خبر جدید و جالب اینه که درایور minifilter ویندوز ، مثل درایور sysmon میتونه مورد سو استفاده قرار بگیره تا از بارگذاری درایور های EDR جلوگیری کنه ...

برای کسی که یه فرد خرابکاره یه خورده سخته که بیاد پروسس های Endpoint Detection and Response (EDR) رو متوقف کنه حتی اگر دسترسی محلی داشته باشه و یا مدیر سیستم باشه چونکه این فرایند ها به صورت خودکار و پایدار عمل میکنن ، این EDR میاد اِند پوینت هارو توی شبکه تحلیل و برسی میکنه و با حملاتی که میشه مقابله میکنه حالا میخواد یه باج افزار باشه یا هرچی ، در واقع EDR نوعی حفاظت از اِند پوینته که با استفاده از اطلاعاتی که جمع میکنه از دستگاه‌های اِند پوینت ، برای درک نحوه رفتار تهدید های سایبری و روش‌های واکنش سازمان‌ها به تهدید های سایبری استفاده میکنه و اینطور کار میکنه که به صورت real time شبکه رو تحت نظر میگیره و اگر چیز مشکوکی دید به تیم امنیتی هشدار هایی میده...

حالا چطور میشه متوقفش کرد ؟
امروز یه گزارشی رو دیدم و اینطور که من فهمیدم  یه روش برای این کار هست ، بزارید یه مثال بزنم ... فرض کنین یه سازمان از EDR استفاده میکنه برای نظارت به فعالیت های مشکوک توی سیستم هاش ، حالا اگه یه مهاجم بیاد از درایور Minifilter ویندوز برای تغییر Altitude درایور Sysmon استفاده کنه میتونه مانع بشه از ثبت درایور EDR توی Filter manager بشه و همین میتونه EDR رو متوقف کنه

یه ری اکشنمون نشه ؟

دو مقدار هگزادسیمال A2FB و CD1A رو باهم جمع کنین و مقدار فلگ های AF , OF , ZF , SF ، PF رو حساب کنین ؟

کار BUS چیه ؟

هشداری از سمت CISA صادر شده که درمورد بهره برداری از 5 آسیب پذیری حیاتی سازمان هارو مطلع میکنه و این آسیب پذیری ها به صورت فعال درحال بهره برداری هستن و سازمان هایی که از این محصولات استفاده میکنن باید حواسشون جمع باشه ، این آسیب پذیری ها چندین پلتفرم نرم افزاری رو تحت تاثیر قرار دادن که :

1 - آسیب پذیری Apache HugeGraph-Server :
اونو با CVE-2024-27348 میشناسیم که یه آسیب پذیری مهمه و ناشی از کنترل دسترسی نامناسبه و به مهاجم اجازه میده کد دلخواهشو به صورت ریموت اجرا کنه (RCE)

2- آسیب پذیری microsoft SQL server reporting services  :
اونو با CVE-2020-0618 میشناسیم که این یه نقص deserialization هست که به مهاجم احراز هویت شده اجازه اجرای کد دلخواهش رو با سطح دسترسی خود حساب همین ریپورت سرویس اجرا کنه‌ .

3- آسیب پذیری Microsoft Windows Task Scheduler :
اونو با CVE-2019-1069 میشناسیم و باعث افزایش امتیاز میشه و با بهره برداری از تابع ()SetJobFileSecurityByName مهاجم میتونه امتیاز خودشو به سطح SYSTEM برسونه .

4- آسیب پذیری Oracle JDeveloper :
مربوط به بخشی از fusion middleware هستش که این آسیب پذیری رو با CVE-2022-21445 میشناسیم و ناشی از یه deserialization توی مؤلفه ADF faces هست که به یه مهاجم تایید شده اجازه اجرای کد از راه دوره میده .

5- آسیب پذیری Oracle WebLogic : که اونو با CVE-2020-14644 میشناسیمش باز مربوط به بخشی از fusion middleware هست که با بهره برداری از این آسیب پذیری مهاجم احراز هویت نشده میتونه با استفاده از پروتکل های IIOP و T3 و با سو استفاده از deserialization میتونن به شبکه دسترسی پیدا کنن و ریموت کد اگزکیوشن کنن .

همه این آسیب پذیری ها هنوزم که هنوزه به طور گسترده ای داره ازشون استفاده میشه چراکه خیلی از سازمان ها هنوز پچ نکردن و ...

شاهرگمو میزنم بخدا 😂