساس به‌منظور جلوگیری از افشای غیرمجاز آن‌ها.
۶.۱. آموزش برای خانواده و نزدیکان

شناسایی ریسک‌های بالفعل: آگاهی‌بخشی درباره رایج‌ترین روش‌های افشای ناخواسته حتی در محافل خانوادگی
تدوین پروتکل‌های رفتاری: راهنمایی درباره عدم انتشار تصاویر و داده‌های مکانی، پرهیز از لو دادن اطلاعات سفر و حضور در مکان‌های خاص
تمرین و یادآوری مستمر: یادآوری پیشرفت‌های تکنولوژیکی (مانند جستجوی تصویری و شبکه عصبی‌هایی مثل Google Lens)
افزایش حس مسئولیت نسبت به امنیت جمعی: آموزش اینکه خطای ساده یک فرد می‌تواند یک خانواده یا کل تیم را در معرض خطر بگذارد

۶.۲. آموزش برای تیم‌های حفاظت

تدوین SOP (استاندارد عملیاتی): باید پروتکل‌های سختگیرانه‌تر از افراد حفاظت‌شونده رعایت شود، مانند ممنوعیت کامل عکس‌برداری و رسانه‌ای کردن جزئیات برنامه‌های حفاظتی
سناریوهای شبیه‌سازی شده نفوذ و جمع‌آوری داده: نمایش عملی نمونه‌هایی که بسیار ساده از داده‌هایی مثل مسیر محافظ، نوع خودرو، یا حتی رنگ لباس محافظان برای مهاجمان قابل استفاده است.
آموزش کنترل محیطی: اطمینان از اینکه محیط پیرامونی موقع عکس‌برداری یا برگزاری جلسات محرمانه فاقد هر گونه نشانه شناسایی است.

۶.۳. آموزش برای میهمانان و افراد سوم:

آموزش مختصر پیش از ورود: در مراسم و رویدادهای خاص، بروشور کوتاه یا توضیح شفاهی درباره ممنوعیت عکاسی، لو دادن جزییات، و شیوه رفتار انتشار اطلاعات
رصد شبکه‌های اجتماعی: بررسی و پایش فوری پس از ملاقات‌ها و رویدادها برای شناسایی و واکنش سریع نسبت به موارد افشا شده
سامانه‌های اطلاع‌رسانی شفاف: ایجاد کانال ارتباط فوری برای اعلام هشدارها یا درخواست حذف فوری داده‌ها

۶.۴. آموزش برای رسانه‌ها و خبرنگاران

برگزاری کارگاه‌های تخصصی امنیت رسانه‌ای: آموزش تصویربرداران و خبرنگاران درباره اهمیت حذف جزییات مکانی و افراد غیرمرتبط
تدوین دستورالعمل‌های انتشار محتوا: الزام حذف یا محو اطلاعات مکانی، سوژه‌های غیرمرتبط و نشانه‌های هویتی پیش از انتشار تصاویر یا ویدیوها
گزارش‌دهی رفتارهای پرخطر: ایجاد فرآیند بازخوردگیری به کمک سامانه‌های گزارش‌دهی سهل و سریع از موارد افشای ناخواسته

۷. فناوری‌های نوین و آینده تهدید

در آینده نزدیک، با گسترش هوش مصنوعی و OSINT اتوماتیک، حتی کوچکترین نشانه‌های تصویری با سرعت باورنکردنی تحلیل و مرتبط‌سازی می‌شوند. موتورهای جستجوی تصویر، پایگاه‌داده پلاک خودروها، پردازش زنده داده‌های دوربین شهری و شبکه‌ای از داده‌ها حتی یک حضور گذرا بدون هیچ اکانت فعال را در معرض ردیابی قرار می‌دهند.
مثال:

الگوریتم تشخیص تصویر می‌تواند با مقایسه تاری پشت تصویر یک مهمان در مهمانی، موقعیت این خانه را با هزاران عکس عمومی دیگر تطبیق دهد و مکان دقیق سوژه و مالک را تعیین کند؛ حتی اگر صاحب‌خانه هیچ داده‌ای از خود ارائه نداده باشد.



ادامه دارد....

