کشف امروز

نصب یا اجرای مفسر پایتون روی سیستم‌ها عمدتاً بدون نظارت انجام می‌شود، درحالی‌که همین موضوع می‌تواند به سوءاستفاده و ایجاد بک‌دور توسط مهاجمان منجر شود؛ نمونه‌ای امروز با آن روبرو بودم
پیشنهاد میدم پس از شناسایی رفتار نرمال، هر اجرای غیرمنتظره‌ پایتون باید به‌عنوان هشدار اولیه در نظر گرفته شود. آیا پایتون به‌طور معمول در سازمان‌ شما روی سیستم‌ها، چه به‌صورت مستقل و چه به‌همراه سایر نرم‌افزارها، نصب است ؟


دقت کنیم. تمیز کار کنیم

امروز می‌خواهم داستان یک "کوری موقت" را با شما به اشتراک بگذارم.

چند ماه پیش، درگیر تحلیل یک مورد امنیتی پیچیده بودیم. تمام ابزارهای استاندارد ما، از EDR گرفته تا آنالیزرهای لاگ، هیچ چیز مشکوکی را نشان نمی‌دادند. همه چیز در داشبورد ها “سبز” بود و سیستم به ظاهر پاک به نظر می‌رسید. تیممون تقریباً داشت به این نتیجه می‌رسید که یک “هشدار کاذب” (False Positive) بوده است.
اما یک چیزی در این میان درست نبود. یک “حس” درونی که از صدها سناریوی قبلی نشأت می‌گرفت، به من می‌گفت که مهاجم هنوز آنجاست، فقط خیلی خوب خودش را پنهان کرده است. شاید یک دلیل آن بود که آن بلوغی که انتظار داشتم در آن SOC و آن بانک دیده نمیشد . مطمئن بودم همه کلاینت ها و سرور ها ۱۰۰ درصد ایجنت EDR فعال و به روز ندارند و شبکه با آنکه در حوزه بانکی بود، سگمنتیشن مناسب را نداشت .
اینجا بود که ابزارها را کنار گذاشتم و به سراغ “اصول” رفتم.
به جای پرسیدن “ابزار چه می‌گوید؟” از خودم پرسیدم: “اگر من مهاجم بودم، چطور از دید ابزارها پنهان می‌شدم؟”. این سوال، مسیر تحلیل را به کلی تغییر داد. شروع کردم به بررسی ارتباطات شبکه‌ای که در نگاه اول عادی به نظر می‌رسیدند اما در “زمان‌بندی” و “حجم داده” یک الگوی غیرعادی و بسیار ظریف داشتند. مهاجم از یک پروتکل کاملاً استاندارد مثل BITS برای استخراج داده استفاده می‌کرد، اما به شکلی که هیچ قانونی (Rule) در ابزارهای ما آن را تشخیص نمی‌داد.
آن روز، ابزارها کور بودند، اما “تفکر هانتینگ” بینا بود. ما مهاجم را نه با یک امضای جدید، بلکه با درک عمیق از “رفتار” او پیدا کردیم.
این دقیقاً همان چیزی است که در دوره هانتینگ و فارنزیک روی آن تاکید دارم. ما یاد می‌گیریم چطور فراتر از داشبوردها و هشدارها فکر کنیم. یاد می‌گیریم چطور وقتی ابزارها سکوت کرده‌اند، ما همچنان سوالات درست را بپرسیم. چون یک مهاجم حرفه‌ای، اولین کاری که می‌کند، دور زدن ابزار شماست. آیا شما برای آن روز آماده‌اید؟
اگر می‌خواهید این سطح از تحلیل را تجربه کنید و از یک اپراتور ابزار به یک “شکارچی” واقعی تهدید تبدیل شوید، به من در واتس‌اپ یا بله پیام دهید. در این دوره مثال‌هایی چون مورد فوق رو کاملا برای شما می‌شکافم تا طرز تفکر و استدلال درست رو باهم مرور کنیم و یاد بگیرید .
اطلاعات تماس و ثبت‌نام:
WhatsApp & BALE: 09902857290
لیست کامل دوره‌ها و زمانبندی را می‌توانید از همین شماره دریافت کنید

خلاصه عنوان دوره ها:

