دسترسی به دیتابیس بهروز آسیبپذیریها با قابلیت فیلتر بر اساس CVSS، محصول، و تاریخ انتشار. مناسب برای تیمهای SOC، تحلیلگران CTI و مدیریت تهدیدات.
🔗 لینک دسترسی:
cti.wazuh.com/vulnerabilities/cves
تیم سورین
#cti #soc
Please open Telegram to view this post
VIEW IN TELEGRAM
Wazuh
CVE search - Vulnerability Database
Wazuh CTI provides access to a comprehensive database of vulnerabilities, enabling you to quickly identify and address potential risks.
A compilation of challenges that aims to provide practice in simple to advanced concepts in the following topics: Digital Forensics, Incident Response, Malware Analysis and Threat Hunting.
#dfir #SOC
Please open Telegram to view this post
VIEW IN TELEGRAM
GitHub
GitHub - Azr43lKn1ght/DFIR-LABS: DFIR LABS - A compilation of challenges that aims to provide practice in simple to advanced concepts…
DFIR LABS - A compilation of challenges that aims to provide practice in simple to advanced concepts in the following topics: Digital Forensics, Incident Response, Malware Analysis and Threat Hunti...
❤1
Taking SHELLTER: a commercial evasion framework abused in- the- wild
🔍 تحلیل حرفهای: ابزار Shellter چگونه در خدمت بدافزارهای پیشرفته قرار گرفت؟
ابزار «Shellter» که در اصل برای تست امنیت فایلهای اجرایی ویندوز طراحی شده، این روزها به ابزاری محبوب در میان گروههای تهدید تبدیل شده است. بر اساس گزارش تازهی تیم Elastic، نسخهی Elite این ابزار در کمپینهای واقعی برای پنهانسازی بدافزارهایی مانند LUMMA، RHADAMANTHYS و ARECHCLIENT2 مورد سوءاستفاده قرار گرفته است.
🧠 این نسخهی پیشرفته از Shellter با تکنیکهای پیچیدهی فرار از شناسایی، میتواند از سد بسیاری از EDRها و آنتیویروسها عبور کند. برخی از مهمترین قابلیتهای آن عبارتاند از:
🔸 تزریق کد پلیمورفیک (غیرقابل شناسایی با امضا)
🔸و unhook کردن ماژولهای سیستمی مانند ntdll.dll
🔸 رمزگذاری پیشرفته payloadها با AES و فشردهسازی LZNT1
🔸 اجرای syscall بدون رد پا در call stack
🔸 بایپس کامل AMSI با تکنیکهای پیچیده
🔸 تشخیص محیطهای تحلیل و اجرای خودمخرب در شرایط خاص
📎 مطالعهی مقاله کامل در سایت Elastic:
https://www.elastic.co/security-labs/taking-shellter
https://www.shellterproject.com/homepage/
تیم سورین
🔍 تحلیل حرفهای: ابزار Shellter چگونه در خدمت بدافزارهای پیشرفته قرار گرفت؟
ابزار «Shellter» که در اصل برای تست امنیت فایلهای اجرایی ویندوز طراحی شده، این روزها به ابزاری محبوب در میان گروههای تهدید تبدیل شده است. بر اساس گزارش تازهی تیم Elastic، نسخهی Elite این ابزار در کمپینهای واقعی برای پنهانسازی بدافزارهایی مانند LUMMA، RHADAMANTHYS و ARECHCLIENT2 مورد سوءاستفاده قرار گرفته است.
🧠 این نسخهی پیشرفته از Shellter با تکنیکهای پیچیدهی فرار از شناسایی، میتواند از سد بسیاری از EDRها و آنتیویروسها عبور کند. برخی از مهمترین قابلیتهای آن عبارتاند از:
🔸 تزریق کد پلیمورفیک (غیرقابل شناسایی با امضا)
🔸و unhook کردن ماژولهای سیستمی مانند ntdll.dll
🔸 رمزگذاری پیشرفته payloadها با AES و فشردهسازی LZNT1
🔸 اجرای syscall بدون رد پا در call stack
🔸 بایپس کامل AMSI با تکنیکهای پیچیده
🔸 تشخیص محیطهای تحلیل و اجرای خودمخرب در شرایط خاص
📎 مطالعهی مقاله کامل در سایت Elastic:
https://www.elastic.co/security-labs/taking-shellter
https://www.shellterproject.com/homepage/
تیم سورین
www.elastic.co
Taking SHELLTER: a commercial evasion framework abused in-the-wild — Elastic Security Labs
Elastic Security Labs detected the recent emergence of infostealers using an illicitly acquired version of the commercial evasion framework, SHELLTER, to deploy post-exploitation payloads.