#آکادمی_روزبه
مرکز تخصصی CISSP

قسمت چهارم


۸. نتیجه‌گیری: آموزش، فرهنگ‌سازی و اجرای OPSEC جامعه‌محور

مقابله با ریسک افشای غیرمستقیم، تنها با آموزش رسمی تیم حفاظت و خانواده شروع نمی‌شود بلکه باید به یک فرهنگ جمعی و اجتماعی تبدیل گردد. در واقع، «شدت به‌روز شدن فناوری‌ها» + «رقابت مجرمان سایبری و هوش مصنوعی»، سطح ریسک را فراتر از امنیت کلاسیک برده است.

هیچ کس حتی بدون “نماد حضور دیجیتال” ایمن نیست مگر اینکه حلقه‌های پیرامونی (خانواده، دوستان، تیم حفاظت و حتی رسانه‌ها) آموزش دیده و فرهنگ OPSEC را در زندگی روزمره به کار گیرند.
توصیه‌ها:

۱. ورود OPSEC به سرفصل آموزش مدارس، خانواده‌ها و دوره‌های سازمانی

۲. ارتقای سواد رسانه‌ای خبرنگاران، دانشجویان و فعالان فضای مجازی: نقش حیاتی دقت جزئیات در امنیت دیگران مورد تاکید قرار گیرد.

۳. پیاده‌سازی سامانه‌های پایش مداوم شبکه‌های اجتماعی و داده‌های عمومی

۴. ترویج فرهنگ دید امنیتی (Security Mindset) به جای واقع‌گرایی‌های کاذب در خصوص نبود حضور دیجیتال


#آکادمی_روزبه
مرکز تخصصی CISSP

فکر میکنم آخر هفته خوبی با این داشته باشید


مستند CIS در مورد WMI


#آکادمی_روزبه
مرکز تخصصی CISSP

دوره مدیریت بحران سایبری
با تاکید بر Cyber Resilience

مدرس : مهندس روزبه نوروزی داری مدرک رسمی CISSP,PMP,ECSA,CEH,ISO27001 LA,Cobit,MCSA,Arcsight
www.roozbeh.academy آشنایی با مدرس دوره

1- مبانی امنیت
2- آنچه از زیرساخت IT لازم است بدانیم
3-مدیریت ریسک عملیاتی / کاربردی
4- برنامه ریزی تداوم کسب و کار
5- آمادگی سیستم های IT و امنیت برای بحران
6-بررسی کنترل های ویژه امنیت و بهروش ها
7-تهیه نقشه راه اجرایی کوتاه مدت برای Cyber resilience
8-هاردنینگ و تنظیمات امن
9-مروری بر تکنیک های کشف نفوذ
10-انجام SECOPS و مدیریت عملیات اختفای امنیتی
11-جمع آوری و تحلیل لاگ
12-فرآیند مدیریت حادثه امنیتی
13- عملیات فارنزیک
14-مدیریت عملیات بحران
15-مدیریت پیمانکار و افشای اطلاعات در زمان بحران
16-ریکاوری امن
17-بررسی درس آموخته ها از حوادث گذشته
18- آزمایشگاه
19- کارگاه عملی در مورد مدیریت بحران
20- آزمون

گروه اول : 3 دو شنبه از 8 تا 17
گروه دوم: 5 پنج شنبه از 9تا 13 - این گروه حضوری و آنلاین است .

هزیته : 8 م تومان

برگزار کننده : شرکت پیشگامان فناوری اطلاعات هامون و آکادمی روزبه
واتس آپ و بله جهت رزو 09902857290
ثابت : 88105008 داخلی 122

از سال ۲۰۱۷ توسط NIST استفاده از SMS بعنوان فاکتور دوم در 2FA منسوخ شده است
ولی هنوز استفاده میشود .!!

#آکادمی_روزبه
مرکز تخصصی CISSP

الان زمان آموزش‌های خاص هست که با کمک #هامون عملی کردیم

دوره مدیریت بحران سایبری

www.haumoun.com


#استاندارد #کاربردی #بموقع

امروز جلسه ششم از دوره CISSP برگزار می‌شود

عدالت آموزشی برترین مهارت‌های امنیت
آنلاین در سراسر ایران

#تجربه
سورپرایزی در تحلیل رجیستری

روزبه نوروزی


در این مقاله، تجربیات و یافته‌های خودم درباره نکات طلایی و کمتر موردتوجه قرارگرفته‌ی Forensics رجیستری در ویندوز به اشتراک می‌گذارم. نکاتی که بارها در دنیای واقعی، سبب موفقیت در کشف دقیق نفوذ یا Persistence مهاجمین بوده‌اند.

