گروه APT34 یا muddywater و oilrig بیش از 8 ماه به حداقل 12 سرورهای دولتی دسترسی داشته است.
https://thehackernews.com/2023/10/iran-linked-oilrig-targets-middle-east.html
جزییات حمله و ابزارها
https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/crambus-middle-east-government
https://thehackernews.com/2023/10/iran-linked-oilrig-targets-middle-east.html
جزییات حمله و ابزارها
https://symantec-enterprise-blogs.security.com/blogs/threat-intelligence/crambus-middle-east-government
Security
Crambus: New Campaign Targets Middle Eastern Government
Iran-linked attackers compromised multiple computers and servers over the course of eight months.
مجددا okta هک شده 🤔
https://www.bleepingcomputer.com/news/security/okta-says-its-support-system-was-breached-using-stolen-credentials/
https://www.bleepingcomputer.com/news/security/okta-says-its-support-system-was-breached-using-stolen-credentials/
BleepingComputer
Okta says its support system was breached using stolen credentials
Okta says attackers accessed files containing cookies and session tokens uploaded by customers to its support management system after breaching it using stolen credentials.
SoheilSec
مجددا okta هک شده 🤔 https://www.bleepingcomputer.com/news/security/okta-says-its-support-system-was-breached-using-stolen-credentials/
دیروز 1Paasword اعلام کرده هکرهایی که okta زدند به شرکتشون pivot زدند
بعد با این ابهت از انتی ویروس ملوربایت رایگان استفاده میکردند🤔
بعد با این ابهت از انتی ویروس ملوربایت رایگان استفاده میکردند🤔
کمیسیون بورس و اوراق بهادر قصد دارد تیموتی بروان مدیر ارشد امنیت solarwinds به دلیل دروغ گفتن به سرمایه گذاران در مورد عدم افشای داده جریمه کند
https://therecord.media/solarwinds-ciso-sec-charged
https://therecord.media/solarwinds-ciso-sec-charged
therecord.media
SEC charges SolarWinds CISO with fraud for misleading investors before major cyberattack
The Securities and Exchange Commission (SEC) announced on Monday evening that it plans to charge SolarWinds Chief Information Security Officer Timothy Brown with fraud for his role in allegedly lying to investors by “overstating SolarWinds' cybersecurity…
گروه APT ایرانی ردپاهایشان در هک زیرساخت های دولتی و نظامی کشورهای خاورمیانه مشاهده شده است و به خاطر استفاده از تکنیکها و ابزارهای مشابه شناخته شده هستند
عربستان،قطر،کویت،امارات،عمان،عراق،اردن و اسراییل تارگت ها بودند 🤔
https://therecord.media/iranian-hackers-spy-on-governments-military-middle-east
عربستان،قطر،کویت،امارات،عمان،عراق،اردن و اسراییل تارگت ها بودند 🤔
https://therecord.media/iranian-hackers-spy-on-governments-military-middle-east
therecord.media
Iranian hackers caught spying on governments and military in Middle East
An Iranian nation-state threat actor is targeting high-profile organizations in the Middle East in an ongoing espionage campaign, according to a new report.
12 تا 20 سال حبس در انتظار هکر روسی که به ارتش سایبری اوکراین کمک میکرد و توسط سرویس fsb دستگیر شده است.
https://t.co/Vepil0tlAA
https://t.co/Vepil0tlAA
BleepingComputer
FSB arrests Russian hackers working for Ukrainian cyber forces
Russia's security agency published a press release on Tuesday saying that its officers detained two hackers who either assisted or joined Ukraine's hackers in cyber operations.
لیست اکسپلویت های که APT گروه های چینی از سال 2021 تاکنون گمان میرود استفاده کردند
گزارش recorded future
https://www.recordedfuture.com/charting-chinas-climb-leading-global-cyber-power
گزارش recorded future
https://www.recordedfuture.com/charting-chinas-climb-leading-global-cyber-power
Forwarded from Peneter Tools
PoC Released for SharePoint Pre-Auth RCE Chain (CVE-2023-29357 & CVE-2023-24955)
https://gist.github.com/testanull/dac6029d306147e6cc8dce9424d09868
https://securityonline.info/poc-released-for-sharepoint-pre-auth-rce-chain-cve-2023-29357-cve-2023-24955/
https://gist.github.com/testanull/dac6029d306147e6cc8dce9424d09868
https://securityonline.info/poc-released-for-sharepoint-pre-auth-rce-chain-cve-2023-29357-cve-2023-24955/
Gist
SharePoint Pre-Auth Code Injection RCE chain CVE-2023-29357 & CVE-2023-24955 PoC
SharePoint Pre-Auth Code Injection RCE chain CVE-2023-29357 & CVE-2023-24955 PoC - SharePwn_public.py
zero-click outlook rce
https://thehackernews.com/2023/12/beware-experts-reveal-new-details-on.html?m=1
https://thehackernews.com/2023/12/beware-experts-reveal-new-details-on.html?m=1
وقتی دنبال گپ امنیتی باشیم
تکنیک چی هست؟
چطوری شبیه سازی کنم با روش و ابزارها؟
technique + procedures
لاگ دارم و کار میکنه؟
SIEM and EDR Telemetry
مثلا:
تکنیک schedule task
https://attack.mitre.org/techniques/T1053/005/
از دید تیم قرمز :
https://www.ired.team/offensive-security/persistence/t1053-schtask
از دید تیم بنفش:
https://ipurple.team/2024/01/03/scheduled-task-tampering/
از دید تیم آبی:
https://www.elastic.co/guide/en/security/7.17/prebuilt-rule-0-14-2-suspicious-execution-via-scheduled-task.html
https://research.splunk.com/stories/scheduled_tasks/
خلاصه مراحل:
1. چک کردن SIEM باید لاگ همه تجهیزات بیاد تو پنلم نقطه بدون لاگ نداشته باشم
2. چک کردن یا شبیه سازی TTP برای بررسی رولهای SIEM
3.چک کردن EDR telemetry اجرای پراسس، تغییرات فایل، شبکه و ...