سطح ۱ امنیت

سنز ۶۰۸ هانت و IR

سنز ۵۹۹ تیم بنفش

دوره CISSP

همه جای ایران به هر سبکی ؛ سرای من است

درحال ضبط دوره امنیت سایبری اختصاصی سازمان



واتس اپ و بله برای دریافت خدمات 09902857290

مهم نیست دوره سطح ۱ رو کجا رفتین.
اونچه من بررسی میکنم و یاد میدم حاصل تجربه خودم در ۲۳ سال از اونچه بلد هستم است + اونچه میدونم در جاهای دیگه گفته نمیشه.
پس
هرجا دوره رفته باشین باز سطح ۱ پیش من یادگرفتنی زیاد داره .
بریم یکبار واسه همیشه اساسی بکوبیم بیاریم بالا !!
دلیل اینکه سطح ۱ رو گذاشتم هم همینه .

دست نوجوانی که تو فامیل دارید بگیرید و بیارید تو این وبینار

شاید علاقه اش پیدا شد و بتونه حتی از ۱۷ سالگی در یه رشته فنی پول دربیاره

از ۱۶ تا ۶۰ سال میتونه از این وبینار استفاده کنه

شنبه شب ساعت ۲۰
رایگان - نقشه راه اشتغال در امنیت و درآمد زایی

https://eseminar.tv/wb162135



به روزرسانی :

و مانند همیشه اکثر دوستان و هموطنان در لحظات آخر ثبت نام میکنند. 🙂 زمان تصویر فوق ساعت یک بامداد ۱۷ مرداد ماه

ثبت نام وبینار آشنایی با مسیر اشتغال در امنیت و درآمد زایی مجددا تجدید بلیط شد.

شبحی در لاگ‌ها؛ ردپایی که قرار نبود دیده شود

اخیراً مقاله‌ای خواندم که مفهوم تاریخی پالیم‌سس (متنی که روی نوشته قبلی نوشته می‌شود و آثار قبلی هنوز کم‌رنگ باقی می‌مانند) را به تحقیقات DFIR ربط می‌داد. ایده جالبی بود: در دنیای واقعی، حتی وقتی متن اصلی پاک یا بازنویسی می‌شود، با ابزار مناسب می‌توان آن را بازیابی کرد.

در امنیت سایبری هم، مهاجمان سعی می‌کنند با دستوراتی مثل:



wevtutil cl Security
fsutil usn deletejournal /D C:
sdelete -z C:

رد خود را پاک کنند. اما درست مثل پالیم‌سس، حقیقت به‌طور کامل نابود نمی‌شود — قطعاتی از داده هنوز در جاهایی که انتظارش را ندارند، باقی می‌مانند: از USN Journal گرفته تا متادیتای فایل‌سیستم.

برای من، این یادآوری بود که کار ما در DFIR، پیدا کردن آن لایه‌های زیرین است؛ همان ردهای محو که قرار نبود دیگر دیده شوند… ولی ما می‌بینیمشان.


میتونیم در دوره ۶۰۸ در این مورد بیشتر گپ بزنیم
از شهریور این ماراتن رو شروع میکنم
👌در برند روزبه ، این یک تبلیغ نیست؛ بلکه دعوتی است برای آموزش و یادگیری حرفه ای دوستانه .


https://nasbench.medium.com/the-ghost-in-the-logs-dfir-through-a-palimpsest-lens-b592ef733f4f

#تجربه

یکی از اصول کلیدی در حفظ امنیت و کارایی اکتیو دایرکتوری ، انجام بازبینی‌های دوره‌ای و منظم است. توصیه اکید می‌شود که حداقل هر شش ماه یک بار، یک ممیزی کامل از وضعیت کامپیوترها در AD به عمل آید. در طی این بازبینی، باید به دنبال نقاط ضعف امنیتی بالقوه بگردیم. برای مثال، وجود سیستم‌عامل‌های منسوخ و قدیمی که دیگر پشتیبانی نمی‌شوند، یک حفره امنیتی جدی محسوب می‌شود. همچنین، فعال بودن پروتکل‌های آسیب‌پذیری یا مکانیزم‌های احراز هویت ضعیف مثل می‌تواند کل شبکه را در معرض خطر قرار دهد.

