درس امروز برای سطح ۲

Reflective DLL Loading

این روش یعنی یک فایل DLL را بدون ذخیره روی دیسک، مستقیماً داخل حافظه سیستم (RAM) بارگذاری و اجرا کنیم.


در حالت عادی، وقتی یک برنامه می‌خواهد از یک DLL استفاده کند، سیستم‌عامل با تابعی مثل LoadLibrary آن DLL را از هاردخوانده و لود می‌کند. اما در Reflective DLL Loading، مهاجم نسخه‌ی باینری DLL را به‌شکل خام (مثلاً از اینترنت یا داخل یک payload دیگر) دریافت می‌کند و آن را با دستوراتی مثل VirtualAlloc و WriteProcessMemory مستقیماً در حافظه یک پروسه قرار می‌دهد.

درون این DLL یک کد خاص به نام Reflective Loader هست که نقش همان LoadLibrary را در حافظه بازی می‌کند: جدول توابع را تنظیم می‌کند، آدرس APIها را پیدا می‌کند و ساختار DLL را برای اجرا آماده می‌کند. بعد از این مرحله، کنترل به کد اصلی DLL داده می‌شود و برنامه بدون نیاز به فایل روی دیسک اجرا می‌شود.

مزیت برای مهاجم چیست؟

آنتی‌ویروس‌ها سخت‌تر می‌توانند آن را پیدا کنند چون هیچ فایل واقعی برای اسکن وجود ندارد.

نقاط شکار کجاست؟
با ابزارهایی مثل Sysmon می‌توان Load شدن ماژول‌های بدون مسیر دیسک (Event ID 7) یا ایجاد Thread از راه دور (Event ID 8) را دید. EDRها هم می‌توانند حافظه فرآیندها را بررسی و DLLهای مشکوک را شناسایی کنند.


دوره های آکادمی روزبه

اهمیت پاسخ‌گویی مبتنی بر اطلاعات و جایگاه‌یابی مهاجم در ماتریس ATT&CK


در تهدیدات پیشرفته امروزی، شناسایی مهاجم به‌تنهایی کافی نیست؛ مهم این است که بدانیم مهاجم در کدام مرحله از چرخه حمله و کدام تاکتیک/تکنیک ماتریس MITRE ATT&CK قرار دارد. این رویکرد که به عنوان پاسخ‌گویی مبتنی بر اطلاعات (Intelligence-Driven Incident Response) شناخته می‌شود، به تیم امنیتی کمک می‌کند تا بر اساس موقعیت فعلی مهاجم، واکنش دقیق‌تر و مؤثرتری ارائه دهند.
ماتریس MITRE ATT&CK نقشه‌ای جامع از رفتارهای مهاجمان است که شامل تاکتیک‌هایی مانند Initial Access، Execution، Credential Access، Lateral Movement و Exfiltration می‌شود. جایگاه‌یابی مهاجم در این ماتریس مزایای زیر را دارد:
پیش‌بینی گام بعدی مهاجم بر اساس مرحله فعلی.
انتخاب اقدامات محدودسازی هدفمند متناسب با موقعیت.
کاهش زمان پاسخ‌گویی با تمرکز مستقیم روی فعالیت‌های مرتبط.


برای مثال، شناسایی مهاجم در مرحله Execution با تکنیک PowerShell نشان می‌دهد که او قبلاً وارد شبکه شده و در حال اجرای کد مخرب است؛ در این حالت، توقف اجرای PowerShell و بررسی کامل سیستم ضروری است. در مقابل، کشف مهاجم در Credential Dumping بیانگر آغاز تلاش‌ها برای گسترش دسترسی و حرکت جانبی است، بنابراین باید به تغییر اعتبارنامه‌های حساس و نظارت بر نشست‌ها پرداخت.

مزیت دیگر این رویکرد، اثربخشی در حملات تکراری است. مستندسازی اینکه مهاجم در کجا و با چه تکنیکی شناسایی شده، امکان ایجاد Playbook دفاعی را فراهم می‌کند تا در مواجهه بعدی، تهدید همان‌جا یا پیش‌تر متوقف شود.