اول ببینیم چرا رجیستری ویندوز یک Artifact ویژه‌ست؟

رجیستری محل ذخیره تنظیمات سیستم، برنامه‌ها، کاربر، تاریخچه فعالیت و حتی گاهی ردپای بدافزار و حملات است.
اما برخلاف ظاهر ساده‌اش، لایه‌های پنهان و پیچیده‌ای دارد که بسیاری از تحلیلگران به آن بی‌توجه‌اند.

سورپرایز کلیدی: هنر بازسازی کامل رجیستری

یکی از نکات حیاتی و کمتر آموزش‌داده‌شده، لزوم ترکیب سه منبع برای بازسازی دقیق رجیستری است:

فایل ثبت‌شده روی دیسک (مانند SOFTWARE)
فایل‌های Transaction Log (مانند SOFTWARE.LOG1)
و Hiveهای لودشده در حافظه (RAM)

چرا مهم است؟

بسیاری از تحلیلگران، فقط به فایل اصلی رجیستری نگاه می‌کنند. اما:

تغییرات اخیر یا حملات سریع معمولاً ابتدا در RAM و Transaction Log ثبت می‌شوند و شاید هرگز روی فایل دیسک نوشته نشوند.
بنابراین اگر فقط دیسک را بررسی کنیم، ممکن است یک حمله کاملاً از چشم ما دور بماند، مخصوصاً در سناریوهایی مثل Persistenceهای memory-only یا هنگام crash و خاموش شدن ناگهانی سیستم.

مثال واقعی از Gap عملیاتی

فرض کنید هکری، حمله‌ای برمبنای تغییر مقدار Autostart رجیستری اجرا کرده، اما سیستم قبل از Write شدن تغییرات، کرش می‌کند یا عمداً ریست می‌شود.

در این شرایط، فقط Hive رجیستری در RAM یا Transaction Log، شواهد تغییر را نگه‌داشته است — و فایل اصلی دیسک همچنان “پاک” به‌نظر می‌رسد.
راهکار ارزیابی کامل:

برای تحلیل کامل و اصولی، لازم است همیشه این مراحل را رعایت کنید:

استخراج کامل فایل‌های Registry و Logها از هارد دیسک (اگر سیستم روشن نبود)
استخراج و dump کردن حافظه (Memory) اگر سیستم زنده بود
تحلیل همزمان با ابزارهایی نظیر Cyber Triage، Registry Explorer، Rekall، Velociraptor و…
مقایسه Memory و Disk – تغییری فقط در مموری هست و روی دیسک نوشته نشده؟
تحلیل دقیق Last Write Time و بررسی همبستگی زمانی و رفتاری برای تایم‌لاین‌سازی حملات و Persistence

نکات تکمیلی برای متخصصین

این LastWriteTime فقط نشانه یک Change است، اما چه چیزی باعث Change شده؟ اضافه کردن Value؟ تغییر Subkey؟ حذف مقدار قبلی؟
ترکیب داده‌های Transaction Log می‌تواند بعضی اوقات تغییرات موقتی و نیمه‌کاره (Partial) را هم مشخص کند.
برخلاف باور عمومی، بعضی هک‌ها در RAM باقی می‌مانند و مهاجم‌ها می‌توانند با حملات Fileless اثرشان را فقط در RAM و Transaction Log نگه دارند (و نه روی Main Registry File).


