Non-Malware and Living-off-the-Land Tactics in Modern Cyber Operations

«حملات بدون بدافزار و بهره‌برداری از ابزارهای سیستمی در عملیات سایبری مدرن

مهاجمان گاهی از ابزارهای قانونی سیستم (مثل PowerShell, certutil, regsvr32, mshta, PsExec, ProcDump) برای انجام کارهای مخرب استفاده می‌کنند تا ردپای بدافزار جدید نگذارند.

مهاجم‌ها ممکن است بدافزار نسازند و به‌جای آن از ابزارهای قانونی سیستم استفاده ‌کنند. تمرکز ما باید روی «رفتار غیرعادی» این ابزارها باشد.

تیم سورین

Module 1 – Introduction, Installation & Configuration of Splunk ES
1. Introduction to Splunk ES
○ Splunk ES overview
○ Splunk ES architecture and key modules
○ Splunk ES requirements
2. Installation and Configuration of Splunk ES
○ Installing Splunk Enterprise Security
○ General Settings
○ Data Normalization
○ CIM (Common Information Model)
○ Datamodel and Datasets
○ Data Validation
3. Exploring Splunk ES
○ Incident Review Dashboard
○ Security Posture Dashboard
○ Threat Intelligence Framework
○ Identity and Asset Framework
○ Risk-based Analytics Framework
Module 2 – Threat Analysis & Security Content in ES
1. Working with Security Content (Detection Rules)
○ Understanding use cases in ES
○ Enabling ES detection rules
○ Out-of-the-box detection rules
○ Customizing and developing new detection rules
○ Notable Events and Incident Workflow
○ Notable Event investigation scenarios
2. Threat Intelligence in Splunk ES
○ Introduction to the Threat Intelligence Management framework
○ Importing/Exporting TI feeds (STIX, TAXII, etc.)
○ Creating and managing threat artifacts
3. Dashboard-Based Analysis
○ Reviewing security indicators in ES dashboards
○ Using Kill Chain and MITRE ATT&CK mappings
○ Building custom dashboards for SOC teams
Module 3 – Advanced Threat Analysis & Threat Hunting with ES
1. Analyzing Common Attacks in ES
○ Advanced SPL queries for hunting
○ Detecting and analyzing privilege escalation
○ Detecting and analyzing lateral movement
○ Detecting and analyzing data exfiltration
○ Identifying suspicious user behavior
2. Threat Hunting with MLTK (Machine Learning Toolkit)
○ Introduction to MLTK and concepts
○ Using Machine Learning (ML) to threat detection
○ training and applying MLTK models
3. Automation and Integration
○ Integrating Splunk ES with SOAR (e.g., Phantom)
○ Designing playbooks for automated response
○ APIs and integrations with other security tools

🖥 مخزن آموزشی: Awesome Cyber Security University
🎓 دانشگاه امنیت سایبری – یادگیری رایگان و عملی امنیت اطلاعات

این پروژه در گیت‌هاب مجموعه‌ای از بهترین و رایگان‌ترین منابع آموزشی امنیت سایبری را گردآوری کرده است که تمرکز اصلی آن بر یادگیری عملی و پروژه‌محور است.

🔹 ساختار دوره شامل ۶ بخش اصلی است:
1️⃣ مقدمه و مبانی امنیت
2️⃣ مسیر رایگان آموزش تیم قرمز (Red Team) برای مبتدیان
3️⃣ مسیر رایگان آموزش تیم آبی (Blue Team) برای مبتدیان
4️⃣ تمرین‌ها و چالش‌های تکمیلی
5️⃣ جدیدترین آسیب‌پذیری‌ها (CVEها)
6️⃣ چالش‌های سخت و تخصصی – با ترتیب افزایشی سطح دشواری

📎 لینک گیت‌هاب:
github.com/brootware/awesome-cyber-security-university

#CyberSecurity #GitHub #RedTeam #BlueTeam #CVE #SoorinSec #ThreatHunting

تیم سورین

OWASP Smart Contract Top 10 Vulnerabilities (https://github.com/OWASP/www-project-smart-contract-top-10)

]-> OWASP Smart Contract Security Verification Standard (https://owasp.org/www-project-smart-contract-security-verification-standard/)
]-> OWASP Smart Contract Security Testing Guide (https://owasp.org/www-project-smart-contract-security-testing-guide/)

تیم سورین

⚠️ هشدار امنیتی —
PoC برای CVE-2025-56383 (Notepad++ DLL Hijacking)

مخزن عمومی «CVE-2025-56383-Proof-of-Concept» توسط کاربر zer0t0 منتشر شده که یک PoC به زبان C برای بهره‌برداری از ضعف DLL hijacking در Notepad++ (مثال: npp.8.8.3) ارائه می‌کند. روش نمایش‌داده‌شده جایگزینی یک DLL معتبر (مثلاً NppExport.dll) با نسخهٔ جعل‌شده‌ای است که سپس کد دلخواه را اجرا می‌کند — بدیهی است که این رفتار می‌تواند به اجرای کد از راه دور/محلی منجر شود اگر مهاجم به مسیر نصب دسترسی نوشتن داشته باشد.

👨‍💻 نکات مهم و فوری:
• بررسی کنید آیا در شبکه/سرورهای شما Notepad++ نصب است (نسخه‌ها و مسیر نصب).
• دسترسی نوشتن به پوشهٔ نصب را برای کاربران غیرمجاز قطع کنید (Least Privilege).
• checksum/ hash فایل‌های DLL حساس را اعتبارسنجی کنید و تغییرات ناگهانی را لاگ و بررسی کنید.
• اگر امکانش هست، برنامه را به نسخهٔ وصله‌شده ارتقا دهید یا تا رفع رسمی از اجرای بسته‌های نصب محلی خودداری کنید.
• مانیتورینگ: دنبال تغییر روی DLLها و spawn شدن پروسس‌های ناگهانی از طریق Notepad++ باشید.

📌 مرجع:

https://github.com/zer0t0/CVE-2025-56383-Proof-of-Concept

تیم سورین

📚سرفصل‌های دوره‌ی Splunk Enterprise Security (v8.0)

🔹 Module 1 – Introduction, Installation & Configuration of Splunk ES
آشنایی مقدماتی با Splunk ES، نصب، تنظیمات اولیه و Data Normalization

🔹 Module 2 – Threat Analysis & Security Content in ES
تحلیل تهدیدات، کار با Detection Rules، و ساخت Use Caseهای امنیتی

🔹 Module 3 – Advanced Threat Analysis & Threat Hunting with ES
شکار تهدیدات پیشرفته، تحلیل رفتار مهاجم و طراحی Dashboardهای حرفه‌ای

🎓 مدرس: مهندس علی آهنگری
📍 جهت ثبت‌نام :

ارتباط با ادمین (@Fze01) و یا شماره تماس 09028990150

تیم سورین