در نهایت، پاسخ‌گویی مبتنی بر اطلاعات با تکیه بر داده‌های دقیق از جایگاه مهاجم، نه‌تنها باعث مهار سریع‌تر حمله فعلی می‌شود، بلکه به بهبود مستمر دفاع سازمان و جلوگیری از موفقیت حملات مشابه در آینده کمک می‌کند. این همان رویکردی است که در نبرد امروز با تهدیدات پیشرفته، برنده‌ها را از بازندگان جدا می‌کند.



نمودار فوق :دیاگرام ماتریس ATT&CK رنگ‌بندی‌شده بر اساس محل کشف مهاجم
رنگ قرمز = محل شناسایی فعلی مهاجم
رنگ نارنجی = مراحل قبلی که باید بررسی شواهدشان انجام شود
رنگ زرد = مراحل بعدی که مهاجم ممکن است حرکت کند
رنگ سبز = مراحل امن یا پاک‌سازی‌شده


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

وقتی بد افزار خود را به خواب میزند
مقوله Dormant Malware: مکانیزم و چالش شناسایی

موضوع Dormant malware به کد مخربی گفته می‌شود که پس از استقرار در سیستم، فعالیت مخرب فوری ندارد و عمداً در حالت غیرفعال باقی می‌ماند تا از شناسایی توسط ابزارهای امنیتی و تحلیل انسانی فرار کند.مانند ورود جاسوس یه یک منطقه و رفتار عادی برای قاطی شدن با مردم و در پی گرفتن زندگی عادی تا روز موعود . این بدافزار می‌تواند در دیسک، حافظه یا حتی Firmware ذخیره شود و تنها هنگام وقوع یک رویداد خاص فعال شود.
۱. موضوع Time-based Dormancy:
برخی بدافزارها با استفاده از APIهایی مثل Sleep() یا NtDelayExecution فعالیت خود را ساعت‌ها یا روزها به تأخیر می‌اندازند. چون Sandbox و EDR معمولاً مدت اجرای کوتاهی دارند، نمونه در طول تحلیل غیرفعال به‌نظر می‌رسد.
۲. بحث Event-based Activation:
اجرا تنها در صورت وقوع رویداد خاص مانند ورود کاربر ادمین، اتصال به شبکه داخلی یا کلیک روی فایل خاص. این الگو باعث می‌شود بدافزار در تست‌های خودکار بی‌اثر بماند.
۳. موضوع Environmental Awareness:
بدافزار با بررسی نشانه‌هایی مانند تعداد CPU Core، نام کارت شبکه یا کلیدهای رجیستری، محیط تحلیل را شناسایی کرده و تا زمان کاربر واقعی، خود را غیرفعال نشان می‌دهد.
۴. بحث Staged Payload Storage:
کد اصلی در Alternate Data Streams یا Registry ذخیره می‌شود. مرحله اول فقط یک Loader است که ظاهر بی‌ضرر دارد، اما فعال‌سازی را برای شرایط خاص نگه می‌دارد.
۵. مقولهLiving-off-the-Land Persistence:
استفاده از ابزارهای سیستمی (مثل WMI یا PowerShell) برای ایجاد persistence بدون اجرای باینری مخرب تا لحظه نیاز، باعث گمراهی مانیتورینگ مبتنی بر فایل می‌شود.


چالش شناسایی:
این Dormant malware فاقد Indicators of Compromise فوری است، ارتباط شبکه‌ای ندارد، و رفتارهای مخربش در جریان عادی سیستم پنهان می‌شود. شناسایی آن نیازمند memory forensics، تحلیل خط‌زمانی بلندمدت، و شکار مبتنی بر Indicators of Behavior است تا شکاف بین artifact موجود و رفتار واقعی شناسایی گردد.




