Salty2FA: عبور از احراز هویت چندعاملی در یک کمپین فیشینگ پیشرفته

آغاز عصری تازه در فیشینگ

پژوهشگران امنیت سایبری کیت فیشینگ نسل جدیدی به نام Salty2FA را شناسایی کرده‌اند که با استفاده از تکنیک‌های پیشرفته می‌تواند احراز هویت چندمرحله‌ای (MFA) را دور بزند و درگاه‌های ورود سازمانی معتبر را جعل کند.

این کیت در تحقیقات اختصاصی «مرکز دفاع سایبری Ontinue» معرفی شد. محققان آن را بخشی از یک روند تکاملی در فیشینگ دانستند که شباهت زیادی به روش‌های توسعه‌ی نرم‌افزارهای قانونی دارد.

کمپین با یک ایمیل فریبنده آغاز می‌شود که قربانی را به صفحه‌ای جعلی برای اشتراک‌گذاری اسناد هدایت می‌کند. این صفحه روی Aha.io ساخته شده و در تاریخ ۳ سپتامبر ۲۰۲۵ از طریق یک حساب کاربری رایگان ایجاد شده است.

زنجیره‌ی حمله چندمرحله‌ای

به‌محض ورود قربانی به سایت مخرب، ابتدا از او خواسته می‌شود یک کپچای Cloudflare Turnstile را تکمیل کند. جالب اینجاست که همین مرحله جلوی ابزارهای خودکار تحلیل و sandboxها را می‌گیرد، اما به انسان اجازه ادامه می‌دهد.

پس از آن، کیت فیشینگ یک زنجیره حمله چندمرحله‌ای را پیاده می‌کند که توسط زیر دامنه‌های چرخشی مبتنی بر نشست (session-based rotating subdomains) پشتیبانی می‌شود. هر کاربر جدید یک URL منحصربه‌فرد دریافت می‌کند. همین موضوع باعث می‌شود مدافعان تقریباً نتوانند این دامنه‌ها را بلاک کنند یا کمپین را مختل سازند.

هنر جعل هویت

محققان Ontinue توانایی کیت را در برندسازی پویا برجسته کرده‌اند. Salty2FA با تحلیل دامنه ایمیل قربانی، یک درگاه ورود جعلی تولید می‌کند که شامل لوگو، رنگ‌ها و طراحی مخصوص همان شرکت است.

این روش واقع‌گرایی حمله را به‌شدت بالا می‌برد و در صنایع مختلفی از جمله سلامت، مالی، فناوری و انرژی مشاهده شده است.

علاوه بر این، کیت می‌تواند تا ۶ نوع احراز هویت چندمرحله‌ای مانند SMS، اپلیکیشن‌های احراز هویت، و کدهای تماس تلفنی را شبیه‌سازی کند. این باعث می‌شود قربانی گمان کند با سیستمی امن و معتبر در تعامل است.

اجتناب از شناسایی دفاعی

برای سخت‌تر کردن کار مدافعان، این بدافزار از مبهم‌ سازی کد (obfuscation) و تکنیک‌های ضد دیباگ استفاده می‌کند که تحلیل مهندسی معکوس را بسیار دشوار می‌سازد.

سطح بالای پیچیدگی این حمله نشان‌دهنده‌ی حضور یک گروه جنایتکار سازمان‌یافته و دارای منابع مالی قوی است، هرچند محققان Ontinue هنوز انتساب دقیقی ارائه نکرده‌اند.


این کشف با موج اخیر فیشینگ‌های پیشرفته هم‌راستا است. داده‌های شرکت Menlo Security نشان می‌دهد از سال ۲۰۲۳ تاکنون:

۱۴۰٪ افزایش در فیشینگ مبتنی بر مرورگر

۱۳۰٪ افزایش در حملات فیشینگ «صفر ساعته» (zero-hour) که از آسیب‌پذیری‌های وصله‌ نشده سوء استفاده می‌کنند.