🚨 هشدار امنیتی فوری برای تیمهای SOC و زیرساخت
دو آسیبپذیری بحرانی در Microsoft SharePoint Server با کدهای زیر گزارش شده اند
CVE-2025-53770 (RCE – CVSS 9.8)
و
CVE-2025-53771 (Auth Bypass)
گزارشها حاکی از بهرهبرداری فعال این آسیبپذیریها در فضای عملیاتی سازمانهاست.
📌 مهاجمان با دور زدن احراز هویت، از طریق فایلهای آلوده مثل spinstall0.aspx به اجرای کد، استخراج MachineKey و استقرار backdoor دست یافتهاند.
🎯 هدف: SharePoint Server 2016, 2019 و Subnoscription Edition
📤 نسخههای آنلاین (SharePoint Online) در معرض نیستند.
✅ اقدامات فوری توصیهشده:
اعمال patchهای منتشرشده توسط Microsoft
بررسی لاگها برای رفتارهای مشکوک (ToolPane.aspx, SignOut.aspx)
محدودسازی دسترسی سرورها به اینترنت
فعالسازی Defender AV و AMSI روی سرورها
📎 منبع: The Verge – Exploit Report
#SharePoint #Microsoft #SOC #IncidentResponse
تیم سورین
دو آسیبپذیری بحرانی در Microsoft SharePoint Server با کدهای زیر گزارش شده اند
CVE-2025-53770 (RCE – CVSS 9.8)
و
CVE-2025-53771 (Auth Bypass)
گزارشها حاکی از بهرهبرداری فعال این آسیبپذیریها در فضای عملیاتی سازمانهاست.
📌 مهاجمان با دور زدن احراز هویت، از طریق فایلهای آلوده مثل spinstall0.aspx به اجرای کد، استخراج MachineKey و استقرار backdoor دست یافتهاند.
🎯 هدف: SharePoint Server 2016, 2019 و Subnoscription Edition
📤 نسخههای آنلاین (SharePoint Online) در معرض نیستند.
✅ اقدامات فوری توصیهشده:
اعمال patchهای منتشرشده توسط Microsoft
بررسی لاگها برای رفتارهای مشکوک (ToolPane.aspx, SignOut.aspx)
محدودسازی دسترسی سرورها به اینترنت
فعالسازی Defender AV و AMSI روی سرورها
📎 منبع: The Verge – Exploit Report
#SharePoint #Microsoft #SOC #IncidentResponse
تیم سورین
The Verge
Microsoft SharePoint servers are under attack because of a major security flaw
Emergency patches are being rolled out.
👍3
In the Wild: Malware Prototype with Embedded Prompt Injection
📢 کشف نخستین بدافزار با قابلیت دور زدن مدلهای امنیتی AI از طریق Prompt Injection
تیم **Check Point Research برای نخستین بار نمونهای از بدافزار را شناسایی کرده که از **تکنیک تزریق پرامپت (Prompt Injection) برای فریب و بیاثر کردن سیستمهای امنیتی مبتنی بر هوش مصنوعی استفاده میکند.
🔍 روش کار:
در کد این بدافزار، رشتههای متنی با ماهیت دستوری جاسازی شده که هنگام تحلیل توسط مدلهای AI، دستورهای امنیتی را تغییر یا غیرفعال میکند. برای مثال، عباراتی مانند:
میتواند باعث شود مدل، سیاستهای شناسایی را کنار گذاشته و بدافزار را «بیخطر» ارزیابی کند.
📌 وضعیت فعلی:
* این حمله در سطح Proof of Concept مشاهده شده
* اما اهمیت آن در این است که ثابت میکند مدلهای AI نیز میتوانند هدف مهندسی اجتماعی در لایه پردازش زبان قرار گیرند
#AI_Security #PromptInjection #CyberThreats #SOC #MalwareResearch
تیم سورین
📢 کشف نخستین بدافزار با قابلیت دور زدن مدلهای امنیتی AI از طریق Prompt Injection
تیم **Check Point Research برای نخستین بار نمونهای از بدافزار را شناسایی کرده که از **تکنیک تزریق پرامپت (Prompt Injection) برای فریب و بیاثر کردن سیستمهای امنیتی مبتنی بر هوش مصنوعی استفاده میکند.
