🔴 بدافزار محبوب سارق اطلاعات، StealC از سال 2023 فعاله و در آوریل 2025، نسخه ی 2.0 اون منتشر شد. در همون بازه ی زمانی، سورس کد پنل مدیریت اش افشا شد.

محققای CyberArk با بررسی سورس کدهای پنل، تونستن یک آسیب پذیری XSS داخلش پیدا کنن که امکان شناسایی مرورگر و سخت افزار مهاجم، نشستهای فعال و سرقت کوکی ها رو میده.

محققا برای اینکه بتونن در عملیات این بدافزار اختلال وارد کنن، جزییاتی از آسیب پذیری منتشر نکردن تا اپراتورها نتونن فعلا اون رو شناسایی و اصلاح کنن.

در گزارش، به یک مشتری این بدافزار بنام YouTubeTA اشاره شده که از طریق اعتبارنامه هایی که بدست آورده، کانالهای قدیمی و معتبر یوتیوب رو هک و لینکهای آلوده، ازشون منتشر میکنه. ایشون در سال 2025، تونسته 5 هزار لاگ که شامل 390 هزار پسورد و 30 میلیون کوکی بوده، بدست بیاره. اغلب آلودگی ها از طریق لینکهای آلوده مربوط به نسخه های کرک شده ی Adobe Photoshop و Adobe After Effects بودن.

محققا از طریق این آسیب پذیری متوجه شدن که ایشون از Apple M3 استفاده میکنه، تنظیمات زبان انگلیسی و روسی داره و در منطقه ی زمانی اروپای شرقی قرار داره. چون از VPN استفاده نکرده، مشخص شده که از طریق شرکت اوکراینی TRK Cable TV به اینترنت وصل شده.

#بازیگران_تهدید
#StealC #InfoStealer

🆔 @onhex_ir
🌍 ONHEXGROUP (Official Links)

🔴 نشریه ی Record گزارشی منتشر کرده در خصوص استفاده ی آمریکاییها از ابزارهای سایبری در جنگ 12 روزه در ایران و ونزوئلا.

طبق این گزارش، برای اینکه آمریکایی ها بتونن تاسیسات هسته ای ایران رو بزنن، از طریق حمله ی سایبری، روی سامانه های پدافند هوایی، اختلال ایجاد کردن. این کار باعث شده تا جلوی شلیک موشک به سمت جنگنده های آمریکایی گرفته بشه.

جزییات زیادی در خصوص این حمله سایبری نگفتن.

یک منبع آگاه گفته: سامانه‌های نظامی اغلب به مجموعه‌ای پیچیده از اجزا متکی هستن که همه باید به ‌درستی کار کنن. یک آسیب‌پذیری یا ضعف در هر نقطه‌ای میتونه برای برهم زدن کل سیستم مورد استفاده قرار بگیره. اپراتورهای آمریکایی با استفاده از اطلاعات NSA، بجای اینکه به یک سامانه ی نظامی پیچیده مستقر در یک یا هر سه تاسیسات هسته ای ایران نفوذ کنن، که کار دشواری بوده، یک گره در شبکه رایانه ای مانند روتر یا سرور یا دستگاه جانبی رو هدف قرار دادن.

مشخص نیست که آمریکایی ها، چه دستگاهی رو در زنجیره ارتباطی پدافند، هدف قرار دادن.

طبق این گزارش این عملیات یکی از پیچیده‌ترین اقدامات فرماندهی سایبری علیه ایران در تاریخ تقریبا ۱۶ ساله این نهاد محسوب میشه.

این فرماندهی ،ماه گذشته هم عملیات سایبری در ونزودلا انجام داده بود که برق پایتخت ونزوئلا رو قطع و رادار پدافند هوایی و همچنین رادیوهای دستی این کشور رو مختل کرده بود.

