مقاله‌ی "Offensive Kerberos Techniques for Detection Engineering" در Medium، تکنیک‌های تهاجمی رایج علیه Kerberos در محیط‌های Active Directory را بررسی می‌کند و به کارشناسان امنیت کمک می‌کند تا ابزارهای شناسایی بهتری طراحی کنند. این تکنیک‌ها شامل Kerberoasting، AS-REP Roasting، Golden/Silver Ticket، Pass-the-Hash و سوءاستفاده از delegation است. نویسنده با مثال‌ها و ابزارهایی مانند Rubeus و Mimikatz نشان می‌دهد که چگونه این حملات اجرا می‌شوند و چگونه می‌توان آن‌ها را شناسایی و جلوگیری کرد.

🛡 راهکارهای شناسایی و مقابله:

نظارت بر رویدادهای امنیتی: بررسی رویدادهای 4768 و 4771 برای شناسایی تلاش‌های مشکوک در احراز هویت.

استفاده از ابزارهای تشخیصی: ابزارهایی مانند Rubeus برای شناسایی و تحلیل حملات Kerberos.


ایجاد حساب‌های طعمه (Honeypot): برای شناسایی تلاش‌های مهاجمان در دسترسی به حساب‌های خاص.

تقویت سیاست‌های رمز عبور: استفاده از رمزهای قوی و پیچیده برای حساب‌های سرویس.

فعال‌سازی پیش‌احراز هویت: برای تمامی حساب‌ها به منظور جلوگیری از حملات AS-REP Roasting.

این مقاله منبعی ارزشمند برای تیم‌های امنیتی است تا با درک بهتر از تکنیک‌های حمله به Kerberos، راهکارهای مؤثری برای شناسایی و مقابله با آن‌ها پیاده‌سازی کنند.

تیم سورین

Splunk Fundamentals 1, 2, 3

مدرس : Ahmadreza Norouzi

سرفصل های دوره شامل موارد زیر هست :

🔹 Introducing Splunk and Splunk's Components
🔹 Installation
🔹 Inputs
🔹 Searching
🔹 Best Practices for Searching
🔹 Splunk Search Language
🔹 Transforming Commands
🔹 Creating Report, Dashboard and Alert
🔹 Using Pivot
🔹 Creating and Using Lookup
🔹 Beyond Search Fundamentals
🔹 Command for Visualization
🔹 Advanced Visualization
🔹 Filtering and Formatting Data
🔹 Creating and Managing Fields
🔹 Extracting Fields at Search Time
🔹 Report Acceleration
🔹 Correlating Events
🔹 Introduction to Data Model & Data Set
🔹 Introduction to CIM
🔹 Exploring Statistical Commands
🔹 Summary Indexing
🔹 Data model Command
🔹 Creating and Using Macros
🔹 Tsidx Filed & tstats Command
🔹 Introduction to Knowledge Objects
🔹 Exploring eval command Functions
🔹 Exploring Lookup
🔹 Creating and Using Workflow Action

تیم سورین

🛑 هشدار امنیتی مهم برای کاربران کروم 🛑

📌 CVE-2025-5419
📆 کشف‌شده در: خرداد ۱۴۰۴
📈 شدت آسیب‌پذیری: 8.8 از 10 (خیلی بالا)
🧠 آسیب‌پذیری در: موتور V8 مرورگر Google Chrome

یک نقص امنیتی خطرناک در موتور جاوااسکریپت Chrome که به مهاجم اجازه می‌دهد حافظه مرورگر را دستکاری کرده و حتی کد مخرب اجرا کند!

💥 نتیجه :
✅ امکان اجرای کد از راه دور
✅ احتمال سرقت اطلاعات
✅ کنترل کامل بر سیستم قربانی

🚨 همه کاربران Chrome، و همچنین کاربران مرورگرهای مبتنی بر Chromium مثل Edge، Brave، Opera و Vivaldi.

🛡راه‌حل: مرورگر ، فوراً به‌روزرسانی شود.

🔗 اطلاعات بیشتر


تیم سورین

Taking SHELLTER: a commercial evasion framework abused in- the- wild

🔍 تحلیل حرفه‌ای: ابزار Shellter چگونه در خدمت بدافزارهای پیشرفته قرار گرفت؟

ابزار «Shellter» که در اصل برای تست امنیت فایل‌های اجرایی ویندوز طراحی شده، این روزها به ابزاری محبوب در میان گروه‌های تهدید تبدیل شده است. بر اساس گزارش تازه‌ی تیم Elastic، نسخه‌ی Elite این ابزار در کمپین‌های واقعی برای پنهان‌سازی بدافزارهایی مانند LUMMA، RHADAMANTHYS و ARECHCLIENT2 مورد سوءاستفاده قرار گرفته است.


