👩‍💻Persistence – Event Log👩‍💻

این مقاله درباره تکنیکی است برای دستیابی به پایداری در سیستم ویندوز با سوء استفاده از event log service .
این مقاله توضیح می‌دهد که چگونه یک مهاجم می‌تواند از یک کلید رجیستری برای تعیین یک فایل DLL مخرب استفاده کند که هر بار که event log serviceبارگذاری می‌شود، فایل مخرب اجرا شود . این مقاله با توصیه برخی اقدامات دفاعی برای جلوگیری یا تشخیص این نوع حمله، مانند نظارت بر کلید رجیستری، استفاده از نرم‌افزار آنتی ویروس و فعال کردن Windows Defender Credential Guard، به پایان می‌رسد.

📚https://pentestlab.blog/2024/01/08/persistence-event-log/

تیم سورین
#persistence #Event_Log

🚨 Critical RCE Vulnerability Alert 🚨
The issue, tracked as CVE-2024-21591, is rated 9.8 on the CVSS scoring system.

🚨 هشدار آسیب پذیری بحرانی RCE 🚨
یک آسیب‌پذیری مهم RCE (CVE-2024-21591)
در فایروال‌های سری Juniper SRX و سوئیچ‌های سری EX کشف شده که به مهاجمان احراز هویت نشده اجازه می دهد تا کد را اجرا کرده و امتیازات ریشه یا root privileges را به دست آورند. اکیداً به کاربران توصیه می‌شود که سیستم‌های خود را فوراً به نسخه‌های جدید بروزرسانی کنند تا از سوءاستفاده جلوگیری کنند.

🔗https://thehackernews.com/2024/01/critical-rce-vulnerability-uncovered-in.html

#CyberSecurity #Juniper #RCEVulnerability
تیم سورین

🔏Digital Forensics Script for Linux🐧

Advanced Bash noscript for conducting digital forensics on Linux systems

🌐https://github.com/vm32/Digital-Forensics-Script-for-Linux

#linux #forensics
تیم سورین

(for Non-Linux Folks)

#linux #forensics
تیم سورین

🕵️ OSINT Tools for gathering information and actions forensics 🕵️

🔗https://github.com/danieldurnea/FBI-tools

#OSINT #forensics
تیم سورین

🔏Hunting & Detecting Remcos RAT with Splunk & Sysmon

🔗https://sakshamtushar.notion.site/Hunting-Detecting-Remcos-RAT-with-Splunk-Sysmon-947cd3c1988b4aba983bcaa6ce7d8897

#splunk #sysmon #detection
تیم سورین

⚡️ Critical security flaw found in Opera Browser!

- این مقاله یک نقص امنیتی در مرورگر وب Opera را گزارش می دهد که می تواند به هکرها اجازه دهد هر فایلی را روی رایانه ویندوز یا مک شما اجرا کنند.
- این نقص MyFlaw نام دارد و از قابلیتی به نام My Flow استفاده می کند که به شما امکان می دهد پیام ها و فایل ها را بین دستگاه های تلفن همراه و دسکتاپ خود همگام سازی کنید.
- محققان آزمایشگاه Guardio که این نقص را کشف کردند گفتند که هکرها می توانند از یک پسوند جعلی برای جفت شدن با رایانه شما و ارسال یک فایل مخرب استفاده کنند که می تواند با کلیک کردن روی آن اجرا شود.
- این نقص توسط اپرا در به روز رسانی در 22 نوامبر 2023، پس از اطلاع محققان در 17 نوامبر 2023، برطرف شد.
- این مقاله به کاربران توصیه می کند که مرورگر اپرا خود را به روز کنند و سیستم خود را با یک برنامه آنتی ویروس اسکن کنند تا از هرگونه حمله احتمالی جلوگیری کنند.

🔗https://thehackernews.com/2024/01/opera-myflaw-bug-could-let-hackers-run.html

#Vulnerabilities #opera

تیم سورین

🔵 Free Resource for Cyber Security Lab Practice, RED & BLUE Team.