در ادامه ی گزارش اشاره شده که عملیات سایبری (بخشی از non-kinetic) دیگه بطور مجزا انجام نمیشه و الان با عملیات kinetic (استفاده از ادوات فیزیکی مانند موشک)، ادغام شده و اصطلاحا اپراتورهای سایبری رو به خط مقدم آوردن. این دو نمونه نشان دهنده عادی بودن این قضیه هستش و در آینده موارد بیشتری از این نوع رو خواهیم شنید.

#ایران #ونزوئلا #اخبار_سایبری_جنگ_ایران_اسرائیل

🆔 @onhex_ir
🌍 ONHEXGROUP (Official Links)

🔴 هکرها تونستن به سرور بروزرسانی آنتی ویروس eScan از شرکت MicroWorld Technologies نفوذ کنن و یک فایل مخرب رو بعنوان بروزرسانی توزیع کنن.

این هک که توسط شرکت سازنده تایید شده، کاربرانی که در بازه دو ساعته در 20 ژانویه، اقدام به بروزرسانی کردن رو تحت تاثیر قرار داده.

شرکت Morphisec هم گزارشی در خصوص این رخداد با هدف بررسی فعالیت مخرب بروزرسانی روی سیستم مشتریان انجام داده. کاربرانی که بروزرسانی مخرب رو دریافت کردن، ممکن شاهد فعالیتهای زیر باشن:

- نمایش اعلان‌های خطای سرویس بروزرسانی
- تغییر فایل hosts سیستم که مانع اتصال به سرورهای بروزرسانی eScan میشه
- تغییر در فایلهای پیکربندی بروزرسانی eScan
- ناتوانی در دریافت ‌بروزرسانیهای جدید
- نمایش پیام عدم دسترسی به بروزرسانی روی سیستمهای کلاینت

طبق گزارش Morphisec ، هکرها یکی از مولفه های بروزرسانی یعنی Reload.exe رو دستکاری کردن. این فایل برای ایجاد پرسیست، اجرای دستورات، تغییر فایل HOSTS ویندوز به ‌منظور جلوگیری از بروزرسانیهای راه دور و اتصال به C2 برای دریافت پیلودهای بعدی استفاده شده. این فایل رو با گواهی امضای eScan امضا کردن اما هم ویندوز و هم VirusTotal ، این گواهی رو نامعتبر میدونن.

سرورهای C2 که استفاده شده:

hxxps[://]vhs[.]delrosal[.]net/i
hxxps[://]tumama[.]hns[.]to
hxxps[://]blackice[.]sol-domain[.]org
hxxps[://]codegiant[.]io/dd/dd/dd[.]git/download/main/middleware[.]ts
504e1a42.host.njalla[.]net
185.241.208[.]115

آخرین پیلودی هم که مشاهده کردن، CONSCTLX.exe بوده که بعنوان یک بکدور و دانلودر، استفاده شده. برای پرسیست از scheduled tasks با نام CorelDefrag استفاده کردن.

برای حل این مشکل، MicroWorld Technologies سرورهای آسیب دیده رو ایزوله و در ادامه امن کرده و یک بروزرسانی اصلاحی برای حل تغییرات مخرب و بروزرسانی نرمال منتشر کرده.

مکانیزیم بروزرسانی eScan یکبار هم در سال 2024 برای توزیع بدافزار، توسط هکرهای کره شمالی هک شده بود.

#بازیگران_تهدید
#eScan

🆔 @onhex_ir
🌍 ONHEXGROUP (Official Links)

🔴 یکی از دستیارهای هوش مصنوعی که این روزها خیلی سر و صدا کرده، Moltbot هستش که قبلا با عنوان Clawdbot شناخته میشد. این دستیار هوش مصنوعی بصورت محلی در دستگاه کاربر نصب میشه و میتونه با اپلیکیشن های کاربر مانند پیامرسانها، کلاینت های ایمیل و سیستم فایل ادغام بشه.