#آکادمی_روزبه
مرکز تخصصی CISSP

در لینک زیر بدافزاری تحلیل شده است که آماده است که اگر با هوش مصنوعی و مدل‌های زبانی مورد تحلیل قرار گرفت با تکنیک prompt injection اونها رو دور بزند و برنامه تحلیل کننده آنها را سالم اعلام کند

#آکادمی_روزبه
مرکز تخصصی CISSP

https://research.checkpoint.com/2025/ai-evasion-prompt-injection/

مروری بر روش‌های ترند در هانت


در دنیای فعلی امنیت سایبری، بیش از هر زمان دیگری مهاجمان به جای استفاده از بدافزارهای کلاسیک، به سراغ حملاتی رفته‌اند که با ابزارها و قابلیت‌های داخلی سیستم‌عامل اجرا می‌شوند. این حملات با نام LOTL (Living Off The Land) مشهورند و چالش اصلی آن‌ها برای تهدیدیابی این است که غالباً هیچ ردپای مشکوک یا فایل اجرایی خاصی بر جای نمی‌گذارند.

در این مقاله، به بررسی یک دیدگاه و سبک نوین در Threat Hunting می‌پردازم که تمرکز آن شکار این حملات در لایه‌ای بالاتر از IOCها و Signature است ـ با اتکا بر رفتار، فرضیه‌سازی، و تحلیل توالی رخدادها.

تعریف و اهمیت حملات LOTL

مقوله LOTL به معنای سوءاستفاده مهاجم از ابزارهای استاندارد، اسکریپت‌ها و سرویس‌های سیستم‌عامل (مثل PowerShell، WMI، RDP و…) است تا فعالیت مخرب خود را در پوشش رفتار مشروع انجام دهد. این رویکرد، شناسایی توسط AV، EDR و حتی SIEMهای مبتنی بر signature را بسیار سخت می‌کند و مهاجم می‌تواند تا هفته‌ها یا حتی ماه‌ها در سایه باقی بماند.

تهدیدیابی سنتی: چرا کافی نیست؟

در گذشته، hunting بیشتر مبتنی بر جستجو بر اساس IOC یا signature بود؛ آی‌پی مشکوک، هش فایل، یا وقوع یک رخداد شناسایی‌شده. این مدل hunting اغلب واکنشی است، وابسته به شواهد ملموس یا هشدارهای آماده.

اما حملات LOTL دقیقاً این مدل دفاع را دور می‌زنند؛ زیرا رفتارشان شبیه کارکرد عادی سیستم است، تنها تفاوت در توالی اجرا، بافتار (Context) و ترکیب رفتارهاست.

سبک جدید شکار تهدید: از Hypothesis-driven تا Behavior-based

اخیراً در یکی از مقالات مطرح ۲۰۲۵ به این نکته پرداخته شده که برای آشکارسازی حملات LOTL باید threat hunting را به سطحی فراتر از واکنش به هشدارها و Signatureها ببریم و رویکرد فعال و فرضیه‌محور را جایگزین کنیم.

کلیدواژه‌ها و رویکردها:

🔹️ فرضیه‌سازی پیش‌دستانه:

بجای انتظار برای هشدار، فرضیه‌هایی مثل «چه می‌شود اگر PowerShell بعد از ریموت RDP اجرا شود؟» یا «آیا افزایش ناگهانی ارتباطات WMI نشانه lateral movement نیست؟» طرح‌ریزی و براساس آن شکار آغاز گردد.

🔹️ مبنای رفتاری و تحلیلی:

تمرکز روی رفتار ابزارهای داخلی و Sequence رخدادها: اجرای cmd و powershell در ترکیب با هم، استفاده غیرمعمول از Task Scheduler یا ارتباطات مشکوک بعد از اجرای اسکریپت.

🔹️ کار با Telemetry عمیق و گسترده:

داده‌های EDR، Sysmon یا Memory Forensics باید لایه به لایه بررسی شوند تا ارتباط رخدادهای ظاهراً معمول در کنار هم، تصویر حمله را آشکار کند.

تحول عملیاتی در تیم‌ها؛ نکات کاربردی

و SOC و مهندسان کشف باید علاوه‌بر IOC به دنبال نشانه‌های رفتاری و تغییرات subtle در زنجیره عملیات مهاجم باشند.
فرضیه‌سازی و آزمون آن تبدیل به چرخه دائمی hunting و یادگیری می‌شود؛ با هر شکار موفق یا اشتباه، الگوریتم و ruleهای تشخیصی باید اصلاح و غنی‌تر گردند.
ابزارهایی چون Sysmon، UEBA، و EDRهایی با قابلیت correlation، محور hunting مدرن خواهند بود.


