استفاده از رولهای WFP ویندوز برای خفه کردن صدای EDR رو به افزایش است .
برای کشف این حمله حتما شماره رویداد های 5155 و 5157 را پایش کنید
لذا یکی از راه های دور خوردن EDR را اینطور کنترل کنید.
#cybersecurity #threathunting #cyberforensics #sigma #lolbin
https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/auditing/audit-filtering-platform-connection
@Engineer_Computer
Please open Telegram to view this post
VIEW IN TELEGRAM
Docs
Audit Filtering Platform Connection - Windows 10
The policy setting, Audit Filtering Platform Connection, decides if audit events are generated when connections are allow/blocked by Windows Filtering Platform.
Please open Telegram to view this post
VIEW IN TELEGRAM
سامسونگ s24 در رویداد pwn20wn هک شد!
این رویداد محلی برای کشف آسیب پذیری محصولات و دریافت جایزه های هزاران تا میلیون دلاری است.
البته نوع و روش آسیب پذیری و اکسپلویت فقط در اختیار وندور قرار میگیرد.
بله ؛ برترین محصولات جهانی را هم که توسط تیم وسیعی از متخصصان تولید کنید هک خواهند شد.
تولید محصول بومی خوب است. اما اولویت ما امنیت بوده است ؛ لذا آیا ما در قد و قواره لازم نسبت به تست محصولات امنیتی اقدام میکنیم ؟
اگر دغدغه هک شدن و نفوذ از طریق آنتی ویروس و EDR خارجی را داریم آیا از هک نشدن محصول بومی مطمئن شده ایم ؟
صنعت افتا با صنعت اتومبیل سازی شاید تفاوت هایی داشته باشد.
**سوال: دربرابر این تعداد تولید محصولات بومی اعم از اتوماسیون اداری تا فایروال و SIEM و EDRو XDR بومی؛ چقدر بانتی پرداخت شده است ؟
پاسخ به این سوال محک خوبی برای مقاومت محصولات سایبری بومی است
https://www.securityweek.com/samsung-galaxy-s24-hacked-at-pwn2own-ireland-2024/
@Engineer_Computer
این رویداد محلی برای کشف آسیب پذیری محصولات و دریافت جایزه های هزاران تا میلیون دلاری است.
البته نوع و روش آسیب پذیری و اکسپلویت فقط در اختیار وندور قرار میگیرد.
بله ؛ برترین محصولات جهانی را هم که توسط تیم وسیعی از متخصصان تولید کنید هک خواهند شد.
تولید محصول بومی خوب است. اما اولویت ما امنیت بوده است ؛ لذا آیا ما در قد و قواره لازم نسبت به تست محصولات امنیتی اقدام میکنیم ؟
اگر دغدغه هک شدن و نفوذ از طریق آنتی ویروس و EDR خارجی را داریم آیا از هک نشدن محصول بومی مطمئن شده ایم ؟
صنعت افتا با صنعت اتومبیل سازی شاید تفاوت هایی داشته باشد.
**سوال: دربرابر این تعداد تولید محصولات بومی اعم از اتوماسیون اداری تا فایروال و SIEM و EDRو XDR بومی؛ چقدر بانتی پرداخت شده است ؟
پاسخ به این سوال محک خوبی برای مقاومت محصولات سایبری بومی است
https://www.securityweek.com/samsung-galaxy-s24-hacked-at-pwn2own-ireland-2024/
@Engineer_Computer
SecurityWeek
Samsung Galaxy S24 Hacked at Pwn2Own Ireland 2024
Over $350,000 was paid out on day 2 of Pwn2Own Ireland 2024, including $50,000 for an exploit targeting the Samsung Galaxy S24.
😱2
Please open Telegram to view this post
VIEW IN TELEGRAM
👨💻2
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
⭕بورسیه یک نفر جهت آموزش ثبت اختراع
در این روز زیبا هفتم آبان
یک نفر
زیر ۲۰ سال سن
ترجیحا از شهر های مرزی با وضع مالی نامناسب رو میتونید به بنده معرفی کنید
#اختراع
با ایدی زیر درارتباط باشید
@Developer_Network
@Engineer_Computer
در این روز زیبا هفتم آبان
یک نفر
زیر ۲۰ سال سن
ترجیحا از شهر های مرزی با وضع مالی نامناسب رو میتونید به بنده معرفی کنید
#اختراع
با ایدی زیر درارتباط باشید
@Developer_Network
@Engineer_Computer
🕊1
هرگزارشی مندینت داد را باید خواند
با شما هستم سطح ۲ و ۳ مرکز عملیات !!
https://cloud.google.com/blog/topics/threat-intelligence/russian-espionage-influence-ukrainian-military-recruits-anti-mobilization-narratives/?linkId=11511095
@Engineer_Computer
با شما هستم سطح ۲ و ۳ مرکز عملیات !!
https://cloud.google.com/blog/topics/threat-intelligence/russian-espionage-influence-ukrainian-military-recruits-anti-mobilization-narratives/?linkId=11511095
@Engineer_Computer
Google Cloud Blog
Hybrid Russian Espionage and Influence Campaign Aims to Compromise Ukrainian Military Recruits and Deliver Anti-Mobilization Narratives…
A suspected Russian hybrid espionage and influence operation, delivering Windows and Android malware.