بخشی حیاتی از این فرآیند، شناسایی کامپیوترهای غیرفعال یا “مرده” (Stale Computers) است. این‌ها حساب‌های کامپیوتری (Computer Accounts) هستند که در اکتیو دایرکتوری وجود دارند اما به هیچ ماشین فیزیکی یا مجازی فعالی متصل نیستند. این حساب‌ها باید ابتدا شناسایی، سپس غیرفعال (Disable) و پس از اطمینان کامل، از دیتابیس AD حذف شوند تا از بروز مشکلات امنیتی و مدیریتی جلوگیری شود.

برای استخراج اطلاعات مورد نیاز جهت این تحلیل، می‌توانیم از دستورات پاورشل بهره ببریم. سه ویژگی (Attribute) کلیدی در این زمینه به ما کمک می‌کنند:

یک OperatingSystem: نوع و نسخه سیستم‌عامل را مشخص می‌کند.
و PasswordLastSet: نشان‌دهنده آخرین زمانی است که رمز عبور حساب کامپیوتر در AD تغییر کرده است. به طور پیش‌فرض، این اتفاق هر ۳۰ روز یک بار رخ می‌دهد.
وLastLogonDate: آخرین باری که کامپیوتر با یک دامین کنترلر ارتباط برقرار کرده را ثبت می‌کند. این تاریخ، معیار بسیار خوبی برای تشخیص فعالیت یک سیستم است.


دستور پاورشل پایه برای جمع‌آوری اطلاعات:

یک دستور ساده و کاربردی برای شروع، جمع‌آوری اطلاعات اصلی کامپیوترها و مرتب‌سازی آن‌ها بر اساس سیستم‌عامل است. این دستور به شما دید اولیه‌ی خوبی از وضعیت کلی سیستم‌ها می‌دهد:




Get-ADComputer -Filter * -Properties OperatingSystem, LastLogonDate, PasswordLastSet |
Sort-Object OperatingSystem |
Select-Object Name, OperatingSystem, LastLogonDate, PasswordLastSet

دستور پیشرفته برای شناسایی کامپیوترهای غیرفعال:

برای یک تحلیل دقیق‌تر و شناسایی سیستم‌های غیرفعال، می‌توانیم دستور را به شکل زیر بهینه کنیم. در این کامند جدید، ما یک متغیر برای تعیین بازه زمانی عدم فعالیت (مثلاً ۹۰ روز) تعریف کرده و سپس فقط کامپیوترهایی را فیلتر می‌کنیم که در این مدت هیچ فعالیتی نداشته‌اند. خروجی نیز برای خوانایی بهتر فرمت‌بندی شده است.


# تعریف بازه زمانی؛ کامپیوترهایی که بیش از 90 روز غیرفعال بوده‌اند را پیدا کن
$inactiveDays = 90
$inactiveDate = (Get-Date).AddDays(-$inactiveDays)

# دریافت کامپیوترهای غیرفعال، مرتب‌سازی بر اساس آخرین تاریخ لاگین و نمایش اطلاعات کلیدی
Get-ADComputer -Filter {LastLogonDate -lt $inactiveDate -or LastLogonDate -notlike "*"} -Properties OperatingSystem, LastLogonDate, PasswordLastSet, Enabled |
Sort-Object LastLogonDate |
Format-Table Name, OperatingSystem, Enabled, @{Name="Last Logon"; Expression={$_.LastLogonDate}}, PasswordLastSet -AutoSize

این دستور پیشرفته به مدیران شبکه کمک می‌کند تا به سرعت کامپیوترهای نیازمند بررسی را شناسایی کرده و برای غیرفعال یا حذف کردن آن‌ها اقدام نمایند

مرجع: درس سطح ۱ امنیت آکادمی روزبه


لیست دوره های من رو میتونید از واتس اپ و بله 09902857290 دریافت کنید.

داستان پاورشل

قسمت ۱

اون بنده خدایی که میاد کلا پاورشل رو در سازمان میبنده چون در یه دوره امنیت و SOC دیده که با پاورشل خیلی کارها میکنند رو باید دوره CISSP بفرستید !!

باید یادبگیره زندگی کردن واسه یک امنیت چی؛ وسط قابل اجرا بودن پاورشل معنی داره و بخاطر این بهش پول میدن . لذا اگر میای یه ابزار مهم که در شبکه های بزرگ حیاتیه رومیبندی؛ بهتره استعفا بدی یا حق دارند که بهت حقوق کم میدن .