#آکادمی_روزبه
مرکز تخصصی CISSP

#تجربه
#بهسازی_SOC

اگر سیسمون رو بر اساس تنظیمات swiftonsecurity یا olafhartong انجام می‌دهید تا دقت خوب و کاهش حجم لاگ داشته باشید بدانید چه ریسک هایی رو ندید میگیرید!!

در این مقاله به اونها می‌پردازم

روزبه نوروزی


لیست حملاتی که با config مینیمال Sysmon ممکن است قابل کشف نباشند
۱. حملهLOTL (Living Off The Land) با ابزارهای بومی کمتر رایج

اجرای ابزارهایی مانند certutil.exe، mshta.exe، یا forfiles.exe اگر فقط روی powershell و cmd حساسیت باشد، معمولاً در مینیمال config اصلاً Log نمی‌شوند.

۲. برخی تکنیک‌های Fileless Malware

حملاتی که کد مخرب را مستقیماً در حافظه تزریق می‌کنند (مانند process hollowing یا reflectively loaded DLL)، اگر Log مربوط به Memory/Process creation دقیق شناسایی نشود (Event ID 8: CreateRemoteThread، Event ID 10: ProcessAccess).

۳. تغییرات مخفی در Registry

تغییر کلیدهای خاص (مثل Run، Image File Execution Options، یا کلیدهای less-known مانند AppInit_DLLs، UserInit) اغلب Log نمی‌شوند اگر فقط کلیدهای خاصی مانیتور شوند.

۴. انجام Network Lateral Movement

اگر فقط ترافیک غیر لوکال یا پورت‌های مشهور log شود، ترافیک غیرمعمول در داخل شبکه (مثلاً روی پورت 4444 یا WMI) از دست می‌رود (Event ID 3: Network Connection معمولاً حسابی فیلتر می‌شود).

۵. تغییرات پیشرفته در Scheduled Tasks

اگر config فقط schtasks.exe را log کند و نه فایل‌های XML یا عملیات از طریق API ویندوز، ساخت task با ابزارهای بومی در EventID 1 دیده نمی‌شود.

۶. تهدیدات مبتنی بر Named Pipe/IPC

همزادسازی دسترسی بین پردازش‌ها (Event ID 17/18: Pipe Created/Connected) در اکثر configها خاموش است، در نتیجه حملات IPC-Based قابل کشف نیستند.

۷. دور زدن با Parent-Child Spoofing

اگر ParentImage logging صرفاً محدود به پروسس‌های کلاسیک باشد، حملاتی با process injection یا hollowing که Parent غیرعادی‌ دارند، تشخیص داده نمی‌شوند.

۸. وجودPersistenceهای نامتعارف (WMI Event Consumer/Filter)

ایجاد WMI Permanent Event Subscription (Event ID 19, 20, 21) اغلب در configهای سبک logging نمی‌شوند.

۹. وExecution از طریق کمندهای جستجوگر ویندوز

اجرای مخرب از طریق Search-ms protocol، searchui.exe یا حتی explorer با argumentهای دقیق؛ اگر فقط روی powershell و cmd حساسیت باشد نادیده گرفته می‌شود.

۱۰. وDLL Sideloading و اجرای DLLهای نامعلوم

اگر FileCreate مربوط به فولدرهای مشکوک (مانند ProgramData یا TEMP) log نشود، این تکنیک‌ها مخفی می‌مانند.


#تجربه
#آکادمی_روزبه
مرکز تخصصی CISSP

در دنیای پیچیده امنیت اکتیو دایرکتوری، مدیریت دسترسی‌ها و مکانیزم‌های Delegation نقشی حیاتی در حفظ امنیت زیرساخت ایفا می‌کنند.
یکی از حوزه‌هایی که گهگاه کمتر مورد توجه قرار می‌گیرد اما ظرفیت بالایی برای ایجاد تهدیدات جدی دارد، بحث Delegation به ویژه در قالب Unconstrained Delegation است.
در این مدل، حساب‌ها مجاز هستند بدون محدودیت اعتبارنامه کاربران را به سرویس‌های دیگر منتقل کنند؛ موضوعی که اگر به‌درستی مدیریت نشود، می‌تواند به مهاجمان امکان دسترسی گسترده و حتی تصرف کامل Domain را بدهد.