وقتی رشته های chrome پنبه میشود
https://github.com/xaitax/Chrome-App-Bound-Encryption-Decryption
@Engineer_Computer
https://github.com/xaitax/Chrome-App-Bound-Encryption-Decryption
@Engineer_Computer
GitHub
GitHub - xaitax/Chrome-App-Bound-Encryption-Decryption: Fully decrypt App-Bound Encrypted (ABE) cookies, passwords & payment methods…
Fully decrypt App-Bound Encrypted (ABE) cookies, passwords & payment methods from Chromium-based browsers (Chrome, Brave, Edge) - all in user mode, no admin rights required. - xaitax/Chrome...
Please open Telegram to view this post
VIEW IN TELEGRAM
🤩1
https://github.com/0x4D31/awesome-threat-detection
@Engineer_Computer
Please open Telegram to view this post
VIEW IN TELEGRAM
GitHub
GitHub - 0x4D31/awesome-threat-detection: ✨ A curated list of awesome threat detection and hunting resources 🕵️♂️
✨ A curated list of awesome threat detection and hunting resources 🕵️♂️ - 0x4D31/awesome-threat-detection
🔥4👍1
#APT34 #OilRig #Earth_Simnavaz
تیم APT34 اخیرا حمله ای رو در خاورمیانه انجام داده که نسبت به نسخه های قبل TTP پیشرفته تری داشته است.
زنجیره حمله به این صورت بوده که بواسطه یک آسیب پذیری عمومی یک Web Shell بر روی وبسرور MS Exchange قربانی بار گزاری کرده و ی تونل پروتکل RMM بر پایه Ngrok پیاده سازی میشه.
در مرحله بعدی مهاجمین بواسطه یک آسیب پذیری Race Condition با شناسه CVE-2024-30088 روی ساختمان _AUTHZBASEP_SECURITY_ATTRIBUTES_INFORMATION اجرا میشه که مستقیما مقادیرش رو از سمت کاربر و بواسطه اشاره گر SecurityAttribute میگیره که این اشاره گر با RC امکان کپی Shellcode با RtlCopyUnicodeString رو خواهد داد.
که البته Shellcode مورد استفاده در اصل یک ابزار منبع باز با نام RunPE-In-Memory بوده که میاد یک فایل فرمت PE رو در حافظه مستقیما Map میکنه بی آنکه Stage ازش در حافظه سخت باشه.
اما بعد از ارتقاء سطح دسترسی مهاجمین میان و Register Password filter DLL رو دستکاری میکنند و با PasswordFilter اقدام به بازیابی اطلاعات کاربران Exchange میکنند.
@Engineer_Computer
تیم APT34 اخیرا حمله ای رو در خاورمیانه انجام داده که نسبت به نسخه های قبل TTP پیشرفته تری داشته است.
زنجیره حمله به این صورت بوده که بواسطه یک آسیب پذیری عمومی یک Web Shell بر روی وبسرور MS Exchange قربانی بار گزاری کرده و ی تونل پروتکل RMM بر پایه Ngrok پیاده سازی میشه.
در مرحله بعدی مهاجمین بواسطه یک آسیب پذیری Race Condition با شناسه CVE-2024-30088 روی ساختمان _AUTHZBASEP_SECURITY_ATTRIBUTES_INFORMATION اجرا میشه که مستقیما مقادیرش رو از سمت کاربر و بواسطه اشاره گر SecurityAttribute میگیره که این اشاره گر با RC امکان کپی Shellcode با RtlCopyUnicodeString رو خواهد داد.
که البته Shellcode مورد استفاده در اصل یک ابزار منبع باز با نام RunPE-In-Memory بوده که میاد یک فایل فرمت PE رو در حافظه مستقیما Map میکنه بی آنکه Stage ازش در حافظه سخت باشه.
اما بعد از ارتقاء سطح دسترسی مهاجمین میان و Register Password filter DLL رو دستکاری میکنند و با PasswordFilter اقدام به بازیابی اطلاعات کاربران Exchange میکنند.
@Engineer_Computer