🌀Attack-Defense - https://attackdefense.com
🌀Alert to win - https://alf.nu/alert1
🌀Bancocn - https://bancocn.com
🌀 Buffer Overflow Labs - https://lnkd.in/eNbEWYh
🌀CTF Komodo Security - https://ctf.komodosec.com
🌀CryptoHack - https://cryptohack.org/
🌀CMD Challenge - https://cmdchallenge.com
🌀Explotation Education - https://exploit.education
🌀Google CTF - https://lnkd.in/e46drbz8
🌀HackTheBox - https://www.hackthebox.com
🌀Hackthis - https://www.hackthis.co.uk
🌀Hacksplaining - https://lnkd.in/eAB5CSTA
🌀Hacker101 - https://ctf.hacker101.com
🌀Capture The Flag - Hacker Security - https://lnkd.in/ex7R-C-e
🌀Hacking-Lab - https://hacking-lab.com/
🌀ImmersiveLabs - https://immersivelabs.com
🌀NewbieContest - https://lnkd.in/ewBk6fU5
🌀OverTheWire - http://overthewire.org
🌀Practical Pentest Labs - https://lnkd.in/esq9Yuv5
🌀Pentestlab - https://pentesterlab.com
🌀Penetration Testing Practice Labs - https://lnkd.in/e6wVANYd
🌀PentestIT LAB - https://lab.pentestit.ru
🌀PicoCTF - https://picoctf.com
🌀PWNABLE - https://lnkd.in/eMEwBJzn
🌀Root-Me - https://www.root-me.org
🌀Root in Jail - http://rootinjail.com
🌀SANS Challenger - https://lnkd.in/e5TAMawK
🌀SmashTheStack - https://lnkd.in/eVn9rP9p
🌀The Cryptopals Crypto Challenges - https://cryptopals.com
🌀Try Hack Me - https://tryhackme.com
🌀Vulnhub - https://www.vulnhub.com
🌀Vulnmachine - https://lnkd.in/eJ2e_kD
🌀W3Challs - https://w3challs.com
🌀WeChall - http://www.wechall.net
🌀Websploit - https://websploit.org/
🌀Zenk-Security - https://lnkd.in/ewJ5rNx2
🌀Cyberdefenders - https://lnkd.in/dVcmjEw8
🌀LetsDefend- https://letsdefend.io/

🚨!SHARE MAYBE SOMEONE NEED IT 🚨!

Credit : Linedin
#RedTeam #BlueTeam

تیم سورین

🐧Sysmon for Linux🐧

ابزار Sysmon برای لینوکس ابزاری است که فعالیت‌های سیستم از جمله process lifetime, network connections, file system writes و غیره را نظارت و ثبت می‌کند. Sysmon از فیلتر پیشرفته برای کمک به شناسایی فعالیت های مخرب و همچنین نحوه عملکرد مزاحمان و بدافزار در شبکه استفاده می کند.
🔗
https://github-com.translate.goog/Sysinternals/SysmonForLinux?_x_tr_sl=auto&_x_tr_tl=en&_x_tr_hl=ro

#linux #sysmon

تیم سورین

🔏این مقاله در مورد DLL side-loading ؛ تکنیکی است که توسط برخی از عوامل مخرب برای فرار از شناسایی و اجرای کد آنها در یک سیستم هدف استفاده می شود. DLL side-loading بر اساس رفتار ویندوز کار میکند به اینصورت که یک DLL را از همان دایرکتوری برنامه مورد نیاز قبل از جستجوی مکان‌های دیگر بارگیری می‌کند. این به مهاجم اجازه می دهد تا یک DLL مخرب و یک فایل اجرایی قانونی را در یک پوشه قرار دهد و سیستم را فریب دهد تا DLL را هنگام راه اندازی فایل اجرایی ، اجرا کند.
🔹"در تصویر ، می‌توانید پوشه‌ای حاوی «WFS.exe» و یک DLL مخرب را ببینید. "
👀نحوه شناسایی :
1️⃣ فایل های اجرایی امضا شده ای را که از مسیری ناشناخته اجرا می شوند را جستجو کنید و DLL های بدون علامت را بارگیری کنید.
2️⃣جستجو برای فایل های اجرایی که در آن DLL از همان پوشه بارگذاری می شود. به عنوان مثال، اگر فایل اجرایی در پوشه "Documents" وجود داشته باشد و DLL از همان پوشه بارگیری شود، مشکوک است و نیاز به بررسی بیشتر دارد.
3️⃣این مسیرهای متداول هدفمند را در جستجوهای خود بگنجانید: «\Documents» «\ProgramData» «\Public» «\AppData» و غیره.

