Rapport (رابطه متقابل یا اعتمادسازی)

اعتماد سازی یعنی ساختن یه رابطه دوستانه و مبتنی بر اعتماد با هدف، که باعث می‌شه ارتباط راحت‌تر بشه. طبق تعریف Merriam-Webster، یه رابطه harmonious با درک متقابل و همدلیه. در مهندسی اجتماعی، اعتماد سازی از طریق OSINT (مثل پیدا کردن علایق هدف) ساخته میشه.

چرا مهمه؟ بدون اعتماد سازی، حمله مهندسی اجتماعی موفق نمیشه. کتاب میگه اعتماد سازی مثل یه پل ارتباطیه که هدف رو آماده میکنه تا اطلاعات بده یا عملی انجام بده. این اصل در vishing و فیشینگ خیلی کاربردیه.

مثال : یه مهندس اجتماعی با OSINT می‌فهمه هدف طرفدار تیم فوتبالیه، بعد تو تماس تلفنی میگه: "منم طرفدار همون تیمم!" این باعث می‌شه هدف راحت‌تر باهاش حرف بزنه. نویسنده از تجربه خودش در کنفرانس Layer 8 میگه که با گرفتن عکس برای یه زوج، اعتماد متقابل ساخت و اطلاعات گرفت.

یه مثال واقعی: تو فروش تلفنی بیمه، فروشنده اول از مشتری میپرسه "شما بچه دارید؟ منم تازه پدر شدم!" تا اعتماد متقابل بسازه.


Dr. Cialdini’s Six Principles of Persuasion (شش اصل متقاعدسازی دکتر Cialdini)

دکتر Robert Cialdini تو کتابش "Influence: The Psychology of Persuasion" شش اصل رو معرفی کرده که در مهندسی اجتماعی خیلی استفاده میشن. من authority رو جدا توضیح دادم، حالا بقیه رو با جزئیات بیشتر میگم.

Authority (اقتدار)

تعریف دقیق: مردم به کسایی که اقتدار دارن (یا وانمود میکنن دارن) اعتماد میکنن و ازشون پیروی میکنن.

چرا مهمه؟ اقتدار باعث میشه هدف بدون سوال کردن عمل کنه. کتاب هشدار میده که ادعای اقتدار دولتی (مثل پلیس) غیرقانونیه، ولی استفاده از اقتدار جعلی (مثل "من از IT شرکتتونم") رایجه.

مثال از کتاب: تو vishing، هکر میگه: "من از طرف مدیرعامل زنگ زدم، لطفاً SSID وای‌فای رو بدید." هدف به خاطر اقتدار اطاعت میکنه.

Likability (دوست‌داشتنی بودن)

تعریف دقیق: مردم به آدم‌های دوست داشتنی کمک میکنن چون حس خوبی بهشون میدن.

چرا مهمه؟ دوست داشتنی بودن اعتماد رو سریع میسازه. کتاب میگه فروشندگان با compliment یا رفتار دوستانه، likability میسازن.

مثال : یه فروشنده به مشتری میگه: "شما خیلی با سلیقه‌اید!" تا حس خوبی بده و فروش کنه.

Commitment and Consistency (تعهد و ثبات)

تعریف دقیق: مردم دوست دارن به تعهداتشون پایبند بمونن و در رفتارشون تعهد و ثبات باشه.

چرا مهمه؟ این اصل باعث میشه هدف بعد از یه تعهد کوچک، کارهای بزرگ‌تر انجام بده. کتاب میگه فروشندگان از این برای روابط بلندمدت استفاده میکنن.

مثال : یه فروشنده میگه: "من همیشه به مشتری‌هام اولویت میدم" تا حس ثبات بده و مشتری اعتماد کنه.

Urgency and Scarcity (فوریت و کمبود)

تعریف دقیق: وقتی چیزی کمیابه یا زمان محدوده، مردم سریع‌تر عمل میکنن.

چرا مهمه؟ این اصل فشار روانی ایجاد میکنه و تصمیم‌ گیری عقلانی رو کم میکنه. در مهندسی اجتماعی، فوریت باعث میشه هدف بدون فکر کلیک کنه یا اطلاعات بده.

مثال : میگه تو ثبت‌نام یه gym، تایمر ۱ دقیقه‌ای گذاشتن تا کمبود یا فوریت بسازن و مشتری سریع ثبت‌نام کنه.
@PfkSecurity

Social Proof (اثبات اجتماعی)

تعریف دقیق: مردم کاری رو میکنن که بقیه انجام دادن، چون فکر میکنن درسته یا معتبره.

