سلام دوستان وقتتون بخیر،
انشالله امروز یه لایو ساعت 18 در خدمتتون هستم، روی APT 28 🇷🇺تا جایی که شد تاکتیک میریم جلو
https://youtube.com/live/-j3OZfu7zfI?feature=share

سلام وقت بخیر، امروز مجدد ساعت 18 لایو #ردتیم دارم APT Simulation تا جایی که بشه تاکتیک تکنیک‌های مربوط به APT28 🇷🇺 کاور میکنم.
https://youtube.com/live/RYcku1kRYWE?feature=share

سلام وقت بخیر، امروز ساعت 18 (قسمت آخر) لایو #ردتیم در خدمتتون هستم با APT 28 Simulation🇷🇺 و تاکتیک‌های باقی مانده کاور میکنم.
ریپو براش ساختم بعد از اتمام لایو هر چی کامند، پیلود هست آپلود میکنم براتون که بعدا بتونید استفاده کنید
https://youtube.com/live/5E8vsvT4Rvc?feature=share
https://github.com/soheilsec/APT-28-Simulation

The PrintNightmare is not Over Yet:
https://itm4n.github.io/printnightmare-not-over/

metasploit 15%
active + attacks 41%
mitre 15%
owasp top 10 29%
طبق تجمیع دو نظر سنجی آموزش اکتیو‌دایرکتوری + حملات به صورت عملی میریم جلو تقریبی 20 تا قسمتی باید بشه که تمام حملات کاور بشه و سعی میکنم بیس شبکه بیشتر توضیح بدم چون میدونم این بیس شبکه بین کسانی که شروع میکنن خیلی کمرنگ هست
جهت حمایت از بنده کانال ساب کنید حتما نظرتتان کامنت بزارید که آموزش کاربردی جلو بره
https://youtube.com/@soheilsec

CVE-2024-43582: RCE in RDP Servers, 8.1 rating❗️

A use after free vulnerability in some RDP servers could allow an attacker to carry out remote code execution.
https://app.netlas.io/responses/?q=protocol%3Ardp%20geo.country%3AIR&page=1&indices=

IntelBroker, in collaboration with EnergyWeaponUser and zjj, claims to be selling data from a recent Cisco breach.

The compromised data reportedly includes GitHub and GitLab projects, SonarQube projects, source code, hardcoded credentials, certificates, customer SRCs, confidential Cisco documents, Jira tickets, API tokens, AWS private buckets, Cisco technology SRCs, Docker builds, Azure storage buckets, private and public keys, SSL certificates, and Cisco premium products.

Several high-profile companies, including Verizon, AT&T, Bank of America, Barclays, British Telecom, Microsoft, Vodafone, and Chevron, are allegedly impacted.

Samples have been provided.
https://x.com/H4ckManac/status/1845884053574025416?t=xWMDW5t78xM9OUg5Olx7fA&s=19

DEF CON 32 talk Windows Downdate: Downgrade Attacks Using Windows Updates
https://youtu.be/HHmxuxQ7bE8?si=zYrdh420K0nHVmtB

❓Think your EDR solution is bullet proof?
🔥 Intuitive threat actors now leverage Windows Filtering Platform rules to block EDRs from alerting the SOC Team. ⬇️

⚙️ Specifically, EDRSilencer is a very neat opensource tool that detects running EDR processes and uses custom Windows Filtering Platform (WFP) rules to block outbound communications between the EDR agent on a workstation or sever to the EDR management server. This means that alerts don’t make it to the SOC team or IT department and are not aware of the system being compromised.

⬇️ EDRSilencer on Github:
https://github.com/netero1010/EDRSilencer

📰 Kudos to TrendMicro on their article covering this topic in detail:
https://www.trendmicro.com/en_us/research/24/j/edrsilencer-disrupting-endpoint-security-solutions.html

🛡How to block this attack?
While TrendMicro notes that blocking EDRSilencer is one prevention method; there is nothing stopping threat actors from just crafting another app that calls WFP to block EDR agent communications. A better detection method for a SOC team would be to log WFP events and specifically alert on 5155 & 5157 event IDs (WFP blocked apps and connections) which are filtered in your SIEM platform by the Application Name which equals the path of your EDR agent.

