Akira Abuses Wbadmin to Obtain a Copy of NTDS.dit

🛡 شکار تکنیک Akira برای استخراج NTDS.dit با استفاده از Wbadmin

🔍 اخیراً گروه باج‌افزاری Akira در یک حمله واقعی، از ابزار قانونی ویندوز **wbadmin.exe برای گرفتن بکاپ از فایل‌های حساس Active Directory استفاده کرده است؛ از جمله:

* NTDS.dit (شامل همه هش‌های پسورد دامین)
* فایل‌های رجیستری SYSTEM و SECURITY

این تکنیک در چارچوب MITRE ATT\&CK تحت T1003.003 – NTDS.dit Extraction شناخته می‌شود.
نکته جالب اینجاست که wbadmin یک ابزار پیش‌فرض ویندوز برای بکاپ قانونی است و همین باعث می‌شود خیلی وقت‌ها از دید تیم دفاعی پنهان بماند.

📌 نمونه دستور استفاده‌شده توسط مهاجم:

```powershell
wbadmin.exe start backup -backupTarget:\\localhost\c$\ProgramData\ -include:C:\Windows\NTDS\NTDS.dit C:\Windows\System32\config\SYSTEM C:\Windows\System32\config\SECURITY -quiet
```

💡 مهاجم مقصد بکاپ را در مسیرهایی مثل ProgramData یا Shareهای مدیریتی (مثل \\localhost\c$) می‌گذارد تا بعداً راحت خارج کند.

تیم سورین

📢 دعوت به همکاری در تیم سورین
🔍 اگر به امنیت سایبری و مانیتورینگ علاقه‌مند هستید، منتظر شما هستیم!

📩 ارسال رزومه:
monitoring@soorinsec.ir

تیم سورین

📢 دعوت به همکاری در تیم سورین
🔍 اگر به امنیت سایبری و مانیتورینگ علاقه‌مند هستید، منتظر شما هستیم!

📩 ارسال رزومه:
monitoring@soorinsec.ir

تیم سورین

😈 Awesome Linux Software

😈 نرم‌افزارهای شگفت‌انگیز لینوکس

📌 لیستی از برنامه‌ها، نرم‌افزارها، ابزارها و منابع کاربردی (از دسته‌ی Awesome) برای توزیع‌های مختلف لینوکس.

➖ این مخزن شامل مجموعه‌ای از برنامه‌ها و ابزارهای فوق‌العاده لینوکس است که برای تمام کاربران و توسعه‌دهندگان می‌تواند مفید باشد.

➡️https://github.com/luong-komorebi/Awesome-Linux-Software

#Tool #Linux
تیم سورین

Mapping MITRE ATT&CK with Window Event Log IDs

🔍 برای نگاشت Windows Event IDها به تاکتیک‌ها و تکنیک‌های MITRE ATT&CK یه مرجع فوق‌العاده منتشر شده.
این جدول می‌تونه توی Threat Hunting و طراحی رول های SIEM خیلی کاربردی باشه :

🔏مطالعه در SOC Investigation

تیم سورین

💢سرفصل های دوره :
Splunk Clustering & Administrator
زمان دوره :‌۴۸ ساعت


1. Introduction
2. Deploying Splunk
3. Splunk Installation
4. Secure Splunk Enterprise
5. Manage Users & Roles
6. Monitoring Splunk
7. Licensing Splunk
8. Configuration File & Directory Structure
9. Manage indexes
10. Manage ClusterMaster & indexers
11. Create indexes.conf
12. Customize Limits.conf & Servers.conf & …
13. Introduction of Buckets
14. Manage Deployment
Server
15. Configure Basic Forwarding
16. Configure data inputs
17. Configure Search head Cluster & Deployer
18. Install Splunk App & addons in cluster Structure
19. Add Users and Configure
Roles in Cluster Structure
20. Configure Heavy
Forwarder HA
21. Install & Configure
Stream App
22. Splunk Multisite Structure
23. Splunk SmartStore Structure

مدرس : احمرضا نوروزی

تیم سورین

🔍 کارگاه Silence & Kill EDR – DEF CON 33

در این پروژه عملی از DEF CON 33 یاد می‌گیرید چطور Agentهای EDR را شناسایی کرده
(هوک‌ها، لاگ‌ها، ارتباطات) و با تکنیک‌های واقعی آن‌ها را Kill یا Silencing کنید.
همچنین آموزش توسعه ابزار سفارشی (C/C++، BYOVD) در محیط امن و کنترل‌شده ارائه شده است.