چرا مهمه؟ ثبات اجتماعی اعتماد میسازه و هدف رو متقاعد میکنه. کتاب میگه هکرها از اسم افراد تاثیرگذار شرکت برای فریب استفاده میکنن.

مثال از کتاب: هکر ایمیلی میفرسته و میگه: "مدیرتون گفت شما می‌تونید این مشکل رو حل کنید" تا هدف عمل کنه.

Reciprocity (جبران یا بده‌وبستان)

تعریف دقیق: مردم حس میکنن باید به کسی که بهشون کمک کرده، کمک کنن.

چرا مهمه؟ این اصل باعث میشه هدف بعد از گرفتن یه لطف، اطلاعات بده یا عملی انجام بده. کتاب میگه این روش تو مهندسی اجتماعی خیلی قویه.

مثال از کتاب: نویسنده برای یه زوج تو پارک عکس گرفت و باهاشون گپ دوستانه‌ای زد. بعد ازشون خواست به یه سوال ساده درباره مقصد سفرشون جواب بدن. زوج که حس کردن باید لطف نویسنده رو جبران کنن، با خوشحالی جواب دادن و حتی اطلاعات تماسشون رو دادن.

Sympathy vs. Empathy (همدردی در مقابل همدلی)

تعریف دقیق:
- همدردی: ابراز تاسف یا نگرانی برای وضعیت بد یه نفر (مثل از دست دادن عزیز).
- همدلی: درک احساسات هدف انگار خودت تو موقعیتش باشی، با استفاده از تجربیات مشترک.

چرا مهمه؟ هر دو برای اعتماد سازی مهمن، ولی همدلی قوی‌تره چون حس عمیق‌تری ایجاد میکنه. کتاب هشدار میده که اگه همدلی بیش از حد استفاده بشه (مثلاً برای هر چیزی داستان داشته باشی)، هدف مشکوک میشه.

مثال : اگه هدف بگه عمه‌ش فوت کرده، با همدردی میگی "متاسفم"، ولی با همدلی میگی "منم چند سال پیش پدربزرگم رو از دست دادم، می‌فهمم چقدر سخته." این باعث اعتماد سازی میشه.


Conclusion (نتیجه‌گیری)

مهندسی اجتماعی یه ابزار قویه، ولی اعتماد سازی قلبشه. با درک روانشناسی (مثل اصول Cialdini) و استفاده از OSINT، می‌تونی حمله رو موفق کنی، اما باید همیشه اخلاقی باشی. هدف تست‌های نفوذ، امن‌ تر کردن سازمانهاست، نه آسیب زدن. خارج از بحث، این اصول تو زندگی روزمره (مثل فروش، سیاست، یا حتی روابط خانوادگی) هم دیده میشن

@PfkSecurity

Zero Click, One NTLM: Microsoft Security Patch Bypass (CVE-2025-50154)


به مهاجم اجازه می‌دهد تا بدون هیچ تعامل کاربری، حتی روی سیستم‌های کاملاً پچ شده، هش‌های NTLM را استخراج کند. با exploiting از یک شکاف ظریف باقی‌مانده در راهکار کاهش آسیب، مهاجم می‌تواند درخواست‌های احراز هویت NTLM را به‌طور خودکار فعال کند و این امکان را برای حملات کرک آفلاین یا حملات relay فراهم می‌آورد تا دسترسی غیرمجاز کسب کند.

@PfkSecurity

امروز صبح می‌خواستم توجه شما را به یک روش جدید برای نشت هش NetNTLM سیستم جلب کنم، حتی اگر از یک حساب کاربری با دسترسی های پایین کار می‌کنید.

همه چیز بر پایه عمق‌های RPC استوار است... خب! بیایید بررسی کنیم. در RPC، نقاط پایانی معمولی (Well-Known Endpoints) و پویا وجود دارند. نقاط پایانی پویا برای این هستند که سیستم خودش نقطه پایانی را به سرور RPC اختصاص دهد، نه اینکه سرور خودش آن را تعیین کند. برای مثال، سرور RPC فقط می‌گوید که می‌خواهد روی TCP کار کند، و پورت توسط سیستم اختصاص داده می‌شود. کلاینت ها، برای اینکه پورت تارگت برای اتصال را بدانند، به سرویس خاصی به نام RPC Endpoint Mapper مراجعه میکنند که گزارش میدهد سرور تارگت روی فلان پورت کار میکند.