#با_عرض_معذرت

پی نوشت: کسانی که فقط سازمانشون یه ادمین داره و مجبوره ، پاورشل رو ببنده و سازمان‌هایی که امنیت بالغی ندارند رو فاکتور میگیرم و ببندن، خلاص!.

اگر میخوای بیشتر از دلایل این نوشته مطلع بشی پست های بعدی رو بخون


دوره های آکادمی روزبه درحال ثبت نام

پاورشل قسمت ۲


پاورشل، مسدودسازی یا مدیریت هوشمند؟ یک انتخاب استراتژیک

پیرو صحبتی که در مورد بستن یا باز بودن پاورشل انجام دادم و دوستان هم نظراتی داشتند، لازم دیدم نظر جمع بندی شده ای از زاویه معمار امنیت ( نه فقط مدافع ) بنویسم .

در دنیای امنیت سایبری، بحث بر سر غیرفعال کردن PowerShell روی کلاینت‌ها و سرور ها یک موضوع داغ است. متخصصانی که نگران حملات پیشرفته «Living-off-the-Land» هستند، به درستی به قدرت این ابزار در دست مهاجمان اشاره می‌کنند و مسدودسازی آن را راهی برای کاهش سطح حمله می‌دانند. این نگرانی قابل درک است، زیرا PowerShell می‌تواند برای اجرای کدهای مخرب بدون نیاز به فایل و با دسترسی عمیق به سیستم‌عامل مورد استفاده قرار گیرد.

با این حال، این رویکرد یک راه‌حل استراتژیک نیست. بستن PowerShell نه تنها بهره‌وری تیم IT را با مختل کردن اتوماسیون و مدیریت متمرکز به شدت کاهش می‌دهد، بلکه یک حس امنیت کاذب ایجاد می‌کند. مهاجمان به سادگی با استفاده از تکنیک‌های Bypass، از کتابخانه‌های اصلی PowerShell در فرآیندهای دیگر استفاده می‌کنند و این بار، فعالیت آن‌ها در غیاب لاگ‌های حیاتی PowerShell، کاملاً پنهان می‌ماند.

رویکرد برتر، «مدیریت به جای مسدودسازی» است. با پیاده‌سازی کنترل‌های چندلایه مانند سیاست اجرایی AllSigned، استفاده از ابزارهای قدرتمند Whitelisting نظیر WDAC، و فعال‌سازی لاگ‌برداری پیشرفته، PowerShell از یک تهدید به یک سنسور امنیتی قدرتمند تبدیل می‌شود و می‌تواند حتی در عملیات فریب و هانت مورد استفاده قرار گیرد. این استراتژی نه تنها ریسک را به شکل مؤثرتری مدیریت می‌کند، بلکه قابلیت‌های حیاتی سازمان را حفظ کرده و به تیم‌های امنیتی دید و کنترل بی‌نظیری می‌بخشد.

اصولا همیشه در درس CISSP تحلیل میکنم که امنیت باید توانمند ساز سازمان در انجام وظایف بیزنسی باشد نه مانع !! (و این موضوع رو بصورت فنی در کارگاه تمرین میکنیم. ) اما با حذف پاورشل، ما عملا قدرت اجرایی مهمی را از واحد IT سازمان و در حقیقت از سازمان می‌گیریم و هزینه های راهبری فضای سایبری را برای سازمان افزایش می‌دهیم. این موضوع مانعی برای توسعه امنیت است چرا که منافع ذینفعان را نادیده گرفته و دشمنانی در سازمان ایجاد میکند و همچنان چوب لای چرخ می‌گذارد. ضمنا با این نگاه در حذف پاورشل ما دید به امنیت را منفی می‌کنیم.

اما باید گفت این نگاه «مدیریت به جای مسدودسازی» را هم نمی‌توان از هر کسی انتظار داشت. مدافع ( تیم آبی) باید با اجرای پاورشل و باز بودن آن مخالفت کند اما آنکس که این میانه هم نگاه به بیزنس دارد هم به امنیت ، معمار امنیت سازمان است . لذا اون با نگاه به مزایا و معایب پاورشل تصمیمات نهایی را اتخاذ میکند.
از مزایای درس CISSP ؛ توانایی در تمیز و قدرت تشخیص چنین راهکارهایی است که دانشجویان بدان نائل می‌شوند.