مساله Group Managed Service Account یا gMSA یکی از انواع حساب‌هایی است که برای مدیریت سرویس‌ها و برنامه‌ها در محیط‌های بزرگ استفاده می‌شود. هرچند طراحی gMSA با هدف بهبود امنیت انجام شده، اما در صورت استفاده نادرست یا پیکربندی اشتباه، به نقطه ضعف تبدیل خواهد ‌شد؛ به ویژه زمانی که با Unconstrained Delegation ترکیب شود.

این مقاله به بررسی چرایی اهمیت این تهدید، روش‌های شناسایی و بهره‌برداری مهاجمان، و راهکارهای کاهش ریسک و بهبود امنیت gMSA و Delegation می‌پردازد


این مقاله حمله به حساب‌های gMSA با Unconstrained Delegation را توضیح می‌دهد. مهاجم با شناسایی gMSAهای دارای این ویژگی، بررسی سرورهای هدف و استخراج پسورد (از طریق دسترسی پرمیشن یا حمله NTLM Relay)، می‌تواند کنترل کامل دامنه را به دست آورد. ابزارهایی مثل Impacket و gMSADumper این پروسه را تسهیل می‌کنند. اشیاء غیرفعال هم خطرناک هستند و باید حذف یا هاردن شوند. این مسیر حمله اغلب نادیده گرفته می‌شود و برای حفاظت باید Unconstrained Delegation در سطح دامنه محدود شده و دسترسی‌ها به دقت بررسی و محدود شوند.

#آکادمی_روزبه
مرکز تخصصی CISSP
https://nothingspecialforu.github.io/UCgMSAExploitation/

نمونه ای از پلی بوک حملات

#آکادمی_روزبه
مرکز تخصصی CISSP

دور خوردن EDR های مهم

نویسنده نشان می‌دهد که چگونه با io_uring (که مثل یک تونل خاص و کم‌سروصدا برای کار با فایل/شبکه به لینوکس اضافه شده)، می‌شود داده‌ها را خواند/نوشت/ارسال کرد بدون آنکه EDRهای مهم (مثل CrowdStrike Falcon, SentinelOne, یا حتی بعضی نمونه‌های Open Source مثل Wazuh اگر به syscall tracing تکیه کنند) متوجه شوند.
کد ارائه‌شده، یک backdoor عملی است که داده و ران‌فرمان از C2 می‌گیرد و همه عملیاتش را بدون syscall کلاسیک انجام می‌دهد.
اگر در تیم آبی کار می‌کنید، باید حواستان باشد که سیستم فقط با بررسی classic syscallها امن نیست.

راه‌حل: باید روی بحث kernel tracing، eBPF مخصوص io_uring، و شبکه تمرکز کنید.


این مقاله یک آگاهی مهم برای عملیات SOC/LINUX EDR است:

روش‌های مبتنی بر syscall hooking کافی نیست!
باید ابزارهای جدید و مانیتورینگ مبتنی‌بر eBPF/Kernel-level را جدی‌تر بگیرید.
برای Red Teamها، io_uring یک راه جذاب برای فرار از بسیاری از محصولات EDR-Linux است (تا زمانی که detection rule به آن نخورده).


#آکادمی_روزبه
مرکز تخصصی CISSP

https://matheuzsecurity.github.io/hacking/evading-linux-edrs-with-io-uring/

“درب‌ پشتی” و “آسیب‌پذیری” در دستگاه‌های ذخیره‌سازی (Storage Devices)

