بعد از مدت‌ها خواستم یکسری نرم‌افزاری که استفاده نمی‌کنم رو از گوشی پاک کنم(معمولا به صورت دوره‌ای اینکارو انجام میدم)

رفتم داخل اَپ سروش و همچین صحنه‌ای دیدم 😁

پ.ن: توصیه می‌کنم اگر از نرم‌افزاری ماه‌ها استفاده نکردید پاکش کنید، چون نرم‌افزار آسیب‌پذیر یک attack vector یا بردار حمله محسوب میشه، یعنی یک راه نفوذ برای هکر‌ها!

پ.ن۲: متاسفانه از این دست پیام‌ها خیلی زیاد ارسال میشه، نادید بگیرید.

@GothamSec | #sleepless #Advice

قسمت چهارم از مینی‌دوره رایگانم منتشر شد، توی چنل یوتوب TryHackBox ببینید.

https://youtu.be/lKyfB5zA2zA

@GothamSec | #course #free

ویدئو را ببینید، تا با حمله‌ی مهندسی اجتماعی آشنا شوید.

مهندسی اجتماعی یا Social Engineering مبتنی بر علوم روان‌شناسی است، در واقع شما باید بتوانید تمایلات انسان(Human Desires) را شکار کنید و نقاط ضعف روانی شخص مورد نظر(قربانی) را شناسایی کنید تا به نحوی، قربانی را تشویق به آن کاری کنید(سواستفاده) که شما می خواهید.


ویدئو را ببینید تا در پست‌ بعدی، من به شما نشان دهم که مهاجم(کلاه‌بردار) چطور سعی در شکار تمایلات این خانوم دارد تا آن را اقناع کند.

@GothamSec | #Social_Engineering #Vishing #Phishing

● مرتبط با ویدئو، پیاده سازی حمله‌ی Vishing؛

ویشینگ که از ترکیب دو کلمه‌ی Voice و Phishing است یکی از تکنیک‌های مهندسی اجتماعی محسوب می‌شود.
شما از طریق یک ارتباط صوتی، سعی در جمع‌آوری اطلاعات از قربانی دارید یا او را تشویق به انجام کاری می کنید.

برای تحلیل رفتار مهاجم، خط داستانی را دنبال کنید، تا ببینید کلاه‌بردار چطور با مهندسی اجتماعی سعی در شکار تمایلات قربانی دارد.

۱. ارتباط تلفنی به اندازه کافی اعتماد مخاطب را جلب می‌کند برای همین Vishing محبوب است.

۲. مهاجم سعی در جلب اعتماد قربانی می‌کند، و "تمایل به اعتماد" قربانی را می‌خواهد شکار کند ولی چطور؟ می‌گوید از طرف یک نهاد قانونی (برنامه رادیویی) است، تا به درخواستش مشروعیت بدهد.

۳. در قدم بعدی مهاجم با گزاره‌ی، "شما برنده ۴۰ میلیون تومان وجه‌ نقد در قرعه کشی شدید"، درصدد شکار "تمایل به طمع(Greed)" قربانی است، در ادامه حتی می‌گوید اگر آمادگی دارید که در پخش زنده صحبت کنید ما یک ربع سکه به شما می‌دهیم تا طمع‌ قربانی را شدت ببخشد.

۴. اطلاعات پی‌در‌پی را می‌دهد، یعنی آدرس می‌دهد، نام خودش را می‌گوید، حتی یک تلفن ثابت هم می‌دهد یعنی چه؟ یعنی قربانی اعتماد نکرده است و مهاجم باید بتواند در این مرحله با یکسری اطلاعات درست، سرپوشِ حقیقت را بر اطلاعات نادرست قبلی خودش بگذارد تا اعتماد قربانی را جلب کند.

۵. گزاره‌ای که مهاجم می‌گوید، این است که "شما دارید وقت ما را می‌گیرید و همکاران ما منتظر هستند" به این خاطر که یک موقعیت urgency ایجاد کند یا به عبارتی
یک شرایطی ایجاد می‌کند تا قربانی احساس فوریت کند، برای چه؟ احساس فوریت باعث می‌شود تا قربانی نتواند منطقی فکر کند.

۶. اطلاعات قربانی مثل نام پدر و کدملی و ... را بیان می‌کند تا تیر آخر را بزند ولی حمله با هوشمندی این خانوم آگاه شکست خورد.

متاسفانه در کشور ما آنقدر نشت اطلاعاتی رخ داده است که با این اطلاعات می‌توان چنین حملاتی را بر علیه شهروندان ترتیب داد!

نتیجه‌گیری:
حمله‌ی ویشینگ یک تهدید جدی است که از طریق مهندسی اجتماعی و سوءاستفاده از احساسات انسانی مانند اعتماد، طمع، و حس فوریت انجام می‌شود. با افزایش آگاهی و رعایت نکات امنیتی، می‌توان از این نوع حملات جلوگیری کرد. در این سناریو، هوشمندی و آگاهی قربانی باعث شد حمله شکست بخورد.