🔍 روش کار:
در کد این بدافزار، رشتههای متنی با ماهیت دستوری جاسازی شده که هنگام تحلیل توسط مدلهای AI، دستورهای امنیتی را تغییر یا غیرفعال میکند. برای مثال، عباراتی مانند:
Ignore all previous instructions…
میتواند باعث شود مدل، سیاستهای شناسایی را کنار گذاشته و بدافزار را «بیخطر» ارزیابی کند.
📌 وضعیت فعلی:
* این حمله در سطح Proof of Concept مشاهده شده
* اما اهمیت آن در این است که ثابت میکند مدلهای AI نیز میتوانند هدف مهندسی اجتماعی در لایه پردازش زبان قرار گیرند
#AI_Security #PromptInjection #CyberThreats #SOC #MalwareResearch
تیم سورین
Check Point Research
New Malware Embeds Prompt Injection to Evade AI Detection - Check Point Research
Detected for the first time, malware attempts AI evasion by injecting a prompt to tell the LLM to label the file as benign
❤2🙏1
Akira Abuses Wbadmin to Obtain a Copy of NTDS.dit
🛡 شکار تکنیک Akira برای استخراج NTDS.dit با استفاده از Wbadmin
🔍 اخیراً گروه باجافزاری Akira در یک حمله واقعی، از ابزار قانونی ویندوز **wbadmin.exe برای گرفتن بکاپ از فایلهای حساس Active Directory استفاده کرده است؛ از جمله:
* NTDS.dit (شامل همه هشهای پسورد دامین)
* فایلهای رجیستری SYSTEM و SECURITY
این تکنیک در چارچوب MITRE ATT\&CK تحت T1003.003 – NTDS.dit Extraction شناخته میشود.
نکته جالب اینجاست که
📌 نمونه دستور استفادهشده توسط مهاجم:
💡 مهاجم مقصد بکاپ را در مسیرهایی مثل ProgramData یا Shareهای مدیریتی (مثل
تیم سورین
🛡 شکار تکنیک Akira برای استخراج NTDS.dit با استفاده از Wbadmin
🔍 اخیراً گروه باجافزاری Akira در یک حمله واقعی، از ابزار قانونی ویندوز **wbadmin.exe برای گرفتن بکاپ از فایلهای حساس Active Directory استفاده کرده است؛ از جمله:
* NTDS.dit (شامل همه هشهای پسورد دامین)
* فایلهای رجیستری SYSTEM و SECURITY
این تکنیک در چارچوب MITRE ATT\&CK تحت T1003.003 – NTDS.dit Extraction شناخته میشود.
نکته جالب اینجاست که
wbadmin یک ابزار پیشفرض ویندوز برای بکاپ قانونی است و همین باعث میشود خیلی وقتها از دید تیم دفاعی پنهان بماند.📌 نمونه دستور استفادهشده توسط مهاجم:
```powershell
wbadmin.exe start backup -backupTarget:\\localhost\c$\ProgramData\ -include:C:\Windows\NTDS\NTDS.dit C:\Windows\System32\config\SYSTEM C:\Windows\System32\config\SECURITY -quiet
```
💡 مهاجم مقصد بکاپ را در مسیرهایی مثل ProgramData یا Shareهای مدیریتی (مثل
\\localhost\c$) میگذارد تا بعداً راحت خارج کند.تیم سورین
www.knowyouradversary.ru
223. Akira Abuses Wbadmin to Obtain a Copy of NTDS.dit
Hello everyone! Today the technique we are going to look at is OS Credential Dumping: NTDS (T1003.003). I'm sure you've seen adversaries abu...
🙏1
😈 Awesome Linux Software
😈 نرمافزارهای شگفتانگیز لینوکس
📌 لیستی از برنامهها، نرمافزارها، ابزارها و منابع کاربردی (از دستهی Awesome) برای توزیعهای مختلف لینوکس.