برخلاف چت‌بات‌های مبتنی بر ابر، Moltbot میتونه بصورت محلی و ۲۴ ساعته اجرا بشه، حافظه دائمی داشته باشه، ‌بطور فعال برای هشدارها و یادآوریها با کاربر ارتباط بگیره، وظایف زمان بندی ‌شده رو اجرا کنه. همین قابلیتها و راه‌اندازی ساده باعث شده Moltbot به ‌سرعت وایرال بشه و حتی فروش دستگاههایی مانند Mac Mini رو افزایش بده، چون خیلیا ‌دنبال یک سیستم اختصاصی برای میزبانی این چت‌بات بودن.

اما محققین امنیتی مانند Jamieson O’Reilly، Token Security، Arkose Labs، 1Password، Intruder و Hudson Rock هشدار دادن که بسته به سطح دسترسی و مجوزهای چت‌بات روی سیستم میزبان، میتونه به نشت داده‌های حساس، افشای اطلاعات سازمانی، سرقت اعتبارنامه‌ها و حتی اجرای دستورات منجر بشه.

مثلا به دلیل پیکربندی نادرست Reverse Proxy، صدها رابط مدیریتی Clawdbot Control بصورت عمومی در اینترنت در دسترس قرار گرفتن. از آنجا که Clawdbot اتصالهای محلی رو بطور خودکار تأیید میکنه، استقرارهایی که پشت reverse proxy قرار دارن اغلب تمام ترافیک اینترنت رو بعنوان ترافیک مورد اعتماد در نظر میگیرن. در نتیجه امکان فعالیت مخرب روی سیستم قربانی رو به هکرها میدن.

همچنین Moltbot قابلیتی بنام Skill داره که مانند پلاگین هستش و ماژول و بسته ی دستورات العملهای آماده رو به چت بات اضافه میکنه. محققا تونستن از طریق ویژگی و انتشار یک Skill در رجیستری رسمی MoltHub ، حمله ی زنجیره تامین (Supply Chain Attack) رو پیاده سازی کنن.

با توجه به اینکه هیچ سندباکسی برای این دستیار در نظر گرفته نشده، بنابراین میتونه منجر به افشای اطلاعات یا اقدامات مخرب با سطح کاربر بشه.

همچنین امکان حملات prompt injection رو هم داره.

یک نکته جالب هم این هستش که با توجه به اینکه این ابزار محبوب شده و یک فضای ذخیره سازی محلی داره، احتمالا بزودی بدافزارهای سارق اطلاعات، این فضا رو برای بدست اوردن اطلاعات حساس، بررسی میکنن.

محققین Aikido یک افزونه مخرب VSCode رو شناسایی کردن که خودش رو بجای Clawdbot جا زده بود و بدافزار ScreenConnect RAT رو روی سیستم توسعه‌دهندگان نصب میکرده.

توصیه شده برای استقرار ایمن، حتما دانش فنی مناسب رو کسب کنید، ابزار رو در یک ماشین مجازی ایزوله نصب کنید و قوانین مناسب فایروال رو روش اعمال کنید.

#هوش_مصنوعی
#AI #Moltbot #Clawdbot

🆔 @onhex_ir
🌍 ONHEXGROUP (Official Links)

🔴 نگاهی به مسابقه هک Pwn2Own Automotive 2026 (هک خودروها)

در این پست نگاهی به مسابقات Pwn2Own Automotive 2026 انداختیم که با کشف و گزارش 76 زیرودی و بانتی 1,047,000 دلاری تمام شد.

#Pwn2Own #Pwn2OwnAutomotive2026 #0day

🆔 @onhex_ir
🌍 ONHEXGROUP (Official Links)

🔴 فروم RAMP توسط FBI توقیف شد.

بعد از اینکه خیلی از فرومهای هکری، تبلیغات و فعالیتهای باج افزاری رو ممنوع اعلام کردن، فروم RAMP در سال 2021 توسط فردی بنام Orange که بعدها با نام Wazawaka و BorisElcin فعالیت میکرد، راه اندازی شد.