این روندها نشان می‌دهد که دفاع در برابر کیت‌های «phishing 2.0» که ترکیبی از پیچیدگی فنی و فریب روانی هستند، روزبه‌روز دشوارتر می‌شود.

دیدگاه کارشناسان

نیکول کاریگنان (معاون ارشد استراتژی امنیت و هوش مصنوعی در Darktrace):
«سازمان‌ها نمی‌توانند روی کارمندان به‌عنوان آخرین خط دفاعی حساب کنند. سیستم‌های یادگیری ماشین که الگوهای رفتاری عادی را تشخیص می‌دهند، برای شناسایی فعالیت‌های مشکوک حیاتی هستند.»

جیسون سوراکو (پژوهشگر ارشد در Sectigo):
«همه‌ی احراز هویت چندمرحله‌ای به یک اندازه امن نیستند. روش‌های MFA مبتنی بر راز مشترک (مانند رمزهای یکبار مصرف) درست به اندازه‌ی گذرواژه‌ها در برابر صفحات جعلی آسیب‌پذیرند. آموزش و استفاده از روش‌های قوی‌تر MFA ضروری است.»

⭐️ @ZeroSec_team

ابزار امنیتی تهاجمی: smugglo

smugglo که توسط b3rito توسعه یافته، ابزاری برای «HTML smuggling» است که payload های HTML خود کفا تولید می‌کند و قادر است فایل‌های دلخواه را مستقیماً داخل یک سند HTML قابل رندر توسط مرورگر جاسازی کند.

وقتی این فایل‌ها در مرورگر باز شوند، با استفاده از جاوااسکریپت سمت‌کلاینت، فایل اصلی را بازسازی کرده و بدون نیاز به تعامل کاربر، دانلود آن را به‌طور خودکار راه‌اندازی می‌کنند. این ابزار از چندین روش کدگذاری و رمزنگاری برای مبهم‌سازی محتوای جاسازی‌شده پشتیبانی می‌کند، از جمله Base64، هگز، XOR و AES-GCM.

کاربرد آن در تست مسیرهای تحویل فایل است به‌ویژه در محیط‌ هایی که با فیلتر های محتوا، sandbox ها، راهکارهای EDR یا سامانه‌های ضدویروس محافظت می‌شوند؛ بدین وسیله می ‌توان اثر بخشی مکانیزم‌ های دفاعی را بررسی کرد.

لینک ابزار :‌
https://github.com/b3rito/smugglo.git

⭐️ @ZeroSec_team

بنازم😂
Salty2FA
مثل دوستیه که هم کیف پولت رو می‌زنه، هم یه کیف جعلی می‌ده دستتو میگه مشتی نگران نباش، همه چیز امنه
گل و بلبل🗿

#Analytics
#hardening
"Beyond the Horizon: Uncovering Hosts and Services Behind Misconfigured Firewalls", 2025.

// In this paper, we present the first comprehensive study of a previously understudied attack surface: firewall misconfigurations that inadvertently expose protected services to the public Internet. Specifically, we demonstrate flawed firewall rules that allow inbound connections from special source ports to bypass the firewall, and explore the prevalence and security implications thereof

See also:
]-> Firewall configurations assessment tool
]-> Configuration security analyzer for network devices
]-> Detect/bypass WAFs and protection systems
]-> Network Configuration Compliance Checker

⭐️ @Zerosec_team

این مقاله به بررسی تکنیک‌ های تزریق پروسس در ویندوز میپردازه، که یکی از روش‌ های رایج بدافزارها برای پنهان‌ کاری و دور زدن ابزارهای امنیتی مثل آنتی‌ویروس، DLP (Data Loss Prevention) و فایروال‌هاست. تزریق پروسس یعنی کد مخرب رو داخل یک پروسس قانونی (مثل explorer.exe) اجرا کنی بدون اینکه فرآیند جدیدی بسازی ...
منبع
@TryHackBox | Github | YouTube | Group

#Windows #Process #Injection

1. Anthropic MCP Inspector Vulnerability
- From XSS to RCE (CVE-2025-58444)
https://medium.com/@Qubit18/from-xss-to-rce-critical-vulnerability-chain-in-anthropic-mcp-inspector-cve-2025-58444-7092ba4ac442

