🚨 CVE‑2025‑47175

📌 اجرای کد بدون کلیک تو PowerPoint: فقط با باز کردن یه فایل PPTX مخرب تو PowerPoint 2019 یا Office 365، مهاجم می‌تونه کنترل سیستم رو بگیره بدون نیاز به هیچ کار اضافه‌ای.

باگ از نوع Use-After-Free تو هندل کردن فایل‌های PowerPoint باعث این آسیب‌پذیری شده.
ترجیحا پاورپوینتتون اپدیت کنید.

⚔️ اکسپلویت:
https://www.exploit-db.com/exploits/52351

تحقیقات شبکه (Network Investigation) یکی از ارکان کلیدی در فرآیند شناسایی و مقابله با بدافزارها است. بدافزارها معمولاً برای برقراری ارتباط با سرورهای فرمان و کنترل (C\&C)، ارسال داده‌های سرقت شده، یا دریافت دستورات، نیازمند تعامل با شبکه هستند. در این مقاله، بر اساس سناریوی عملی، روش‌ها و ابزارهای کلیدی برای شناسایی رفتارهای مخرب از طریق تحلیل شبکه هستش

چرا تحقیقات شبکه مهمه؟

بررسی ترافیک شبکه به تحلیلگر کمک می‌کند فعالیت‌های مخفی بدافزار رو کشف بکنه ، حتی وقتی آنتی‌ویروس‌ها موفق به شناسایی نشن
تحلیل بسته‌های شبکه (Packet Analysis) اطلاعات دقیق درباره مقصد، نوع داده‌های رد و بدل شده، و پروتکل‌ها ارائه می‌دهد.
کشف الگوهای غیرعادی مثل ارتباط با آی‌پی‌های ناشناس، پورت‌های غیرمعمول و دامنه‌های مشکوک.


جمع‌آوری داده‌های شبکه (Data Collection)

Packet Capture:
ابزارهایی مثل Wireshark، tcpdump، یا Network Miner برای ضبط و تحلیل بسته‌های شبکه استفاده میشن
NetFlow/sFlow:
جمع‌آوری داده‌های خلاصه جریان شبکه برای مشاهده الگوهای رفتاری بدون نیاز به ذخیره بسته‌های کامل و سبک
Firewall & Proxy Logs:
ثبت لاگ‌های فایروال و پراکسی که معمولاً درخواست‌های خروجی و ورودی را ردیابی می‌کنن
DNS Logs:
لاگ‌های DNS می‌توانند کمک کنند تا دامنه‌های غیرمعمول یا دامنه‌های ایجاد شده (DGA) شناسایی بشن

شناسایی ترافیک مشکوک

پورت‌های غیرمعمول: در سناریوی ما، پورت‌های ۸۰ (HTTP)، ۸۰۹۰ و ۸۰۸۸ مورد استفاده قرار گرفته‌ان وجود ارتباط روی پورت‌های غیررایج هشداردهنده است
ارتباط با دامنه‌های ناشناس: آدرس‌هایی مثل www1-google-analytics.com:8088 و midnitemeerkats.com که شباهت به دامنه‌های معتبر ندارند.
ترافیک رمزگذاری شده و Base64: اگر داده‌ها رمزگذاری شده یا در قالب Base64 باشند، ممکن است تلاش برای پنهان‌سازی اطلاعات باشد.
فعالیت‌های اسکن یا ارتباطات غیرمعمول: حجم بالا یا درخواست‌های مکرر به سرورهای خارجی که مشکوک میتونه باشه


تحلیل عملی سناریو فرضی

در این سناریو، ترافیک مشکوک توسط بدافزار به چندین پورت متفاوت ارسال شد که نشان از چندکاناله بودن ارتباط یا تغییر مسیر (Fallback) رو داره
دامنه midnitemeerkats.com جهت نمایش یادداشت باج‌افزاری استفاده شده که می‌توانه نشانگر مرحله حمله باشه
استفاده از پورت‌های غیرمعمول مانند ۸۰۸۸ یک روش معمول برای مخفی نگه داشتن ارتباطات بدافزار است

ابزارهای کلیدی تحقیقات شبکه

Wireshark:
برای ضبط و بررسی بسته‌های شبکه، فیلترگذاری ترافیک و شناسایی ارتباطات مشکوک
tcpdump:
ابزار خط فرمانی سبک برای ضبط بسته‌ها در سیستم‌های یونیکس‌مانند.
Zeek (Bro):
تحلیلگر شبکه که قابلیت تشخیص حملات و رفتارهای غیرعادی رو داره
VirusTotal (Network Submission):
ارسال فایل‌ها یا آدرس‌های شبکه برای بررسی سریع توسط آنتی‌ویروس‌های متعدد.
Hybrid Analysis:
برای تحلیل رفتاری فایل‌ها در محیط‌های شبیه‌سازی شده و مشاهده ترافیک تولید شده.