📕WFP Event Auditing:
https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/auditing/audit-filtering-platform-connection

Ref:https://www.linkedin.com/posts/christiancscott_think-your-edr-solution-is-bullet-proof-activity-7252879878260170753-XrF4/?utm_source=share&utm_medium=member_android

I gathered samples related to Attack Against Iran’s State Broadcaster if you have access to those three missing files plz share it in group

file pass : infected

credits :
vx-underground
MalwareBazaar
checkpoint

⚠️ New details available on the FortiManager zero-day exploitation campaign:
— It now has a CVE: CVE-2024-47575.
— It was exploited early as June by UNC5820
— They exfiltrated the config data of FortiGate devices
👇
https://www.fortiguard.com/psirt/FG-IR-24-423

https://cloud.google.com/blog/topics/threat-intelligence/fortimanager-zero-day-exploitation-cve-2024-47575

An attacker exploiting the security issue could relay NTLM authentication to Active Directory Certificate Services (ADCS) to obtain a user certificate for further domain authentication.
همین یه تیکش مشخص تو شبکه داخلی ایران ج نمیده 🤔
The flaw affects all Windows server versions 2008 through 2022 as well as Windows 10 and Windows 11.

https://www.bleepingcomputer.com/news/security/exploit-released-for-new-windows-server-winreg-ntlm-relay-attack/

https://github.com/akamai/akamai-security-research/tree/main/PoCs/cve-2024-43532

Inside a Firewall Vendor's 5-Year War With the Chinese Hackers Hijacking Its Devices

Sophos detailed to me its
5-year cat-and-mouse game with Chinese hackers repeatedly exploiting its firewalls. The company resorted to installing spy "implants" on devices the hackers were testing on—tracing them to a university and contractor in Chengdu.
Sophos' experience gives a glimpse of how determinedly and on what a huge scale China's state hackers are hijacking "perimeter" security appliance like firewalls and VPNs to breach targets—and how a network of Chinese academic and private-sector researchers is enabling them.
https://www.wired.com/story/sophos-chengdu-china-five-year-hacker-war/

قسمت اول از مجموعه اکتیو مفاهیم ابتدایی برگرفته از مایکروسافت
https://youtu.be/EtKFrogBiTA
به مرور که حملات مختلف بخوام بگم نحوه پیاده سازی لب و موارد غیره براتون میزارم روی
https://github.com/soheilsec/Active-Directory-For-Hackers
این مجموعه آموزش صرفا روی Misconfiguration بحث میکنم بدون هیچ اکسپلویتی چی کارها میتونم بکنم مثل آزمون OSCP که باید Admin DC بشی در انتهاش و این روند کاری که تو تمام پروژه تست نفوذ و ردتیم انجام میشه

سلام دوستان خوش اومدید به هفته دوم (قسمت دوم) از مجموعه اکتیو دایرکتوری برای هکرها:
ویدیو:
https://youtu.be/W7lWIcdpOj8
خوب در قسمتی قبلی یادگرفتیم ساختار اکتیو به چه شکل هست و همه چی تو اکتیو object هست. حالا به عنوان یک یوزر یا همون object چطوری از سرویس های مختلف باید استفاده کنم؟
جواب باید authenticate و authorized بشی
یعنی احراز هویت و تعیین سطح دسترسی برای استفاده از سرویس
این کار توسط kerberos و ntlm انجام میشه
https://github.com/soheilsec/Active-Directory-For-Hackers/blob/main/How%20kerberos%20and%20ntlm%20works.md
خود kerberos چطور کار میکنه
ارسال یوزر و پسورد به kdc و دریافت tgt در صورت درست بودن پسورد من
مرحله بعدی اینکه بخوام به سرویس خاصی دسترسی پیدا کنم باید tgs یا ticket granting service درخواست بدم با توجه به نوع tgt و با استفاده از pac ما سطح دسترسی نوع گروه مشخص یعنی ممکنه سرویس بهمون جواب بده وصل بشیم مثل remote desktop یا اینکه دسترسی نداشته باشه object بهش و deny بشه
https://github.com/soheilsec/Active-Directory-For-Hackers/blob/main/Kerberos-Based%20Attacks.md
اما ntlm به چه صورت هست
در مرحله اول user pass میزنیم پسورد hash میشه و همینطوری برخلاف kerberos ارسال میشه اولین مشکل mitm میشه زد روش یا sniff کرد
و بعد میره تو فاز challange که با دریافتش کلاینت هش پسورد باهاش ترکیب میکنه و ارسال میکنه و در سمت سرور باید از این به اصطلاح فرمول ریاضی برسه به hash که تو دیتابیس از user داره تا مثلا دسترسی به share پیدا کنه
در این بین به خاطر اینکه sign نمیشه این مرحله که اصطلاحا smb signing میگند ما اون وسط به عنوان هکر میتونیم همین پکت replay کنیم یکجا دیگه ntlm relay attack دسترسی بگیریم از یک سرور دیگه
https://github.com/soheilsec/Active-Directory-For-Hackers/blob/main/NTLM-Based%20Attacks.md
اینا مواردی بود که تو فیلم بررسی کردم
برای درک بیشتر بهتر kerberos ntlm lsass token و ... کتاب
https://www.amazon.com/Windows-Security-Internals-Authentication-Authorization/dp/1718501986
حتما باید بخونید.