حالا باید یک نادرستی را اصلاح کنیم. کل سرور RPC روی نقطه پایانی پویا ثبت نمیشود، بلکه رابط خاص آن ثبت می‌ شود. و در رابط، متدهایی وجود دارند که برای مشتریان قابل فراخوانی هستند. این مکانیسم را با جزئیات بیشتر، همراه با مثال‌های کد، در مقاله‌ای بررسی کرده‌ام.

چه می‌شود اگر اینترفیس خودمان را زودتر از سرور RPC قانونی ثبت کنیم؟ این سؤال را یک محقق از SafeBreach مطرح کرد و CVE-2025-49760 را کشف کرد. منطق کار اکسپلویت این است که ثبت اینترفیس قانونی سرویس Storage Service را پیشی بگیریم، سپس منتظر فراخوانی از سرویس دیگری Delivery Optimization Service بمانیم. سرویس دوم متد RPC به نام SvcGetStorageDeviceInfo() را فراخوانی می‌ کند، و در پاسخ، ما یک مسیر UNC برمی‌ گردانیم! و سرویس Delivery Optimization Service به این مسیر می‌ رود و اعتبارنامه‌های کامپیوتر را باقی می‌ گذارد.

ارائه از DEF CON 33 را می‌توانید اینجا ببینید.

@PfkSecurity

https://github.com/TryHackBox/Kaveh-WebDiff-Monitor

این ابزار یک مانیتورینگ تغییرات و وضعیت HTTP است که برای بررسی سلامت سرویس‌های وب، مانیتورینگ Virtual Hostها و شناسایی تغییرات محتوا استفاده می‌شود.
با استفاده از این اسکریپت می‌توانید چندین IP/Port/Schema/Vhost را به صورت دوره‌ای بررسی کنید و در صورت تغییر وضعیت پاسخ یا تغییر در محتوای صفحه، هشدار دریافت کنید.

امیدوارم از این ابزار خوشتون بیاد و مفید باشه دوستان .

مجوز برای دزدی از مردم!

بانک مرکزی اعلام کرده است اگر مردم به «نهادهای مالی و اعتباری و صندوق‌های قرض‌الحسنه» که مجوز از بانک مرکزی ندارند مراجعه کنند مسئولیت امر با خود مردم است!

این چه دولتی است که مانع فعالیت «نهادهای مالی و اعتباری و صندوق‌های قرض‌الحسنه» بدون مجوز نمی‌شود و آن‌ها آزادانه می توانند تبلیغ کنند و محل فعالیت خود را بخرند یا اجاره کنند و از مردم پول بگیرند؟!

آیا از اختیارات بانک مرکزی نیست که چنین نهادهای مالی را شناسایی و غیرمجاز بودن آن‌ها را به دادستانی اعلام کند؟

آیا دادستانی مانند بخشنامه‌های سگ‌گردانی نمی‌تواند به نیروی انتظامی ابلاغ کند فعالیت بنگاه‌های مالی را شناسایی کنند و مانع فعالیت آن‌ها شوند؟!

تاکنون چند نهاد مالی بدون مجوز فعالیت کرده و بعد مدیران آن‌ها فراری یا ورشکسته شده‌اند و دولت با کمک همین بانک مرکزی از محل منابع مالی ملی بخشی از پول‌های به‌باد‌رفته را به صاحبان آن‌ها برگردانده ولی بنیادگذاران این نهادهای بدون مجوز پول‌های دزدیده شده از مردم را بین خود و حمایت‌گران وابسته به نظام تقسیم کرده‌اند؟!

بنظرم یک نگاه به زندان هایتان بیندازید و سبک و سنگین کنید ...

🤖🔍اپراتور OpenAI - کلیک روی منبع دلخواه توسط حمله TOCTOU.

https://github.com/google/security-research/security/advisories/GHSA-mp56-7vrw-qxvf

@PfkSecurity

exploitee.rs
اکسپلویت‌های دستگاه‌های IoT

@PfkSecurity

پیاده سازی زیرساخت تیم قرمز

پیاده سازی خودکار زیرساخت تیم قرمز با استفاده از GitHub Actions.
بر پایه اصولی که توسط Ralph May WarHorse گذاشته شده است.