#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

💥بررسی یک IOC مهم
غیرفعال‌سازی SafeDllSearchMode


در بخشی از یک Defense Evasion + Persistence و برای اجرای DLL Search Order Hijacking یا Phantom DLL Injection هکر میتواند غیر فعال سازی فوق را انجام دهد. لذا غیر فعال بودن ( کردن) SafeDllSearchMode می‌تواند نشانه‌ای از تسخیر باشد

🟣روش کشف

رویداد Sysmon Event ID 13 ، تغییر رجیستری روی مسیرزیر:
✳️HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\SafeDllSearchMode
✳️HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\SafeDllSearchMode


و Event ID 4657 (Windows Security) برای تغییر رجیستری با Audit Mode.
یا
هشدار EDR برای فرآیندی که reg.exe یا powershell را برای تغییر این کلید اجرا می‌کند.
بررسی تطبیقی با baseline رجیستری.



💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

از دغدغه های معمار SOC

✳️مساله :گاهی مهاجم حتی فایل اصلی exe برنامه را دست نمیزند، فقط manifest برنامه را عوض می‌کند تا DLL مخربش لود شود. این تغییر کوچک می‌تواند ماه‌ها پنهان بماند مگر اینکه baseline داشته باشید

اما مانیفست (Manifest) چیست ؟
در ویندوز در واقع یک فایل توضیحی یا نقشه راه است که به سیستم‌عامل می‌گوید یک برنامه باید چطور و با چه وابستگی‌هایی اجرا شود.

💥چطور می‌توان تغییرات manifest را بررسی کرد؟
🔰پایش مداوم فایل‌های manifest (File Integrity Monitoring)
🔸️فایل‌های manifest معمولاً پسوند ندارند یا .manifest هستند و کنار exe اصلی یا در مسیر نصب برنامه ذخیره می‌شوند.
🔸️می‌توان یک hash baseline از همه manifest ها گرفت.
🔸️ابزارهایی مثل Tripwire, OSSEC, یا حتی اسکریپت PowerShell می‌توانند هش فایل‌ها را پایش کنند و تغییرات را گزارش دهند.

🔰 استخراج و بررسی manifest جاسازی‌شده (Embedded Manifest)
🔸️بعضی برنامه‌ها manifest را داخل خود فایل exe یا dll embed می‌کنند.
🔸️با ابزارهایی مثل mt.exe (Microsoft Manifest Tool) یا Resource Hacker می‌توان manifest را از باینری استخراج و ذخیره کرد.
🔸️همان روند baseline/hash check برای این manifestهای استخراجی قابل اجرا است.

🔰مانیتور کردن مسیرهای حساس
🔸️مسیرهای نصب برنامه (Program Files, Windows\System32) و پوشه کاربر که برنامه‌های بدون امضا یا تستی در آن نصب شده‌اند، باید در سرویس FIM یا EDR تحت نظر باشند.
🔸️وEvent ID 4663 (Object Access) در Windows Security هم می‌تواند تغییر فایل‌ها را لاگ کند، هرچند پر سروصداست و نیاز به فیلتر دارد.

جهت اطلاع : در استاکس نت چنین رفتاری دیده شده است .



💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

کمک کنید همکارانم رو پیدا کنم

دعوت به همکاری از علاقمندان به تدریس

واتس اپ و بله برای ارسال رزومه 09902857290


پذیرش از سراسر ایران

www.haumoun.com
Www.Roozbeh.academy

تصویر فوق : برنامه آموزشی

امروز درگیر یک پروژه هانت در محیط صنعتی همراه با ۴ نفر از دوستان هستم.
از خروجی های پروژه در وقت لزوم و اجازه ی داده شده ، تجربه هایی با شما به اشتراک خواهم گذاشت . البته به اقتضای مسائل امنیتی خب برخی مطالب قابل بیان و حتی اشاره نیست .
فقط اینکه الان داریم با Velociraptor کار می‌کنیم

👆👆با توجه نتیجه رای گیری و پراکندگی رای ها ؛ تمام دوره ها را برای ثبت نام باز میگذارم هرکدام اول به حد نصاب رسید، من اول وقتم را برای آن خواهم گذاشت تا تصمیمی منصفانه باشد

💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

نگارش کپی و تبلیغات زرد ؟!