➖ این مخزن شامل مجموعهای از برنامهها و ابزارهای فوقالعاده لینوکس است که برای تمام کاربران و توسعهدهندگان میتواند مفید باشد.
➡️https://github.com/luong-komorebi/Awesome-Linux-Software
#Tool #Linux
تیم سورین
😈 نرمافزارهای شگفتانگیز لینوکس
📌 لیستی از برنامهها، نرمافزارها، ابزارها و منابع کاربردی (از دستهی Awesome) برای توزیعهای مختلف لینوکس.
➖ این مخزن شامل مجموعهای از برنامهها و ابزارهای فوقالعاده لینوکس است که برای تمام کاربران و توسعهدهندگان میتواند مفید باشد.
➡️https://github.com/luong-komorebi/Awesome-Linux-Software
#Tool #Linux
تیم سورین
GitHub
GitHub - luong-komorebi/Awesome-Linux-Software: 🐧 A list of awesome Linux softwares
🐧 A list of awesome Linux softwares . Contribute to luong-komorebi/Awesome-Linux-Software development by creating an account on GitHub.
👍1
Mapping MITRE ATT&CK with Window Event Log IDs
🔍 برای نگاشت Windows Event IDها به تاکتیکها و تکنیکهای MITRE ATT&CK یه مرجع فوقالعاده منتشر شده.
این جدول میتونه توی Threat Hunting و طراحی رول های SIEM خیلی کاربردی باشه :
🔏مطالعه در SOC Investigation
تیم سورین
🔍 برای نگاشت Windows Event IDها به تاکتیکها و تکنیکهای MITRE ATT&CK یه مرجع فوقالعاده منتشر شده.
این جدول میتونه توی Threat Hunting و طراحی رول های SIEM خیلی کاربردی باشه :
🔏مطالعه در SOC Investigation
تیم سورین
Security Investigation - Be the first to investigate
Mapping MITRE ATT&CK with Window Event Log IDs - Security Investigation
Author/Credits: mdecrevoisier MITRE Att@ck is known for its Tactics & Techniques. Each and every attack is mapped with MITRE Att@ck. ATT&CK stands for adversarial tactics, techniques, and common knowledge. The tactics are a modern way of looking at cyberattacks.…
❤2👍2
💢سرفصل های دوره :
Splunk Clustering & Administrator
زمان دوره :۴۸ ساعت
1. Introduction
2. Deploying Splunk
3. Splunk Installation
4. Secure Splunk Enterprise
5. Manage Users & Roles
6. Monitoring Splunk
7. Licensing Splunk
8. Configuration File & Directory Structure
9. Manage indexes
10. Manage ClusterMaster & indexers
11. Create indexes.conf
12. Customize Limits.conf & Servers.conf & …
13. Introduction of Buckets
14. Manage Deployment
Server
15. Configure Basic Forwarding
16. Configure data inputs
17. Configure Search head Cluster & Deployer
18. Install Splunk App & addons in cluster Structure
19. Add Users and Configure
Roles in Cluster Structure
20. Configure Heavy
Forwarder HA
21. Install & Configure
Stream App
22. Splunk Multisite Structure
23. Splunk SmartStore Structure
مدرس : احمرضا نوروزی
تیم سورین
Splunk Clustering & Administrator
زمان دوره :۴۸ ساعت
1. Introduction
2. Deploying Splunk
3. Splunk Installation
4. Secure Splunk Enterprise
5. Manage Users & Roles
6. Monitoring Splunk
7. Licensing Splunk
8. Configuration File & Directory Structure
9. Manage indexes
10. Manage ClusterMaster & indexers
11. Create indexes.conf
12. Customize Limits.conf & Servers.conf & …
13. Introduction of Buckets
14. Manage Deployment
Server
15. Configure Basic Forwarding
16. Configure data inputs
17. Configure Search head Cluster & Deployer
18. Install Splunk App & addons in cluster Structure
19. Add Users and Configure
Roles in Cluster Structure
20. Configure Heavy
Forwarder HA
21. Install & Configure
Stream App
22. Splunk Multisite Structure
23. Splunk SmartStore Structure
مدرس : احمرضا نوروزی
تیم سورین
🔍 کارگاه Silence & Kill EDR – DEF CON 33
در این پروژه عملی از DEF CON 33 یاد میگیرید چطور Agentهای EDR را شناسایی کرده
(هوکها، لاگها، ارتباطات) و با تکنیکهای واقعی آنها را Kill یا Silencing کنید.