نکات مهم برای SOC Tier 1 در تحقیقات شبکه

همیشه ابتدا رفتار ترافیک شبکه را بر اساس الگوهای معمول محیط کاری خود بشناسید تا بتوانید موارد غیرعادی رو تشخیص دهید.
فیلتر کردن ترافیک خروجی به سمت آدرس‌های خارجی ناشناس یا غیرعادی را به عنوان هشدار در نظر بگیرید.
ترکیب داده‌های لاگ‌ها و تحلیل بسته‌ها کمک می‌کند تا به درک دقیق‌تری از فعالیت مخرب برسید.
ارتباط با تیم‌های دیگر مثل Memory Investigation و Malware Investigation برای رسیدن به تصویر کامل حمله ضروریه
همیشه نمونه‌های مشکوک را در محیط‌های ایزوله یا ماشین‌های مجازی امن تحلیل کنید.



اقدامات پس از شناسایی بدافزار از طریق شبکه

مسدود کردن دامنه‌ها یا IPهای مشکوک در فایروال‌ها
قرنطینه سیستم‌های آلوده و قطع ارتباط آنها از شبکه
بررسی روندهای انتقال داده و توقف ارتباطات مخرب
تحلیل بیشتر با ابزارهای تخصصی و به‌روزرسانی قوانین سیستم‌های تشخیص نفوذ (IDS/IPS)
مستندسازی یافته‌ها و گزارش به تیم‌های بالاتر و مدیریت برای اقدامات بعدی



https://news.1rj.ru/str/ViperNull

🧧Response code HTTP STATUS🧧

100-199 informetion (اطلاعات سایت)
200-299 ok (سایت باز شد)
300-399 redirect(ریدایرکت شده به یه سایت دیگه)
400-499 erore client side (مثال ارور 404)
500-599 erore server side (مثال ارور 503)

https://news.1rj.ru/str/ViperNull

ابزار SpiderFoot دستیار خفن جمع‌آوری اطلاعات متن‌باز در امنیت سایبری


اصلا ابزار SpiderFoot چی هستش؟

یه ابزار فوق‌العاده که اتوماتیکه و کمک می‌کنه اطلاعات عمومی و باز (Open Source Intelligence یا OSINT) رو درباره یه دامنه، ایمیل، IP و ... جمع‌آوری کنیم.
به جای اینکه ساعت‌ها با موتورهای جستجو و سایت‌های مختلف وقت بذاری، SpiderFoot همه‌چیز رو سریع میره و جمع میکنه

دقیقا چیکار می‌کنه؟

از کلی پلاگین (ماژول) استفاده میکنه که هر کدوم بخشی از اطلاعات رو استخراج می‌کنن؛ مثلاً:

نام‌های دامنه مرتبط
آدرس‌های ایمیل کارکنان
فناوری‌های استفاده شده تو سایت
داده‌های شبکه و سرورها
  و کلی چیز دیگه

کاربردش چیه؟

تو تست نفوذ، تحلیل امنیتی، و حتی تحقیقات دیجیتال خیلی به درد میخوره. فرض کنید میخواین بدونین یه شرکت یا سایت چقدر اطلاعات ازش بیرون ریخته و چقدر تو فضای عمومی قابل دسترسیه. خب پس بدرد فیلد بلو هم میخوره

نکات مهم درباره سروصدا و دیده شدن این ابزار بخام‌بگم

SpiderFoot
زیاد سر و صدا نمیکنه، چون از منابع عمومی و API استفاده میکنه،
ولی اگر پلاگین‌ها زیاد باشن تعداد درخواست‌ها بالا میره و ممکنه ردپایی بزاره. البته به هیچ وجه شبیه یه حمله مستقیم نیستش.

محدودیت‌ها و ریسک‌هایی که ممکنه به وجود بیاد

همه اطلاعاتی که میخواد جمع کنه همیشه کامل و به‌روز نیست
بعضی سایت‌ها یا سرویس‌ها ممکنه دسترسی رو محدود کنن
اگر ندانسته استفاده بکنیم ممکنه اطلاعات حساس یا خصوصی رو بیرون بده که خطرساز میشه

https://news.1rj.ru/str/ViperNull