مدتی پیش، صاحب یکی از بزرگ‌ترین کانال‌های تلگرامی حوزه امنیت، تبلیغ کلاس من را رد کرد. دلیلش این بود که آن را «زرد» تلقی کرد، هرچند با قوانین کانالش هیچ تضادی نداشت. هفته قبل هم دوستی پست من را ترجمه یک مطلب خارجی پنداشت و تعدد نوشته‌هایم باعث شد به اصالت آن‌ها شک کند.

این‌ها برایم یک تلنگر بود: چرا گاهی فعالیت‌هایم باعث واکنش منفی دیگران می‌شود؟

کمی عمیق‌تر که فکر کردم، دیدم ریشه کارم فقط علاقه به انتقال دانش و تجربه است. حجم زیاد نوشته‌ها و عمق مطالب هم نتیجه سال‌ها کار، تجربه در شاخه‌های مختلف امنیت و فناوری، و عادت به مطالعه مداوم است.

یاد کودکی‌ام افتادم؛ زمانی که عاشق روزنامه‌دیواری بودم. برایم فقط یک ترند نبود، بلکه فرصتی بود تا آموخته‌هایم را منتقل کنم. حتی توضیح شفاهی هم می‌دادم. امروز هم که می‌نویسم، همان حس شعف را تجربه می‌کنم. وقتی مطلبی را آموزش می‌دهم، انگار خودم بهتر می‌فهمم. وقتی کسی—حتی یک نفر—در هفته به من پیام تشکر می‌دهد، آرامشی عمیق پیدا می‌کنم، انگار باری را از دوش برداشته‌ام.
شاید ریشه این علاقه، به ۳۸ سال معلمی مادرم و عشق پدرم به مطالعه—حتی در آخرین ساعات زندگی—برگردد. من در خانواده‌ای بزرگ شدم که مطالعه، بخشی از روزمره بود. این باعث شد حجم مطالعه، آزمایش و تولید محتوای من بالا باشد.

در مورد تبلیغات هم نکته‌ای هست: شاید برای بعضی آزاردهنده باشد که چرا مدام از مزایای سنز یا CISSP می‌گویم. دلیلش ساده است: اصلاح کار و پیشرفت جامعه فقط با پیروی از بهترین روش‌ها و استانداردهای جهانی ممکن است. بنابراین سرفصل باید کامل و مدارک باید معتبر و آزمون‌محور باشند. احترام به علم و رعایت سلسله‌مراتب کاری، زیربنای اصلاح و پیشرفت است.
پس بله، من تبلیغ مدرک و دوره «اصل» می‌کنم. چون این بخشی از هدفم برای اصلاح جامعه است؛ باری که عده کمی به دوش می‌کشند.

دوستان واقعی کنارم می‌مانند و دیگران هم به راه خود می‌روند. عمر کوتاه است، کار بسیار، و عرصه خدمت باز. عشق به خواندن، یاد دادن و انتقال تجربه چیزی نیست که از من جدا شود.
تا عمر هست، می‌نویسم؛ امیدوارم حتی ذره‌ای سودمند باشد.
هر کس به راه خود
والسلام.


روزبه نوروزی
پایان مرداد ماه ۱۴۰۴ تهران

پایش WMI Event Consumers

پایش WMI Event Consumers اهمیت زیادی در شکار تهدیدات دارد زیرا مهاجمان از آن‌ها برای ایجاد مکانیزم ماندگاری بدون ایجاد سرویس یا تسک زمان‌بندی شده استفاده می‌کنند. این روش معمولاً در لاگ‌های پیش‌فرض ثبت نمی‌شود، بنابراین کشف آن نیازمند مانیتورینگ فعال یا جمع‌آوری دوره‌ای وضعیت WMI است.