در خصوص ذخیره سازها مثل SAN، NAS، اکسترنال هارد، و حتی درایوهای SSD و HDD آسیب پذیری از نگاه امنیت سایبری چند بُعد دارد. در ادامه به نکات عملی، تجربیات واقعی و تهدیدات شناخته‌شده می‌پردازم که برای یک SOC یا تیم امنیت می‌تواند ارزشمند باشد:
۱. درب‌ پشتی (Backdoor) در دستگاه‌های ذخیره‌سازی
الف. بک‌دورها در فریم‌ویر (Firmware Backdoors)
واقعیت: سازندگان، یا کمپانی‌های با سیاست ساخت ODM، گاهی عمداً یا سهواً دسترسی مخفی برای مدیریت، پشتیبانی یا مقاصد بدافزار (مانند Neutrality یا Cloud backend) باقی می‌گذارند.
نمونه واقعی:در سال ۲۰۱۴، شرکت Western Digital فریم‌ویری در برخی NAS ها داشت که درب‌پشتی آن، به ادمین اجازه Telnet دسترسی مخفی بدون لاگ را می‌داد.
ب. دستکاری‌ و آسیب‌پذیری در میکروکنترلر SSD/HDD
در BadUSB و ابزارهایی مثل HIDD (Hacker’s HDD backdoor): مهاجم فریم‌ویر SSD/HDD را با یک بیلد آلوده جایگزین کرده و مثلاً کانال ارتباطی C2 پنهان یا حافظه رمزنگاری‌شده جاسازی می‌کند.
یادداشت: کشف این نوع بک‌دورها با ابزارهای متداول بسیار دشوار است و فقط با تحلیل کم‌لایه و ابزارهای Forensics مخصوص قابل انجام است.
۲. آسیب‌پذیری‌های رایج (Vulnerabilities)
الف. Remote Code Execution و Web-based Backdoor
اکثر Storageهای تحت شبکه (مثل QNAP، Synology، WD My Cloud) وب‌سرور یا SMB دارند، اغلب آسیب‌پذیر به RCE یا login bypass بوده‌اند.
نمونه واقعی:در اوایل ۲۰۲۴ چند آسیب‌پذیری بحرانی QNAP و Synology (CVE-2024-21899 و CVE-2024-2879) به هکر اجازه می‌داد بدون اعتبارسنجی، دستورات سیستمی اجرا و حتی فایل‌ها را پاک یا رمزگذاری کند.
ب. آسیب‌پذیری‌هایی مثل SMB Ghost، EternalBlue یا WebDAV
بسیاری از NASها از ماژول‌های قدیمی Samba استفاده می‌کنند و به‌شدت در معرض آسیب‌پذیری‌های اساسی‌اند که حملات wormable را فعال می‌کنند.
ج. ضعف در احراز هویت و مدیریت دسترسی
ذخیره‌سازی پیش‌فرض با پسورد ساده/تکراری (admin/admin یا guest/guest)
فعال بودن FTP/Telnet بدون رمزنگاری
۳. تجربیات شکار و تحلیل در SOC
لاگ‌های Storage اغلب از لاگ مرکزی سرور جداست و به همین دلیل بک‌دور در شبکه کمتر آشکار می‌شود مگر با Network Threat Hunting روی پورت‌ها و پروتکل‌های معمول دستگاه‌های ذخیره‌سازی (مانند SMB، NFS، iSCSI).
سناریوی واقعی: در یک حمله باج‌افزاری به شبکه سازمانی، یک NAS قدیمی به سر پل انتقال اولیه باج‌افزار تبدیل شده بود چون تنها این دستگاه به‌علت firmware قدیمی و تنظیمات پیش‌فرض قربانی RCE شده بود.
تیم Hunting با تحلیل پکت‌های مشکوک روی پورت‌های ۴۴۵ و ۸۰ و مقایسه رفتار ترافیکی با الگوهای عادی، فعالیت بدافزار و حتی ایجاد کانال ارتباطی پنهان (C2) از طریق آن دستگاه را کشف کرد.
۴. اقدامات عملی و راهکارها
به‌روزرسانی مداوم فریم‌ویر و نظارت بر advisories شرکت سازنده
غیرفعال کردن سرویس‌های غیرضروری (FTP، Telnet، UPnP)
اجباری کردن MFA یا حداقل پسورد قوی، خصوصاً برای دسترسی مدیریت
یکپارچه‌سازی لاگ Storageها در SIEM
بررسی دوره‌ای دستگاه‌ها با ابزارهایی مثل Binwalk و firmware scanner برای شناسایی شِل یا بک‌دورهای مخفی


#آکادمی_روزبه
مرکز تخصصی CISSP


در دوره مدیریت بحران سایبری به این مقولات حاصل از تجربیات می‌پردازم
تماس با واتس اپ و بله 09902857290