🧠 این نسخه‌ی پیشرفته از Shellter با تکنیک‌های پیچیده‌ی فرار از شناسایی، می‌تواند از سد بسیاری از EDRها و آنتی‌ویروس‌ها عبور کند. برخی از مهم‌ترین قابلیت‌های آن عبارت‌اند از:

🔸 تزریق کد پلی‌مورفیک (غیرقابل شناسایی با امضا)
🔸و unhook کردن ماژول‌های سیستمی مانند ntdll.dll
🔸 رمزگذاری پیشرفته payloadها با AES و فشرده‌سازی LZNT1
🔸 اجرای syscall بدون رد پا در call stack
🔸 بای‌پس کامل AMSI با تکنیک‌های پیچیده
🔸 تشخیص محیط‌های تحلیل و اجرای خودمخرب در شرایط خاص


📎 مطالعه‌ی مقاله کامل در سایت Elastic:

https://www.elastic.co/security-labs/taking-shellter
https://www.shellterproject.com/homepage/

تیم سورین

🚨 هشدار امنیتی فوری برای تیم‌های SOC و زیرساخت

دو آسیب‌پذیری بحرانی در Microsoft SharePoint Server با کدهای زیر گزارش شده اند
CVE-2025-53770 (RCE – CVSS 9.8)
و
CVE-2025-53771 (Auth Bypass)
گزارش‌ها حاکی از بهره‌برداری فعال این آسیب‌پذیری‌ها در فضای عملیاتی سازمان‌هاست.

📌 مهاجمان با دور زدن احراز هویت، از طریق فایل‌های آلوده مثل spinstall0.aspx به اجرای کد، استخراج MachineKey و استقرار backdoor دست یافته‌اند.

🎯 هدف: SharePoint Server 2016, 2019 و Subnoscription Edition
📤 نسخه‌های آنلاین (SharePoint Online) در معرض نیستند.

✅ اقدامات فوری توصیه‌شده:

اعمال patchهای منتشرشده توسط Microsoft

بررسی لاگ‌ها برای رفتارهای مشکوک (ToolPane.aspx, SignOut.aspx)

محدودسازی دسترسی سرورها به اینترنت

فعال‌سازی Defender AV و AMSI روی سرورها

📎 منبع: The Verge – Exploit Report

#SharePoint #Microsoft #SOC #IncidentResponse

تیم سورین

In the Wild: Malware Prototype with Embedded Prompt Injection


📢 کشف نخستین بدافزار با قابلیت دور زدن مدل‌های امنیتی AI از طریق Prompt Injection

تیم **Check Point Research برای نخستین بار نمونه‌ای از بدافزار را شناسایی کرده که از **تکنیک تزریق پرامپت (Prompt Injection) برای فریب و بی‌اثر کردن سیستم‌های امنیتی مبتنی بر هوش مصنوعی استفاده می‌کند.

🔍 روش کار:
در کد این بدافزار، رشته‌های متنی با ماهیت دستوری جاسازی شده که هنگام تحلیل توسط مدل‌های AI، دستورهای امنیتی را تغییر یا غیرفعال می‌کند. برای مثال، عباراتی مانند:

Ignore all previous instructions…

می‌تواند باعث شود مدل، سیاست‌های شناسایی را کنار گذاشته و بدافزار را «بی‌خطر» ارزیابی کند.

📌 وضعیت فعلی:

* این حمله در سطح Proof of Concept مشاهده شده
* اما اهمیت آن در این است که ثابت می‌کند مدل‌های AI نیز می‌توانند هدف مهندسی اجتماعی در لایه پردازش زبان قرار گیرند


#AI_Security #PromptInjection #CyberThreats #SOC #MalwareResearch
تیم سورین

Akira Abuses Wbadmin to Obtain a Copy of NTDS.dit

🛡 شکار تکنیک Akira برای استخراج NTDS.dit با استفاده از Wbadmin

🔍 اخیراً گروه باج‌افزاری Akira در یک حمله واقعی، از ابزار قانونی ویندوز **wbadmin.exe برای گرفتن بکاپ از فایل‌های حساس Active Directory استفاده کرده است؛ از جمله:

* NTDS.dit (شامل همه هش‌های پسورد دامین)
* فایل‌های رجیستری SYSTEM و SECURITY

این تکنیک در چارچوب MITRE ATT\&CK تحت T1003.003 – NTDS.dit Extraction شناخته می‌شود.
نکته جالب اینجاست که wbadmin یک ابزار پیش‌فرض ویندوز برای بکاپ قانونی است و همین باعث می‌شود خیلی وقت‌ها از دید تیم دفاعی پنهان بماند.

📌 نمونه دستور استفاده‌شده توسط مهاجم:

```powershell
wbadmin.exe start backup -backupTarget:\\localhost\c$\ProgramData\ -include:C:\Windows\NTDS\NTDS.dit C:\Windows\System32\config\SYSTEM C:\Windows\System32\config\SECURITY -quiet
```

💡 مهاجم مقصد بکاپ را در مسیرهایی مثل ProgramData یا Shareهای مدیریتی (مثل \\localhost\c$) می‌گذارد تا بعداً راحت خارج کند.

تیم سورین