این مجموعه ابزار، پیاده سازی خودکار زیرساخت تیم قرمز را با استفاده از جریان‌های کاری GitHub Actions فراهم می‌کند. این ابزار از فدیم ورک های C2 قابل تنظیم و عملیات فیشینگ پشتیبانی می‌کند و بر پیاده سازی ایمن و قابل تکرار تأکید دارد.

https://github.com/CultCornholio/RedTeamTP

@PfkSecurity

در جامعه‌ ای که توهین به مقدسات مذهبی، پیامبران یا امامان می‌تواند حکم اعدام داشته باشد، چرا بی‌احترامی به فردوسی احیاکننده زبان پارسی و نماد هویت ملی و شاهنامه شناسنامه فرهنگی ایران هیچ جرمی ندارد و حتی برای جذب ویو یا فالور تشویق می‌شود؟ این نابرابری نشان‌دهنده اولویت‌های اشتباهی است که میراث هزارساله ایرانی را فدای ایدئولوژی میکند. خانم موسوی و حامیانش، با این "طنز" دم‌دستی، نه تنها به فردوسی توهین کرده‌ اید، بلکه به ریشه‌های مشترک همه ایرانیان ضربه زده‌اید. فردوسی با ۳۰ سال رنج، زبان و فرهنگ ما را زنده کرد. شما با یک کلیپ، آن را مسخره می‌کنید. شرم بر چنین "کمدی" که هویت ملی را قربانی می‌کند!

https://twitter.com/KavehxNet/status/1960703765188895147?s=19

CVE-2025-34073

fofa   app="Maltrail"

POST /login HTTP/1.1
Host: {{Hostname}}
Content-Type: application/x-www-form-urlencoded

username=;ls

@PfkSecurity

Red teaming tool to dump LSASS memory, bypassing basic countermeasures.

https://github.com/0xdea/blindsight

@PfkSecurity

https://dinohacks.com/posts/2025/2025-03-17-defeating-string-obfuscation-in-obfuscated-nodejs-malware/

شکستن Obfuscation رشته‌ها در بدافزار NodeJS مبهم‌ شده با استفاده از AST


در مقاله‌ی «Defeating String Obfuscation in Obfuscated NodeJS Malware using AST» که در سایت DinoHacks منتشر شده، به روشی پرداخته می‌ شود که از تحلیل ساختار نحوی کد (AST یا همان Abstract Syntax Tree) برای مقابله با رمزگذاری پیچیده رشته‌ ها در بدافزارهای نوشته‌ شده با NodeJS استفاده می‌ کند.

خلاصه
⦁ بدافزارهای NodeJS اغلب کدهای خود را به صورت مبهم (Obfuscated) در می‌ آورند تا تحلیلشان سخت شود، به‌ خصوص رشته‌های حساس مثل URLها، کلیدها یا کدهای کاری.
⦁ تحلیل دستی این رشته‌های رمزگذاری شده زمان‌بر و پرخطاست.
⦁ با استفاده از AST، یعنی تبدیل کد به ساختار درختی نحو، میتوان رشته‌ها و متغیرهای رمزگذاری شده را شناسایی و مقادیر واقعی آنها را استخراج کرد.
⦁ این روش باعث می‌ شود فرآیند تحلیل بدافزار سریع‌تر، دقیق‌تر و اتوماتیک‌تر شود.
⦁ در نهایت، این رویکرد، ابزار مفیدی برای محققان امنیتی و افراد مقابله‌کننده با بدافزارهای NodeJS فراهم می‌کند تا بدون نیاز به بازنویسی دستی کل کد، به سرچشمه داده‌های رمزگذاری شده برسند.

@PfkSecurity

https://www.preludesecurity.com/runtime-memory-protection

معرفی حفاظت از حافظه در زمان اجرا
پیش‌نمایش تحقیقاتی عامل ویندوز در حالت کاربر ما که به طور جامع اجرای کدهای مخرب را شناسایی می‌کند.

@PfkSecurity

این یک فازر پایه برای سندباکس V8 است

https://github.com/googleprojectzero/fuzzilli/commit/675eccd6b6d0c35ea6c7df24a0a1e513cce45bb3

@PfkSecurity

ابزار آنلاین Deobfuscator پاورشل

https://minusone.skyblue.team/

https://github.com/airbus-cert/minusone

@PfkSecurity