مانیتورینگ Real-time (برای بعد از فعال شدن)
با فعال‌سازی Sysmon و rule مربوط به WMI (مثل Event ID 19, 20, 21) می‌تونیم هر بار ایجاد/تغییر Event Consumer رو log کنیم.
یا Audit‌های خاص WMI در Microsoft-Windows-WMI-Activity/Operational رو فعال کنیم.
📌 مشکل: این روش فقط تغییرات بعد از فعال‌سازی رو می‌گیرد، نه مصرف‌کننده‌های موجود.

جمع‌آوری Snapshot
با PowerShell (Get-CimInstance) یا ابزارهای مشابه، تمام Event Consumerهای فعلی روی سیستم رو می‌خونیم (یعنی یه snapshot از وضعیت فعلی).
بعد این داده رو به Splunk می‌فرستیم تا بین هزاران سیستم دنبال موارد مشکوک بگردیم.
📌 مزیت: گذشته و حال رو می‌بینیم، نه فقط تغییرات جدید.


در کار اجرایی من هردو رو انجام دادم .


برای بخش اسنپ شات من اینکار رو میکنم :
جمع‌آوری داده‌ها از همه سیستم‌ها

$computers = Get-Content .\systems.txt # لیست سیستم‌ها
foreach ($comp in $computers) {
  try {
    $events = Invoke-Command -ComputerName $comp -ScriptBlock {
      Get-CimInstance -Namespace root\subscription -ClassName __EventConsumer
    }
    $events | Select-Object PSComputerName, Name, CommandLineTemplate |
      Export-Csv ".\WMI_Consumers.csv" -Append -NoTypeInformation
  }
  catch {
    Write-Host "Failed to query $comp" -ForegroundColor Red
  }
}

و بعد  ارسال داده به Splunk
دو روش
روش 1: از طریق Universal Forwarder
روی سیستمی که CSV تولید شده، Splunk Universal Forwarder نصب کنیم.
inputs.conf رو طوری پیکربندی کنیم که مسیر CSV رو مانیتور کند

روش 2: آپلود مستقیم در Splunk
اگر داده ثابت دارید (نه زنده)، می‌تونید CSV رو از GUI داخل یک ایندکس جدید آپلود کنید.

خوشحال میشم اگر شما تجربه ای دارید در این زمینه به اشتراک بگذارید



💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

تحلیل فارنزیک از طریق آرتیفکت‌های کرش: فراتر از لاگ‌های امنیتی

کرش ابزارهای تهاجمی، نشانه هایی با اطمینان خوب برای تیم‌های SOC و IR تولید می‌کند. تحلیلگران باید لاگ‌های Application Crash (Event ID 1000) و گزارش‌های Windows Error Reporting (WER - Event ID 1001) را به عنوان شواهد فارنزیک، و نه صرفاً خطاهای سیستمی، بررسی کنند. این رویدادها، به ویژه در مورد فایل‌هایی با نام‌های مشکوک در مسیرهای غیر استاندارد (مانند lsasss64.exe در C:\Temp)، نشان‌دهنده تکنیک‌های Masquerading (T1036.005) هستند.

کلید تحلیل، فایل Report.wer است که در مسیر C:\ProgramData\Microsoft\Windows\WER یافت می‌شود. این آرتیفکت حاوی اطلاعات حیاتی از جمله هش SHA1 باینری مخرب و لیست ماژول‌های بارگذاری شده (Loaded Modules) در لحظه کرش است. هش استخراج شده، شناسایی قطعی بدافزار از طریق پلتفرم‌های Threat Intelligence را ممکن ساخته و به تشخیص تاکتیک‌هایی نظیر LSASS Memory Dumping (T1003.001) کمک می‌کند.

این رویکرد، لایه‌ای عمیق از شکار تهدید مبتنی بر هاست را فراهم می‌کند که اغلب توسط ابزارهای SIEM سنتی نادیده گرفته می‌شود و به کشف فعالیت‌های پنهان مهاجم، حتی پس از پاکسازی، منجر می‌گردد.



💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

بررسی ارتباط بلوغ SOC و استفاده از Splunk ES
قسمت اول
قطره ای از دریا !!