علمی بیاندیشیم و در نقش خود حرفه ای باشیم .
والسلام

پاورشل قسمت ۳


تحلیل فنی مسدودسازی PowerShell: یک استراتژی منسوخ و پرخطر

قسمت دوم از مقاله ام در زمینه پاورشل

رویکرد مسدودسازی فایل اجرایی powershell.exe به عنوان یک راهکار امنیتی، مبتنی بر درک ناقصی از معماری این فریم‌ورک است و یک نقطه‌ی کور امنیتی (Security Blind Spot) خطرناک ایجاد می‌کند. PowerShell صرفاً یک برنامه نیست، بلکه یک Automation Engine است که هسته‌ی آن در اسمبلی .NET به نام System.Management.Automation.dll قرار دارد. این DLL می‌تواند توسط هر فرآیندی که قابلیت میزبانی (Hosting) از Common Language Runtime (CLR) را داشته باشد، بارگذاری و اجرا شود.

مهاجمان با بهره‌گیری از این معماری، سیاست‌های مسدودسازی را به سادگی دور می‌زنند. تکنیک‌هایی مانند:

استفاده از میزبان‌های جایگزین (Alternative Hosts): با استفاده از باینری‌های قانونی ویندوز (LotL Bins) مانند InstallUtil.exe یا MSBuild.exe، مهاجمان یک Runspace پاورشل را درون یک فرآیند معتبر ایجاد می‌کنند.
و PowerShell بدون مدیریت (Unmanaged PowerShell): با تزریق مستقیم System.Management.Automation.dll به یک فرآیند دلخواه از طریق کدهای غیرمدیریتی (مانند C++), حمله را از دید مکانیزم‌های نظارتی مبتنی بر .NET پنهان می‌کنند.

فاجعه‌ی اصلی در این سناریو، از دست رفتن داده‌های تله‌متری حیاتی است. قابلیت‌های امنیتی قدرتمندی مانند Script Block Logging (Event ID 4104) و PowerShell Transcription که برای ثبت دقیق دستورات و فعالیت‌ها طراحی شده‌اند، به طور پیش‌فرض برای powershell.exe بهینه شده‌اند. هنگامی که مهاجم از یک میزبان جایگزین استفاده می‌کند، این لاگ‌های حیاتی تولید نشده و تیم امنیتی در برابر یک حمله‌ی کاملاً نامرئی قرار می‌گیرد.

رویکرد مدرن و مؤثر، Hardening به جای Blocking است؛ یعنی با استفاده از WDAC/AppLocker برای اعمال Constrained Language Mode و پیاده‌سازی Just Enough Administration (JEA)، ما PowerShell را از یک وکتور حمله به یک سنسور شناسایی با قابلیت اعتماد بالا (High-Fidelity Detection Sensor) تبدیل می‌کنیم


این مطلب بخشی از دوره CISSP است.


دوره های آکادمی روزبه درحال ثبت نام
از سطح ۱ تا هانت و CISSP

دست نوجوانی که تو فامیل دارید بگیرید و بیارید تو این وبینار

شاید علاقه اش پیدا شد و بتونه حتی از ۱۷ سالگی در یه رشته فنی پول دربیاره

از ۱۶ تا ۶۰ سال میتونه از این وبینار استفاده کنه

شنبه شب ساعت ۲۰
رایگان - نقشه راه اشتغال در امنیت و درآمد زایی


تعداد ثبت نام تا الان : ۱۷۵ نفر

https://eseminar.tv/wb162135

خب بریم سراغ یه درس جذاب

ماشین های مجازی پورتابل
که هم امنیت چی ها استفاده می‌کنند هم هکر ها !!


بخش اول


مقوله QEMU یا Quick Emulator یک نرم‌افزار متن‌باز برای شبیه‌سازی و مجازی‌سازی سخت‌افزاره که می‌تونه:

سخت‌افزار کامپیوتر رو شبیه‌سازی کنه (CPU، RAM، دیسک، کارت شبکه و …) حتی روی معماری متفاوت.
هم به‌صورت Pure Emulation (کندتر، ولی بدون نیاز به سخت‌افزار خاص) کار کنه
هم با کمک فناوری‌هایی مثل KVM (در لینوکس) یا WHPX (در ویندوز) از شتاب سخت‌افزاری بهره بگیره و سرعت رو نزدیک به حالت Native برسونه.