مناسب برای Red/Blue Team و Threat Hunters

لینک پروژه:
https://github.com/arosenmund/defcon33_silence_kill_edr

تیم سورین

📢✨ برگزاری دوره تخصصی Splunk Enterprise Security

با تدریس مهندس آهنگری در آموزشگاه نورانت

🔹 یادگیری کامل مفاهیم SIEM و Splunk ES
🔹 پیاده‌سازی یوزکیس‌ها و قوانین امنیتی پیشرفته
🔹 تحلیل رخدادها براساس چارچوب MITRE ATT&CK
🔹 مناسب برای کارشناسان SOC، مدیران امنیت و علاقه‌مندان به حوزه مانیتورینگ و تهدیدیابی

📅 برای مشاهده جزئیات دوره و ثبت‌نام:
🔗 مشاهده دوره در سایت نورانت

تیم سورین

Non-Malware and Living-off-the-Land Tactics in Modern Cyber Operations

«حملات بدون بدافزار و بهره‌برداری از ابزارهای سیستمی در عملیات سایبری مدرن

مهاجمان گاهی از ابزارهای قانونی سیستم (مثل PowerShell, certutil, regsvr32, mshta, PsExec, ProcDump) برای انجام کارهای مخرب استفاده می‌کنند تا ردپای بدافزار جدید نگذارند.

مهاجم‌ها ممکن است بدافزار نسازند و به‌جای آن از ابزارهای قانونی سیستم استفاده ‌کنند. تمرکز ما باید روی «رفتار غیرعادی» این ابزارها باشد.

تیم سورین

Module 1 – Introduction, Installation & Configuration of Splunk ES
1. Introduction to Splunk ES
○ Splunk ES overview
○ Splunk ES architecture and key modules
○ Splunk ES requirements
2. Installation and Configuration of Splunk ES
○ Installing Splunk Enterprise Security
○ General Settings
○ Data Normalization
○ CIM (Common Information Model)
○ Datamodel and Datasets
○ Data Validation
3. Exploring Splunk ES
○ Incident Review Dashboard
○ Security Posture Dashboard
○ Threat Intelligence Framework
○ Identity and Asset Framework
○ Risk-based Analytics Framework
Module 2 – Threat Analysis & Security Content in ES
1. Working with Security Content (Detection Rules)
○ Understanding use cases in ES
○ Enabling ES detection rules
○ Out-of-the-box detection rules
○ Customizing and developing new detection rules
○ Notable Events and Incident Workflow
○ Notable Event investigation scenarios
2. Threat Intelligence in Splunk ES
○ Introduction to the Threat Intelligence Management framework
○ Importing/Exporting TI feeds (STIX, TAXII, etc.)
○ Creating and managing threat artifacts
3. Dashboard-Based Analysis
○ Reviewing security indicators in ES dashboards
○ Using Kill Chain and MITRE ATT&CK mappings
○ Building custom dashboards for SOC teams
Module 3 – Advanced Threat Analysis & Threat Hunting with ES
1. Analyzing Common Attacks in ES
○ Advanced SPL queries for hunting
○ Detecting and analyzing privilege escalation
○ Detecting and analyzing lateral movement
○ Detecting and analyzing data exfiltration
○ Identifying suspicious user behavior
2. Threat Hunting with MLTK (Machine Learning Toolkit)
○ Introduction to MLTK and concepts
○ Using Machine Learning (ML) to threat detection
○ training and applying MLTK models
3. Automation and Integration
○ Integrating Splunk ES with SOAR (e.g., Phantom)
○ Designing playbooks for automated response
○ APIs and integrations with other security tools