@GothamSec

Many high-profile “hacking” cases began with social engineering:

•   Target data breach, 2013: phishing e-mail
•   Sony, 2014: phishing
•   Democratic National Committee e-mail leak, 2016: spear phishing
•   Ukraine electric grid attack, 2018: phishing

—Wm. Arthur Conklin, “CompTIA Security+ All-in-One Exam Guide (Exam SY0-601))”, p. 17

@GothamSec | #Social_Engineering

من که با نگاه شیرین تو فرهاد شدم...
مگه این کافی نبود که منو مجنون کردی؟

ارسالی: امیر رضا مقدس ❤️
- - - -
اگر به تازگی کات کردید گوش ندید.
#جدی

@GothamSec

چطور انسان با موسیقی هک می‌شود؟

● خاطرات ناخوشایند مثل یک ضعف، یا weakness در ذهن عمل می‌کنند، و از طریق یک موسیقی می‌توان آن را اکسپلویت کرد.


پ.ن: این مطلب رو من سال گذشته از ویرگول منتشر کردم، چندان طولانی نیست، مایل بودید بخونید :)

@GothamSec | #Exploit #Music

📖 Book Name: The Hacker Mindset
📝 Denoscription: How thinking like a hacker can improve your code, your coffee, and your life
✍️ Author: Francesco Carlucci
Pages: 91
- - - - - - - - - -

یاد بگیرید همانند یک #هکر بی‌اندیشید.

@GothamSec | #book #mindset

کتابِ فنی نیست، پس در هر حوزه‌ای مشغول به فعالیت هستید محتوای کتاب براتون مفید خواهد بود 👌🏻

@GothamSec

The NIST Definition of Cloud Computing

تعریف خوب از فناوری کلود

کلود را خیلی ساده نمی‌شود تعریف کرد، زیرا تعریف دقیقی از واژگان فنی نیاز است.
این فناوری چه ویژگی‌هایی دارد؟ چه خدماتی را ارائه می‌دهد؟ و حتی چه فناوری‌هایی در آن دخیل است که مبحث orchestration مهم می‌شود، که در نهایت اکوسیستم کلود معنا پیدا می‌کند.

@GothamSec | #Cloud #NIST

راس، به اقتضای فعالیت مجرمانه‌ای که داشت انسانِ مرموزی بود، در بندِ دنیای مدرن نبود، شلخته و البته باهوش بود.

راس سال ۲۰۱۳ به جرم راه‌اندازی یک وب‌سایت به اسم سیلک‌رود(marketplace برای خرید و فروش مواد مخدر) در دارک وب بازداشت و به حبس ابد محکوم شد.

#پیشنهاد می‌کنم، اپیزود‌های ۲۳ تا ۲۶ silk road را از پادکست چَنل‌بی گوش دهید.

پ.ن: دیروز، راس مشمول عفو ترامپ قرار گرفت و آزاد شد :)

@GothamSec | #ross #silk_road

به نظر من،
نکته‌ی عمیق بین روایت‌ها، فعل و انفعال راس به عنوان مجرم نبود! بلکه ایدئولوژی بود؛
که حد و مرز فعل و انفعال راس را مشخص می‌کرد، به چه‌چیز‌هایی ایمان و اعتقاد دارید؟ پاسخ به این سوال دقیقا همان‌چیزی است که سرنوشت شما را ترسیم می‌کند.

راس، لیبرتاریانیسم(Libertarianism) بود اما گاهی هم یوتیلیتریانیسم(Utilitarianism) بود، چون معتقد به The end justifies the means بود یعنی "هدف، ابزار را توجیه می‌کند".

حال سوال این است؛
انسان در بند ایدئولوژی است یا ایدئولوژی در بند انسان؟

برای امنیتِ تلفن‌همراه، حداقل هفته‌ای دو بار آن را ری‌استارت کنید.

کوتاه و خلاصه عرض کنم که،
بدافزارهای غیرپایا (Non-Persistent Malware) چیست؟

این بدافزارها تنها در حافظه موقت (RAM) اجرا می‌شوند و به دلیل فرّار (Volatile) بودن RAM، پس از ری‌استارت دستگاه پاک می‌شوند. از آنجا که این بدافزارها فایلی روی حافظه ثانویه (مثل هارددیسک) ایجاد نمی‌کنند، تشخیص آن‌ها توسط anti-malware دشوار است. 

مسئله اینجاست که،
آخرین بار چه زمانی تلفن‌همراه خودتان را ری‌استارت کردید؟ شاید زمان طولانی می‌گذرد!

@GothamSec | #malware

@GothamSec | #sleepless

تصویر به روز شد.

گزارش انجمن تجارت الکترونیک تهران در مورد وضعیت کیفیت #اینترنت ایران

پ.ن: به نظرم وقت بزارید و بخونید، یا حتی مواردی رو گزینشی بخونید، ولی خلاصه اگر بخوام بگم؛
وضعیت کیفی اینترنت ایران افتضاح هست.
شاید به مواردی از آن پرداختم.

@GothamSec | #shit

پیامی که برای دوستم ارسال شد و در فرایند کلاهبرداری قرار گرفت.

آگاه و مراقب باشید 👌

ولنتاین، بهانه‌ای است برای کشف دوباره‌ی عشق، فرصتی است برای تأمل اصالت عشق، هدیه دادن زیباست اما کافی نیست، در پَس لحظاتی که می‌سازید به معنای عشق بی‌اندیشید، آن را جستجو کنید.

پيشاپيش روز ولنتاین مبارک ❤️

@GothamSec | #Valentine

همانطور که حضرت مولوی می‌گوید؛

چند باشی عاشق صورت بگو
طالب معنی شو و معنی بجو
صورت ظاهر فنا گردد بدان
عالم معنی بماند جاودان