4.بررسی کانفیگها و رفع مشکل سمت firewall,EDR,XDR,SIEMو ...
تکنیک چی هست؟
چطوری شبیه سازی کنم با روش و ابزارها؟
technique + procedures
لاگ دارم و کار میکنه؟
SIEM and EDR Telemetry
مثلا:
تکنیک schedule task
https://attack.mitre.org/techniques/T1053/005/
از دید تیم قرمز :
https://www.ired.team/offensive-security/persistence/t1053-schtask
از دید تیم بنفش:
https://ipurple.team/2024/01/03/scheduled-task-tampering/
از دید تیم آبی:
https://www.elastic.co/guide/en/security/7.17/prebuilt-rule-0-14-2-suspicious-execution-via-scheduled-task.html
https://research.splunk.com/stories/scheduled_tasks/
خلاصه مراحل:
1. چک کردن SIEM باید لاگ همه تجهیزات بیاد تو پنلم نقطه بدون لاگ نداشته باشم
2. چک کردن یا شبیه سازی TTP برای بررسی رولهای SIEM
3.چک کردن EDR telemetry اجرای پراسس، تغییرات فایل، شبکه و ...
4.بررسی کانفیگها و رفع مشکل سمت firewall,EDR,XDR,SIEMو ...
www.ired.team
Schtask | Red Team Notes
Code execution, privilege escalation, lateral movement and persitence.
خانم کیم زتر :
درباره خبر هلندیها امروز در مورد استاکسنت منتشر کردند، اینجا خبر اصلی سال ۲۰۱۹ که من با روزنامهنگار هلندی نوشتم راهنمایی میکنم که یک مامور هلندی استاکسنت را به تاسیسات در ایران معرفی کرده است. آن زمان ما هویت مامور را نمیدانستیم.
https://news.yahoo.com/revealed-how-a-secret-dutch-mole-aided-the-us-israeli-stuxnet-cyber-attack-on-iran-160026018.html?guccounter=1&guce_referrer=aHR0cHM6Ly90LmNvLw&guce_referrer_sig=AQAAAHsT8ARqlyra6mZk8pBxHtLzjNV3VmhgrBBxgA6jWF8h5m6n9DklIykIENvP0GySBuEhnTFKAyykhu5DctXyBlKzbAU4Gf8JPFFCQHmiPP4iRVktiRgnNTiWJQKjiTDEXEwOUsnAFfqG1Hovgz6juXrSbcWGH3kwuuQ6tUDGkprI
https://twitter.com/KimZetter/status/1744408361838530651?t=rB9zQiObslZVb0vQ01JtmQ&s=19
درباره خبر هلندیها امروز در مورد استاکسنت منتشر کردند، اینجا خبر اصلی سال ۲۰۱۹ که من با روزنامهنگار هلندی نوشتم راهنمایی میکنم که یک مامور هلندی استاکسنت را به تاسیسات در ایران معرفی کرده است. آن زمان ما هویت مامور را نمیدانستیم.
https://news.yahoo.com/revealed-how-a-secret-dutch-mole-aided-the-us-israeli-stuxnet-cyber-attack-on-iran-160026018.html?guccounter=1&guce_referrer=aHR0cHM6Ly90LmNvLw&guce_referrer_sig=AQAAAHsT8ARqlyra6mZk8pBxHtLzjNV3VmhgrBBxgA6jWF8h5m6n9DklIykIENvP0GySBuEhnTFKAyykhu5DctXyBlKzbAU4Gf8JPFFCQHmiPP4iRVktiRgnNTiWJQKjiTDEXEwOUsnAFfqG1Hovgz6juXrSbcWGH3kwuuQ6tUDGkprI
https://twitter.com/KimZetter/status/1744408361838530651?t=rB9zQiObslZVb0vQ01JtmQ&s=19
Yahoo News
Revealed: How a secret Dutch mole aided the U.S.-Israeli Stuxnet cyberattack on Iran
For years, an enduring mystery has surrounded the Stuxnet virus attack that targeted Iran’s nuclear program: How did the U.S. and Israel get their malware onto computer systems at the highly secured uranium-enrichment plant?
ردتیم وظیفه اش مشخص شبیه سازی حمله بر اساس پلتفورمها و APT گروههای منطبق
https://mitre-attack.github.io/attack-navigator/
اصل شبیه سازی تاکتیک تکنیک ها و انواع procedure های مرتبط به تکنیک هاست اگر ناقص انجام بشه نتیجه کار ناقصه یعنی هنوز گپ وجود داره
https://mitre-attack.github.io/attack-navigator/
اصل شبیه سازی تاکتیک تکنیک ها و انواع procedure های مرتبط به تکنیک هاست اگر ناقص انجام بشه نتیجه کار ناقصه یعنی هنوز گپ وجود داره