همچنین آموزش توسعه ابزار سفارشی (C/C++، BYOVD) در محیط امن و کنترلشده ارائه شده است.
مناسب برای Red/Blue Team و Threat Hunters
لینک پروژه:
https://github.com/arosenmund/defcon33_silence_kill_edr
تیم سورین
در این پروژه عملی از DEF CON 33 یاد میگیرید چطور Agentهای EDR را شناسایی کرده
(هوکها، لاگها، ارتباطات) و با تکنیکهای واقعی آنها را Kill یا Silencing کنید.
همچنین آموزش توسعه ابزار سفارشی (C/C++، BYOVD) در محیط امن و کنترلشده ارائه شده است.
مناسب برای Red/Blue Team و Threat Hunters
لینک پروژه:
https://github.com/arosenmund/defcon33_silence_kill_edr
تیم سورین
GitHub
GitHub - arosenmund/defcon33_silence_kill_edr
Contribute to arosenmund/defcon33_silence_kill_edr development by creating an account on GitHub.
❤2👍1
📢✨ برگزاری دوره تخصصی Splunk Enterprise Security
با تدریس مهندس آهنگری در آموزشگاه نورانت
🔹 یادگیری کامل مفاهیم SIEM و Splunk ES
🔹 پیادهسازی یوزکیسها و قوانین امنیتی پیشرفته
🔹 تحلیل رخدادها براساس چارچوب MITRE ATT&CK
🔹 مناسب برای کارشناسان SOC، مدیران امنیت و علاقهمندان به حوزه مانیتورینگ و تهدیدیابی
📅 برای مشاهده جزئیات دوره و ثبتنام:
🔗 مشاهده دوره در سایت نورانت
تیم سورین
با تدریس مهندس آهنگری در آموزشگاه نورانت
🔹 یادگیری کامل مفاهیم SIEM و Splunk ES
🔹 پیادهسازی یوزکیسها و قوانین امنیتی پیشرفته
🔹 تحلیل رخدادها براساس چارچوب MITRE ATT&CK
🔹 مناسب برای کارشناسان SOC، مدیران امنیت و علاقهمندان به حوزه مانیتورینگ و تهدیدیابی
📅 برای مشاهده جزئیات دوره و ثبتنام:
🔗 مشاهده دوره در سایت نورانت
تیم سورین
Nooranet
موسسه نورانت | دوره آموزشی اسپلانک ES
آموزش دوره های امنیت سایبری - تست نفوذ - فارنزیک به عنوان یکی از موسسات پیشرو در زمینه أموزش دوره های امنیت سایبری
👍5🤩1
مدل سنتی PICERL (Preparation, Identification, Containment, Eradication, Recovery, Lessons Learned) سالها بهعنوان چارچوب اصلی پاسخ به حوادث استفاده شده.
مزیتش سادگی و نظم خطی بود، اما در عمل ضعفهای جدی دارد:
خطی و خشک بودن مراحل (عدم تطابق با واقعیت پویا)
فاصله بین “آنچه روی کاغذ است” و “آنچه در میدان اجرا میشود”
ضعف در انعطافپذیری هنگام کشف شواهد جدید یا تغییر دامنه حمله
📌 در مقاله، مدل DAIR (Dynamic Approach to Incident Response) معرفی شده؛ رویکردی پویا، چرخهای و نتیجهمحور:
مراحل پاسخ میتوانند همزمان یا بازگشتی باشند (Detection ↔️ Triage ↔️ Scoping ↔️ Containment …)
تمرکز اصلی روی اولویت کسبوکار و کاهش زمان پاسخ است
امکان بهبود مداوم و اصلاح فرآیندها در طول چرخه فراهم میشود
Threat Hunting، تحلیل مداوم و اصلاح سیاستها بخشی از فرایند هستند، نه فقط یک “Lessons Learned” در پایان
✅ جمعبندی:
مدل DAIR نسبت به PICERL انعطافپذیرتر و واقعگراتر است و برای محیطهای پیچیده، حملات پیشرفته و تیمهای SOC بالغ پاسخگویی سریعتر و دقیقتر ارائه میدهد.
https://medium.com/@cyberengage.org/rethinking-incident-response-from-picerl-to-dair-expanded-edition-7d309f00d43a
تیم سورین
Please open Telegram to view this post
VIEW IN TELEGRAM
Medium
Rethinking Incident Response — From PICERL to DAIR (Expanded Edition)
If you guys remember, I had written a post a while back about the DAIR model — and honestly, the response was wild. I got so many messages…
Golden dMSA: What Is dMSA Authentication Bypass?