ویژگی‌های کلیدی:

قابل حمل (Portable): بدون نصب درایور، از روی هر مسیر/فلش اجرا میشه.
پشتیبانی از فرمت‌های دیسک (qcow2, raw, vmdk …)
Cross-Platform: روی ویندوز، لینوکس، macOS اجرا میشه.
میشه چندین سیستم عامل مهمان رو همزمان اجرا کرد


#آکادمی_روزبه

درسی برای دانشجویان سطح ۲ و ممیزان

🟣کاربرد مهم TokenElevationType در تحلیل لاگ و ممیزی

در مانیتورینگ لاگ یا Threat Hunting، این فیلد سرنخ‌ها و کاربردهای زیر دارد:

اگر TokenElevationType = Full به شکل غیرمنتظره‌ای دیده شود، ممکن است کاربر یا مهاجم توانسته UAC را بای‌پس کند یا از ابزارهای ارتقای دسترسی (مثل PsExec، Runas) استفاده کرده باشد.


بدافزارها برای انجام تغییرات سیستمی معمولاً به Full Token نیاز دارند. ثبت ناگهانی Full Token برای یک کاربر عادی می‌تواند نشانه اجرای Exploit باشد.


مقایسه ورود اولیه کاربر (با Limited Token) و تغییر بعدی به Full Token، مسیر و زمان ارتقا را روشن می‌کند.


در گزارش‌های ممیزی، بررسی درصد نشست‌های با Full Token نسبت به کل نشست‌ها نشان می‌دهد کاربران چقدر با حقوق ادمین کار می‌کنند (که ضعف امنیتی است).



#آکادمی_روزبه
مرکز تخصصی CISSP

#تجربه

برای امکان درج تجربه ، برخی از عناصر تحلیل رو اجبارا حذف کردم

چند وقت پیش توی یکی از پایش های مقدمه هانت، تصمیم گرفتم تمرکز رو روی داده‌های Prefetch بگذارم. با استفاده از ابزارهایی مثل Velociraptor و Kansa/KAPE تونستم این داده‌ها رو جمع‌آوری کنم. همونطور که می‌دونید، Prefetch برای پیدا کردن نقطه‌ی محوری مثل زمان اجرا یا مسیر فایل خیلی کاربردیه و مهاجم‌ها هم به راحتی نمی‌تونند ردش رو کاملاً پاک کنند.
توی تحلیل، با کمک ابزار PECmd.exe از مجموعه‌ی Zimmerman متوجه شدم که یک LOLBAS غیرعادی با استفاده از  مثلا tttracer.exe - که در دوره های سنز هم امده - یک برنامه‌ی ساده مثل calc.exe رو اجرا کرده. این تکنیک رو معمولاً مهاجم‌ها استفاده می‌کنن تا بتونن محدودیت‌های اجرای اپلیکیشن رو دور بزنن و کد رو از مسیرهای غیرعادی اجرا کنن.
با کمی دقیق شدن روی Prefetch، چند چیز برام جلب توجه کرد:
مسیر اجرای فایل‌ها غیرعادی بود: C:\Windows\System32\spool\drivers\color\ که یک مسیر شناخته‌شده برای سوءاستفاده‌ست، چون معمولاً قابل نوشتن و در محیط‌های محدود هم قابل اجراست.
در Command Line دو فایل اجرایی پشت سر هم دیده می‌شد که خیلی رایج نیست.
دستور اجرا شده مثلا این بود:

C:\Windows\System32\spool\drivers\color  tttracer.exe C:\windows\system32\calc.exe

همین رد کوچک برای من کافی بود تا ادامه‌ی بررسی رو جدی بگیرم؛ چون حتی گروه‌های پیشرفته‌ی تهدید هم گاهی اشتباهاتی مثل این دارن که بخشی از PoC یا تست خودشون رو ناخواسته وارد حمله واقعی می‌کنن. اجرای غیرمعمول calc.exe برای من یک نشانه‌ی عالی برای ادامه‌ی Threat Hunting شد.