#آکادمی_روزبه
مرکز تخصصی CISSP

آموزش دهید ادمین ها RDP را Logout کنند.

در غیر اینصورت با تسخیر سرور ، هکر میتواند کردنشیال در حافظه را بدزدد که شامل هش پسورد و توکن است .

بعنوان راهکار اساسی چه کنیم و اینکه اگر آموزش ناپذیر بودند ؟

🔸️پیاده‌سازی Logoff Policy اجباری (Group Policy :Set time limit for disconnected sessions).
🔸️فعال کردن LSASS Credential Guard یا RunAsPPL برای جلوگیری از Dump ساده LSASS. توضیح اینکه : CG کامل‌تره و سخت‌گیرانه‌تر، و RunAsPPL سبک‌تر و محدودتر
🔸️استفاده از Event ID 4624, 4634, 4776, 4769 برای مانیتور رفتار لاگین/تیکت.
🔸️محدود کردن تعداد کاربرانی که حق RDP به سرورهای حساس رو دارند.


💐شاد باشید . خوشحال و با امید زندگی کنید


#آکادمی_روزبه
مرکز تخصصی CISSP
واتس اپ و بله 09902857290

بای پس XDR و EDR هم داریم
به همراه نحوه کشف
یه تیم بنفش واقعی ✅️

پس حتی اگر سرفصل روز بلد باشید دست خالی نمیرید

مقاله صبحانه

روشهای دامپ LSASS


#آکادمی_روزبه


https://github.com/yo-yo-yo-jbo/dumping_lsass

مهم


بای پس Elastic EDR با Zero day


هم اکنون EDR های خود را دریابید


درایور elastic-endpoint-driver.sys که توسط «Microsoft Windows Hardware Compatibility Publisher» امضا شده، بخشی حیاتی از محصول Elastic EDR/Elastic Agent است. این امضا باعث می‌شود ویندوز و بسیاری از راهکارهای امنیتی به آن اعتماد کنند و آن را بدون بررسی عمیق بارگذاری کنند. نقصی که کشف شده، از نوع NULL Pointer Dereference (CWE‑476) است؛ یعنی ورودی‌های کنترل‌شده توسط کاربر بدون اعتبارسنجی مناسب وارد فانکشن‌های کرنل می‌شوند و می‌توانند باعث اجرای کد یا کرش سیستم شوند.

چنین درایورهای امضاشده ولی آسیب‌پذیر پیش‌تر هم مورد سوءاستفاده قرار گرفته‌اند، تکنیکی که به آن Bring Your Own Vulnerable Driver (BYOVD) می‌گویند. ابزارها و گروه‌هایی که از این روش استفاده کرده یا قابلیت آن را دارند، شامل:

EDRSandBlast، GodFault و AuKill برای غیرفعال کردن آنتی‌ویروس و EDR.
باج افرارهایی مثل BlackByte، BlackCat/ALPHV و Slingshot APT که قبل از رمزگذاری، محصولات امنیتی را با سوءاستفاده از درایورهای آسیب‌پذیر می‌کشند.
ابزار عمومی مثل KernelForge، KDU، و CheekyBlinder که برای بارگذاری و اکسپلویت درایور استفاده می‌شوند.

پروداکت‌هایی که ممکن است در معرض خطر باشند:

تمام نسخه‌های Elastic Defend / Elastic Agent که از این درایور نسخه 8.17.6 استفاده کنند.
سایر محصولات امنیتی یا نرم‌افزارهای سازمانی که این درایور را باندل کرده باشند (مثلاً در نسخه‌های خاص باندل‌شده SIEM/EDR).
هر محیط ویندوزی که اجازه بارگذاری این درایور امضاشده را بدهد، حتی اگر Elastic نصب نباشد ولی مسیر بارگذاری را مهاجم کنترل کند

#آکادمی_روزبه
مرکز تخصصی CISSP

https://cybersecuritynews-com.cdn.ampproject.org/c/s/cybersecuritynews.com/elastic-edr-0-day-vulnerability/amp/