🚨 چالش جدید در Active Directory ( Golden dMSA Attack)
پژوهش Semperis: نقص طراحی در dMSA/gMSA که ManagedPasswordId فقط ۱۰۲۴ ترکیب ممکن دارد؛ در صورت دسترسی به KDS root key میتوان رمز همهی dMSA/gMSAها را آفلاین تولید کرد.
پیشنیاز حمله: استخراج KDS root key (دسترسی Tier-0: Domain/Enterprise Admin یا SYSTEM).
ابزار PoC: GoldenDMSA — اثبات قابلیت عملی تولید رمز و سوءاستفاده.
🔎 شاخصهای مهم برای تشخیص (بهسرعت در SIEM پیاده شود):
Windows Security: EventID 4662 با اشاره به msDS-ManagedPassword (Directory Service Access).
Logon events: EventID 4624 / 4625 برای سرویساکانتها (dMSA/gMSA) — لاگین از میزبان/Workstation نامتعارف.
Sysmon: EventID 17 (PipeEvent) نامپایپهایی مثل \lsarpc، EventID 10 (ProcessAccess) علیه lsass.exe و EventID 1 (ProcessCreate) برای ابزارهای شناختهشده (PoC/secretsdump).
RPC/LSA calls: فراخوانیهایی مانند LsaLookupSids که برای فهرستگیری dMSA استفاده میشوند.
🛡 فوری برای کاهش ریسک:
محدودسازی و بازنگری دسترسیهای Tier-0 و فعالسازی JIT/PIM.
فعالسازی Audit: Directory Service Access (برای msDS-* attrs) روی DCها.
نصب/تنظیم Sysmon روی DCها: ProcessCreate, ProcessAccess, PipeEvent + CommandLine.
استخراج لیست dMSA/gMSA (Get-ADServiceAccount) → آپلود به SIEM بهعنوان lookup → هشدار برای ورود یا استفاده از این حسابها روی میزبانهای غیرمجاز.
آمادهسازی playbook واکنش: قرنطینه میزبان، snapshot حافظه، چک تغییرات KDS/LSA، ریست رمزهای سرویس (در صورت نیاز با کنترل دقیق).
⚠️ نکته نهایی: حمله نیازمند امتیازات بالا است ولی در صورت افشای KDS root key اثر آن گسترده و پایدار خواهد بود — اولویت با محافظت Tier-0، لاگینگ دقیق و correlation در SIEM است.
https://www.semperis.com/blog/golden-dmsa-what-is-dmsa-authentication-bypass/
تیم سورین
پژوهش Semperis: نقص طراحی در dMSA/gMSA که ManagedPasswordId فقط ۱۰۲۴ ترکیب ممکن دارد؛ در صورت دسترسی به KDS root key میتوان رمز همهی dMSA/gMSAها را آفلاین تولید کرد.
پیشنیاز حمله: استخراج KDS root key (دسترسی Tier-0: Domain/Enterprise Admin یا SYSTEM).
ابزار PoC: GoldenDMSA — اثبات قابلیت عملی تولید رمز و سوءاستفاده.
🔎 شاخصهای مهم برای تشخیص (بهسرعت در SIEM پیاده شود):
Windows Security: EventID 4662 با اشاره به msDS-ManagedPassword (Directory Service Access).
Logon events: EventID 4624 / 4625 برای سرویساکانتها (dMSA/gMSA) — لاگین از میزبان/Workstation نامتعارف.
Sysmon: EventID 17 (PipeEvent) نامپایپهایی مثل \lsarpc، EventID 10 (ProcessAccess) علیه lsass.exe و EventID 1 (ProcessCreate) برای ابزارهای شناختهشده (PoC/secretsdump).
RPC/LSA calls: فراخوانیهایی مانند LsaLookupSids که برای فهرستگیری dMSA استفاده میشوند.