ادامه مراحل فعلا قابل انتشار نیست .(رعایت اصول امنیتی در انتشار مطالب جزو الزامات است )

تاکید من در این تجربه بر مهم بودن توجه به Prefetch است که میتونه سرنخ رو بهتون بده



نکته: قضیه Calc.exe رو گرفتین ؟ 😉

تبصره: اشتراک دانش بخشی از زندگی منه . لذا ممکنه واسه برخی از افراد ، درج چنین تجربیاتی عجیب باشه



#آکادمی_روزبه
مرکز تخصصی CISSP

۲۲ فارغ التحصیل آکادمی روزبه با اسپانسری شرکت پیشگامان فناوری اطلاعات هامون تقدیم به پیشرفت ایران

مدارک آماده شده برای دانشجویان ترم بهار

www.haumoun.com
Www.Roozbeh.academy


ثبت نام ترم تابستان واتس اپ و بله 09902857290

درس امروز برای سطح ۲

Reflective DLL Loading

این روش یعنی یک فایل DLL را بدون ذخیره روی دیسک، مستقیماً داخل حافظه سیستم (RAM) بارگذاری و اجرا کنیم.


در حالت عادی، وقتی یک برنامه می‌خواهد از یک DLL استفاده کند، سیستم‌عامل با تابعی مثل LoadLibrary آن DLL را از هاردخوانده و لود می‌کند. اما در Reflective DLL Loading، مهاجم نسخه‌ی باینری DLL را به‌شکل خام (مثلاً از اینترنت یا داخل یک payload دیگر) دریافت می‌کند و آن را با دستوراتی مثل VirtualAlloc و WriteProcessMemory مستقیماً در حافظه یک پروسه قرار می‌دهد.

درون این DLL یک کد خاص به نام Reflective Loader هست که نقش همان LoadLibrary را در حافظه بازی می‌کند: جدول توابع را تنظیم می‌کند، آدرس APIها را پیدا می‌کند و ساختار DLL را برای اجرا آماده می‌کند. بعد از این مرحله، کنترل به کد اصلی DLL داده می‌شود و برنامه بدون نیاز به فایل روی دیسک اجرا می‌شود.

مزیت برای مهاجم چیست؟

آنتی‌ویروس‌ها سخت‌تر می‌توانند آن را پیدا کنند چون هیچ فایل واقعی برای اسکن وجود ندارد.

نقاط شکار کجاست؟
با ابزارهایی مثل Sysmon می‌توان Load شدن ماژول‌های بدون مسیر دیسک (Event ID 7) یا ایجاد Thread از راه دور (Event ID 8) را دید. EDRها هم می‌توانند حافظه فرآیندها را بررسی و DLLهای مشکوک را شناسایی کنند.


دوره های آکادمی روزبه

اهمیت پاسخ‌گویی مبتنی بر اطلاعات و جایگاه‌یابی مهاجم در ماتریس ATT&CK


در تهدیدات پیشرفته امروزی، شناسایی مهاجم به‌تنهایی کافی نیست؛ مهم این است که بدانیم مهاجم در کدام مرحله از چرخه حمله و کدام تاکتیک/تکنیک ماتریس MITRE ATT&CK قرار دارد. این رویکرد که به عنوان پاسخ‌گویی مبتنی بر اطلاعات (Intelligence-Driven Incident Response) شناخته می‌شود، به تیم امنیتی کمک می‌کند تا بر اساس موقعیت فعلی مهاجم، واکنش دقیق‌تر و مؤثرتری ارائه دهند.
ماتریس MITRE ATT&CK نقشه‌ای جامع از رفتارهای مهاجمان است که شامل تاکتیک‌هایی مانند Initial Access، Execution، Credential Access، Lateral Movement و Exfiltration می‌شود. جایگاه‌یابی مهاجم در این ماتریس مزایای زیر را دارد:
پیش‌بینی گام بعدی مهاجم بر اساس مرحله فعلی.
انتخاب اقدامات محدودسازی هدفمند متناسب با موقعیت.
کاهش زمان پاسخ‌گویی با تمرکز مستقیم روی فعالیت‌های مرتبط.


برای مثال، شناسایی مهاجم در مرحله Execution با تکنیک PowerShell نشان می‌دهد که او قبلاً وارد شبکه شده و در حال اجرای کد مخرب است؛ در این حالت، توقف اجرای PowerShell و بررسی کامل سیستم ضروری است. در مقابل، کشف مهاجم در Credential Dumping بیانگر آغاز تلاش‌ها برای گسترش دسترسی و حرکت جانبی است، بنابراین باید به تغییر اعتبارنامه‌های حساس و نظارت بر نشست‌ها پرداخت.