2. XSS-Leak: Leaking Cross-Origin Redirects
https://blog.babelo.xyz/posts/cross-site-subdomain-leak
#WebApp_Security

⭐️ @Zerosec_team

یک مینی رایتاپ باگ اخیر خودم روی یک برنامه Public :

Check Reflection (All Urls) -> Reflection in JS files ‼️(Backend Handling) -> Exploit Cache -> static JS file was used in login page -> Mass Account Takeover 

نکته :
رفلکشن رو همه Everywhere باید براتون جذاب باشه و سعی کنید اکسپلویت کنید

⭐️ @ZeroSec_team

باگ بزنید کیرم تو ساز و کار و زیربنای این کارمندی بیاد. این چه کسشعری بود درگیرش شدیم

سیسکو اعلام کرده که یه ضعف امنیتی با شناسه CVE-2025-20352 توی نرم‌افزارهای IOS و IOS XE وجود داره که امکان اجرای کد دلخواه (Remote Code Execution, RCE) یا دچار کردن دستگاه به حالت عدم پاسخ‌دهی (Denial of Service, DoS) رو فراهم می‌کنه.

این ضعف ناشی از بخش SNMP دستگاه‌هاست یعنی همان سیستمی که برای مدیریت شبکه و مانیتور کردن دستگاه‌ها استفاده میشه.

سیسکو گفته که این آسیب‌پذیری در حال حاضر داره به صورت عملی مورد سوءاستفاده قرار می‌گیره، یعنی هکرها ازش دارند استفاده می‌کنن.

⭐️ @ZeroSec_team

بچه هایی که میخوایید از تست XSS خیالتون راحت باشه تا روی بقیه آسیب پذیری ها متمرکز بشید حتما از Reflix استفاده کنید حتما هم با سوییچ -he اجرا کنید تا تستون کامل بشه ،
کلا بعد استفاده ازش خیالتون میتونه راحت باشه از تست رفلکشن ها و پیدا کردن سینک ها و سورس های آسیب پذیر👌

Github

Recommended Command :

reflix -l urls -X GET  -c 15 --dom --headless --xss -pi -hi -he 

⭐️ @ZeroSec_team

این هم ابزار خوبیه برای تست XSS

https://github.com/rootDR/ex-param

⭐️ @ZeroSec_team

🔥Google Dork - Sensitive Docs 📄

ext:txt | ext:pdf | ext:xml | ext:xls | ext:xlsx | ext:ppt | ext:pptx | ext:doc | ext:docx
intext:“confidential” | intext:“Not for Public Release” | intext:”internal use only” | intext:“do not distribute” site:example[.]com

⭐️ @Zerosec_team

محققای Rapid7 یک آسیب پذیری با شناسه ی CVE-2025-10184 و از نوع Blind SQL Injection، در سیستم عامل OxygenOS کشف و گزارش کردن که به یک برنامه، امکان دسترسی به داده ها و متادیتای SMS/MMS رو میده.

سیستم عامل OxygenOS، یک سیستم عامل مبتنی بر اندروید از شرکت چینی OnePlus، زیر مجموعه ی Oppo هستش.

محققا این آسیب پذیری رو یک مه، 11 اردیبهشت برای شرکت ارسال کردن، اما نتیجه ای نداشته، در نهایت گزارش فنی + PoC برای این آسیب پذیری رو بصورت عمومی منتشر کردن.

آسیب پذیری فعلا اصلاح نشده، بنابراین توصیه شده:

- برنامه های نصب شده روی گوشی رو به حداقل برسونید.
- به برنامه های معتبر از ناشران معتبر، اعتماد کنید.
- از احراز هویت دو عاملی مبتنی بر پیامک به برنامه های OTP مانند Google Authenticator مهاجرت کنید.
- با توجه به اینکه پیامک ها در دستگاههای OnePlus بدرستی ایزوله نشدن، توصیه شده ارتباطات حساس رو تنها از طریق اپلیکیشن ‌های رمزگذاری‌شده‌ی سرتاسری (E2EE) انجام بدید.
- در ایران باید مراقب رمزهای دوم بانکی و ... هم باشیم.