سلام دوستان وقتتان بخیر به هفته سوم و راه اندازی لب خوش آمدید:
خوب این آموزش یکم طولانی شد و صفر تا صد به همراه مشکلات که احتمالا میخورین و رفعش من کاور کردم
قبل از هر چیزی ویندوز سرور 2016 دانلود کنید
کالی اخرین ورژن اپدیت هفتگی دانلود کنید
ویندوز 10 به عنوان کلاینت دانلود کنید
من forest اولی راه انداختم با اسم soheil.lab سرور 2016
بعد child domain بهش وصل کردم child.soheil.lab سرور 2016
بعد کلاینت وصل کردم به forest domain ویندوز 10
بعد tree domain راه انداختم با اسم soheilsec.lab
بعد foreign forest راه انداختم با اسم diablo.lab
و ویندوز کلاینت که وصل کردم به diablo.lab
در اخر Trust builtin که ما بین child tree domain با forestداریم
همچنین من با این ip plan لب راه انداختم
vlan soheil.lab
kali
192.168.100.2
soheil.lab
192.168.100.5
Active Directory
office windows 10 joined soheil.lab
192.168.100.6
srv.child.soheil.lab
child.soheil.lab
192.168.100.7
Active directory
soheilsec.lab
192.168.100.8
Active directory
diablo.lab
192.168.100.9
Active directory
office2 windows 10 joined diablo.lab
192.168.100.10
ولی برای trust foreign و soheil.lab توضیح دادم که باید stub zone dns و zone transfer چی کار بکنید
طبق حملاتی که ذکر کردم در گیت زیر
https://github.com/soheilsec/Active-Directory-For-Hackers
نیاز داریم که این vm ها رو داشته باشیم
هر حمله که برسم کانسپت و کانفیگ اشتباه که ممکنه ادمین بزنه هم بهتون میگم فعلا LAB اماده کنید تا هفته بعد
https://youtu.be/YUkJt-j7xEE

سلام وقت بخیر، خوش آمدید به هفته چهارم
این هفته به بررسی سناریوهای دنیای واقعی پرداختم که چطور می رسیم به داخل شبکه و دسترسی می گیریم به اکتیو
همان طور که می دونید در دنیای واقعی یا سرویس ها یا باید آدم ها رو اکسپلویت کنیم تا به شبکه داخلی برسیم
هر کدوم چالش‌های خودش داره و در سناریو ردتیم به توجه به پیچیدگی شبکه تارگت میتونی این فرآیند چند روز تا چند ماه طول بکشه وب که خورده میشه سرور lpe زد نمیشه راهی هست سطح دسترسی بالا ببریم وب سرور workgroup باشه چی کار کنیم و تازه وقتی وارد سرور میرسیم چطور برسیم به شبکه اصلی اگر Trust باشه شاید به همین راحتی دسترسی وجود نداشته باشه و به دیتابیس اصلی
https://youtu.be/OFmNZII9KaQ
نوت ها و کامندها :
https://github.com/soheilsec/Active-Directory-For-Hackers/blob/main/Real%20World%20Scenarios.md

Enhancing Cyber Resilience: Insights from CISA Red Team Assessment of a US Critical Infrastructure Sector Organization
https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-326a