#DLL
تیم سورین

😎 Awesome GPTs (Agents) for Cybersecurity
The "Awesome GPTs (Agents) Repo" represents an initial effort to compile a comprehensive list of GPT agents focused on cybersecurity (offensive and defensive), created by the community.

لیستی جامعی از GPT اینجنت ها با تمرکز بر امنیت سایبری (تهاجمی و تدافعی)

🌐https://github.com/fr0gger/Awesome-GPT-Agents

#gpt
تیم سورین

🔏"خرابکار خاموش: خطرات hh.exe"

آشنایی با hh.exe: Hh.exe مخفف HTML Help Executable و جزء اصلی سیستم عامل ویندوز است. در پوشه های C:\Windows یا C:\Windows\SysWOW64 قرار دارد و هر زمان که یک فایل راهنمای کامپایل شده (.chm) را با کلیک روی آن یا روش های دیگر باز می کنید، اجرا می شود.
فایل اصلی hh.exe مایکروسافت بخش ایمن ویندوز است اما برخی از بدافزارها مانند کرمها، تروجانها و بکدورها از نام فایل مشابهی برای پنهان کردن خود از نرم افزارهای شناسایی و امنیتی استفاده میکنند. این فایلهای مخرب hh.exe میتوانند در پوشه های مختلفی مانند C:\Users\<username>\AppData\Roaming قرار گیرند یا میتوانند فایل hh.exe واقعی را در C:\Windows بازنویسی کنند.

مطالعه بیشتر : لینکدین
#hh #mitre #windows
تیم سورین

📚Book Recommendations for SOC Analysts

تحلیلگران SOC به دانش نظری و عملی زیادی در هنگام شناسایی تهدیدات در روال کاری خود نیاز دارند. یکی از بهترین منابعی که می توانند این اطلاعات را به دست آورند، کتاب ها هستند. در این مقاله در مورد 3 کتاب مختلف زیر صحبت شده است :

1️⃣Practical Malware Analysis: The Hands-On Guide to Dissecting Malicious Software
2️⃣Blue Team Field Manual (BTFM)
3️⃣Applied Network Security Monitoring: Collection, Detection, and Analysis

🔻این سه کتاب در ادامه در همین کانال قرار گرفته است
#book
تیم سورین

Practical Malware Analysis - The Hands-On Guide to Dissecting Malicious Software by Michael Sikorski, Andrew Honig
تیم سورین

🚨Alert : New Outlook Exploit Unveiled: CVE-2023-35636 Leads to NTLM v2 Password Breach

آسیب پذیری CVE-2023-35636 یک آسیب‌پذیری افشای اطلاعات Microsoft Outlook است که در 12 دسامبر 2023 وصله شده ، بهره‌برداری از این آسیب‌پذیری می‌تواند به مهاجم اجازه دهد تا هش‌های NTLM v2 را از رایانه قربانی با ارسال یک یادآوری ایمیل ساخته‌شده ویژه با یک فایل صوتی سفارشی بدزدد. پس این اکسپلویت مهاجمان را قادر می‌سازد تا هش‌های NTLM v2 را که برای احراز هویت در سیستم‌های ویندوز مایکروسافت استفاده می‌شوند، رهگیری کنند. به کاربران توصیه می شود برای جلوگیری از این حمله، برنامه های Outlook 2016، 2019 یا 365 خود را به آخرین نسخه به روز کنند.

🔏برخی از اطلاعات دیگر که ممکن است برای شما مفید باشد عبارتند از:

- پروتکل NTLM v2 یک پروتکل احراز هویت چالش-پاسخ است که از هش رمز عبور کاربر به عنوان secret key استفاده می کند.
- فایل صوتی سفارشی مورد استفاده در اکسپلویت یک فایل WAV نادرست است که هنگام پخش توسط Outlook باعث خراب شدن حافظه می شود.
- این اکسپلویت نیازی به تعامل کاربر ندارد، زیرا یادآوری ایمیل به طور خودکار توسط Outlook فعال می شود. این باعث می شود که یک آسیب پذیری اجرای کد از راه دور باzero-click باشد.
- این اکسپلویت بر سایر برنامه هایی که از Windows Media Foundation Core برای پخش فایل های صوتی استفاده می کنند، مانند Skype، Teams و Edge تأثیر می گذارد.


منابع : [1] [2] [3]

#Outlook
تیم سورین