#آسیب_پذیری_امنیتی
#PoC #OxygenOS #Oppo #OnePlus #CVE

⭐️ @ZeroSec_team

‏🔒 فناوری پیشرفته هش کردن API با رمزنگاری AES

📌 خلاصه:
در این مقاله تخصصی، ما به بررسی تکنیک‌های پیشرفته‌ای نظیر مسموم‌سازی KnownDLLs پرداخته‌ایم که به‌طور کامل آنتی‌ویروس قدرتمند Bitdefender را دور می‌زند.
این پژوهش، با تمرکز بر رمزنگاری AES و API Hashing ، ابزارها و استراتژی‌هایی را برای محققان امنیت سایبری و تیم‌های قرمز ارائه می‌دهد تا در تکنیک های پیچیده امروزی پیشتاز باشند.

جزئیات این تکنیک‌های نوآورانه و نحوه پیاده‌سازی آن‌ها در دوره آموزشی آتی ما به‌طور جامع تشریح خواهد شد.

#RedTeam #CyberSecurity #Maldev #امنیت_سایبری #توسعه_بدافزار #تیم_قرمز

💬 Forum
📣 DarkBit

این مقاله رو الان براتون نوشتم مطالعه کنید:‌

How Attackers Compromise Big Tech — From Bug Bounty to Incident Response

https://medium.com/@nexovir/if-youre-testing-large-tech-companies-like-google-to-stay-one-step-ahead-of-other-hunters-you-43959061e1e5

How Attackers Compromise Big Tech — From Bug Bounty to Incident Response

If you’re testing large tech companies like Google, To stay one step ahead of other hunters , You must do the following:

1. JS Files Monitoring -> Change -> New Attack Surface! (watch for new/changed JS bundles (can reveal hidden endpoints or secrets) Prefer passive collection (CDNs, GitHub, public repos))

2. Daily Looking for New Url -> Let’s Check (Track sitemaps, Wayback, GitHub, Katana ,crawler-snapshots; alert on new paths)

3. Daily Parameter Discovery -> New Parameter -> Check Parameter on all Paths -> New Attack Surface (collect params from historical sources daily. Only run active parameter fuzzing when a new param/endpoint appears or it is explicitly in-scope)

4. Daily FUZZ Headers for find new Header (don’t run broad daily header fuzzing against large platforms. Run limited, low-rate tests only on in-scope endpoints or after detecting a relevant change)

5. Daily Check Certificates(crt.sh and CT logs) for find New Asset (good to run daily; finds new hostnames/subdomains quickly)

6. Daily DNS Bruteforce for find New Asset (use passive feeds for daily checks. Active DNS brute-force should be rare and only for in-scope targets (and low-rate))

7. Daily Port Scan on Company’s IPs for find new open PORT (avoid daily wide port scans on large org IPs. If you have permission, do scheduled, rate-limited scans and only on known in-scope infrastructure)

8. Daily FUZZ on Sensitive ENDPOINTs (Deep fuzzing should be scheduled (e.g., monthly or on-release) and only for endpoints clearly in-scope with conservative rate limits)

9. Search Daily for the latest ASNs (Track newly announced ASNs or IP ranges related to the company to spot new assets)

10. Daily Monitoring LinkedIn, GitHub, GitLab, etc (OSINT: Looking for new Connections) & Daily Google Dorking (not Recommanded)

(use TOR to BYPASS RESTRICTION)

⭐️ @ZeroSec_team

اسکم پشت اسکم ای خدا مارو از این جبر جغرافیایی نجات بده
قضیه از این قراره هکروان هم بدون توضیحات خاصی اکانت هارو مسدود میکنه برای این کار افراد رو در رسانه های اجتماعی ردیابی و براساس یسری فرضیات و بدون مدرک خاصی، مسدود میکنه.

⭐️ @ZeroSec_team