مزیت دیگر این رویکرد، اثربخشی در حملات تکراری است. مستندسازی اینکه مهاجم در کجا و با چه تکنیکی شناسایی شده، امکان ایجاد Playbook دفاعی را فراهم می‌کند تا در مواجهه بعدی، تهدید همان‌جا یا پیش‌تر متوقف شود.

در نهایت، پاسخ‌گویی مبتنی بر اطلاعات با تکیه بر داده‌های دقیق از جایگاه مهاجم، نه‌تنها باعث مهار سریع‌تر حمله فعلی می‌شود، بلکه به بهبود مستمر دفاع سازمان و جلوگیری از موفقیت حملات مشابه در آینده کمک می‌کند. این همان رویکردی است که در نبرد امروز با تهدیدات پیشرفته، برنده‌ها را از بازندگان جدا می‌کند.



نمودار فوق :دیاگرام ماتریس ATT&CK رنگ‌بندی‌شده بر اساس محل کشف مهاجم
رنگ قرمز = محل شناسایی فعلی مهاجم
رنگ نارنجی = مراحل قبلی که باید بررسی شواهدشان انجام شود
رنگ زرد = مراحل بعدی که مهاجم ممکن است حرکت کند
رنگ سبز = مراحل امن یا پاک‌سازی‌شده


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

وقتی بد افزار خود را به خواب میزند
مقوله Dormant Malware: مکانیزم و چالش شناسایی

موضوع Dormant malware به کد مخربی گفته می‌شود که پس از استقرار در سیستم، فعالیت مخرب فوری ندارد و عمداً در حالت غیرفعال باقی می‌ماند تا از شناسایی توسط ابزارهای امنیتی و تحلیل انسانی فرار کند.مانند ورود جاسوس یه یک منطقه و رفتار عادی برای قاطی شدن با مردم و در پی گرفتن زندگی عادی تا روز موعود . این بدافزار می‌تواند در دیسک، حافظه یا حتی Firmware ذخیره شود و تنها هنگام وقوع یک رویداد خاص فعال شود.
۱. موضوع Time-based Dormancy:
برخی بدافزارها با استفاده از APIهایی مثل Sleep() یا NtDelayExecution فعالیت خود را ساعت‌ها یا روزها به تأخیر می‌اندازند. چون Sandbox و EDR معمولاً مدت اجرای کوتاهی دارند، نمونه در طول تحلیل غیرفعال به‌نظر می‌رسد.
۲. بحث Event-based Activation:
اجرا تنها در صورت وقوع رویداد خاص مانند ورود کاربر ادمین، اتصال به شبکه داخلی یا کلیک روی فایل خاص. این الگو باعث می‌شود بدافزار در تست‌های خودکار بی‌اثر بماند.
۳. موضوع Environmental Awareness:
بدافزار با بررسی نشانه‌هایی مانند تعداد CPU Core، نام کارت شبکه یا کلیدهای رجیستری، محیط تحلیل را شناسایی کرده و تا زمان کاربر واقعی، خود را غیرفعال نشان می‌دهد.
۴. بحث Staged Payload Storage:
کد اصلی در Alternate Data Streams یا Registry ذخیره می‌شود. مرحله اول فقط یک Loader است که ظاهر بی‌ضرر دارد، اما فعال‌سازی را برای شرایط خاص نگه می‌دارد.
۵. مقولهLiving-off-the-Land Persistence:
استفاده از ابزارهای سیستمی (مثل WMI یا PowerShell) برای ایجاد persistence بدون اجرای باینری مخرب تا لحظه نیاز، باعث گمراهی مانیتورینگ مبتنی بر فایل می‌شود.


چالش شناسایی:
این Dormant malware فاقد Indicators of Compromise فوری است، ارتباط شبکه‌ای ندارد، و رفتارهای مخربش در جریان عادی سیستم پنهان می‌شود. شناسایی آن نیازمند memory forensics، تحلیل خط‌زمانی بلندمدت، و شکار مبتنی بر Indicators of Behavior است تا شکاف بین artifact موجود و رفتار واقعی شناسایی گردد.




#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290