🛡 فوری برای کاهش ریسک:
محدودسازی و بازنگری دسترسیهای Tier-0 و فعالسازی JIT/PIM.
فعالسازی Audit: Directory Service Access (برای msDS-* attrs) روی DCها.
نصب/تنظیم Sysmon روی DCها: ProcessCreate, ProcessAccess, PipeEvent + CommandLine.
استخراج لیست dMSA/gMSA (Get-ADServiceAccount) → آپلود به SIEM بهعنوان lookup → هشدار برای ورود یا استفاده از این حسابها روی میزبانهای غیرمجاز.
آمادهسازی playbook واکنش: قرنطینه میزبان، snapshot حافظه، چک تغییرات KDS/LSA، ریست رمزهای سرویس (در صورت نیاز با کنترل دقیق).
⚠️ نکته نهایی: حمله نیازمند امتیازات بالا است ولی در صورت افشای KDS root key اثر آن گسترده و پایدار خواهد بود — اولویت با محافظت Tier-0، لاگینگ دقیق و correlation در SIEM است.
https://www.semperis.com/blog/golden-dmsa-what-is-dmsa-authentication-bypass/
تیم سورین
Please open Telegram to view this post
VIEW IN TELEGRAM
Semperis
Golden dMSA: What Is dMSA Authentication Bypass? | Semperis Research
The Golden dMSA attack enables attackers to bypass authentication and generate passwords for managed service accounts in AD. Understand the risks.
❤4
فرآيند Protected Process Light (PPL) یکی از مکانیزمهای امنیتی ویندوزه که برای حفاظت از سرویسهای حیاتی (مثل AV/EDR) طراحی شده است .
اما محققها نشون دادن همین مکانیزم میتونه بر علیه خودش استفاده بشه: اگر مهاجم بتونه یک باینری امضاشده رو با سطح PPL اجرا کنه و ورودی/پارامترها رو کنترل کنه، قادر خواهد بود در مسیرهای محافظتشدهی AV بنویسه یا حتی فایل اجرایی EDR رو در زمان بوت جایگزین کنه.
این مقاله سناریوی عملی و PoC استفاده از ClipUp.exe بهعنوان یک ابزار PPL برای نوشتن در مسیر Defender رو توضیح داده.
برای SOC تیمها، این یعنی نیاز فوری به:
مانیتورینگ اجرای Process با حالت PPL
بررسی تغییرات غیرمجاز در فایلهای AV/EDR
سختگیری در سیاستهای Code Signing و WDAC
📰 متن کامل
تیم سورین
Please open Telegram to view this post
VIEW IN TELEGRAM
Zerosalarium
Countering EDRs With The Backing Of Protected Process Light (PPL)
Abusing the Clipup.exe program by using the CreateProcessAsPPL.exe tool to destroy the executable file of the EDRs, Antivirus.
❤1🤩1
یک مخزن کاربردی و متمرکز برای راهاندازی یا تقویت «برنامه مقابله با تهدیدات داخلی» (Insider Threat).
🔎 چی داخل مخزن هست؟
- ماتریس بلوغ (Maturity Matrix) برای ارزیابی وضعیت کنونی برنامه
- فهرست TTPها (رفتارها و تکنیکهای مرتبط با تهدید داخلی)
- لینکها و منابع عملی برای مستندسازی و هماهنگی با بخشهای HR/Legal
💡 چرا برای SOC مفیده؟
- سریع بهعنوان قالب: ماتریس بلوغ رو برای شناسایی شکافهای مانیتورینگ، DLP و کنترل دسترسی استفاده کنید.
- منبع TTP برای ساخت Hunt/Alert: رفتارهای فهرستشده را به قواعد SIEM/Splunk/EDR نگاشت کنید.
- مرجع هماهنگی: موادِ Helpful Links کمک میکنند تا playbookها و فرآیندهای پاسخدهی با HR و Legal هماهنگ شود.
تیم سورین
Please open Telegram to view this post
VIEW IN TELEGRAM
GitHub
GitHub - Insider-Threat/Insider-Threat: Creating a resource to help build and manage an Insider Threat program.
Creating a resource to help build and manage an Insider Threat program. - GitHub - Insider-Threat/Insider-Threat: Creating a resource to help build and manage an Insider Threat program.
👍2❤1