ایشون قبلا مدیر باج افزار Babuk بودن و بعد از هک دپارتمان پلیس متروپولیتن دی‌سی و اختلاف سر افشا کردن یا نکردن داده های اون، متلاشی شد. بعد از این جدایی، Orange فروم RAMP رو روی دامنه ی تور Babuk بالا آورد اما به شدت تحت تاثیر حملات DDOS و اختلال بود.

هویت Orange توسط Brian Krebs افشا و مشخص شد که فرد پشتش یک تبعه روسی بنام Mikhail Matveev هستش. ایشون هویت خودش رو تایید و مصاحبه ای با Recorded Future انجام داده که میتونید از سایتمون مطالعه کنید.

در سال 2023 وزارت دادگستری آمریکا بدلیل مشارکت در عملیات باج افزاری از جمله Babuk، LockBit و Hive، ایشون رو متهم و بعدا به لیست تحت تعقیب FBI اضافه کرد.

اخیرا FBI این فروم رو توقیف و بنر مصادره روش نصب کرده. مجریان قانون حالا به حجم قابل توجهی از داده‌های مرتبط با کاربران انجمن دسترسی دارن، از جمله آدرسهای ایمیل، آدرسهای IP، پیامهای خصوصی و سایر اطلاعات بالقوه مجرمانه. این امر میتونه منجر به شناسایی و دستگیری بازیگران تهدیدی بشه که در رعایت امنیت عملیاتی (opsec) مناسب، کوتاهی کردن.

#بازیگران_تهدید #باج_افزار
#RAMP #FBI #LockBit #Babuk #Hive #Matveev

🆔 @onhex_ir
🌍 ONHEXGROUP (Official Links)

🔴 تابستان سال گذشته، Madhu Gottumukkala، مدیر موقت آژانس امنیت سایبری CISA، درخواست استفاده از نسخه عمومی ChatGPT رو از دفتر مدیر ارشد اطلاعاتی CISA گرفته. این ابزار در اون زمان برای کارمندان وزارت امنیت داخلی (DHS) مسدود شده بود.

ایشون بعد از دسترسی به این ابزار، یکسری از فایلهای داخلی رو در ChatGPT آپلود کرده که طبقه بندی شده نبودن اما برای عموم هم مجاز نبوده. با این کار، هشدارهای امنیتی خودکار متعددی که برای جلوگیری از سرقت یا افشای ناخواسته اسناد دولتی از شبکه‌های فدرال طراحی شدن، فعال شده.

بعد از این شناسایی، مقامات ارشد DHS یک بازبینی داخلی رو انجام دادن تا ببینن این افشاگری ها، آیا آسیبی به امنیت کشور میزنه یا نه. البته نتیجه ی این بازبینی هم مشخص نیست.

نکته ای که وجود داره، هر سندی که در نسخه عمومی ChatGPT آپلود بشه، با OpenAI، به اشتراک گذاشته میشه، به این معنی که میتونه برای پاسخگویی به درخواستهای سایر کاربران این اپلیکیشن مورد استفاده قرار بگیره.

در آمریکا علاوه بر محدود کردن استفاده از ابزارهای عمومی هوش مصنوعی و آموزش کارمندان به نحوه ی استفاده از اونها، یکسری ابزارهای هوش مصنوعی مانند چت بات DHSChat توسعه دادن که مورد تأیید DHS هستش. این چت باتها طوری پیکربندی شدن که از خروج پرسشها یا اسناد از شبکه‌های فدرال جلوگیری میکنن./منبع

#هوش_مصنوعی #آمریکا
#ChatGPT #AI

🆔 @onhex_ir
🌍 ONHEXGROUP (Official Links)

🔴 گوگل به همراه شرکای امنیتی، شبکه‌ی بزرگ پروکسی خانگی IPIDEA، که توسط بازیگران تهدید بصورت گسترده استفاده میشد رو مختل کرده. این اقدام شامل مسدود کردن دامنه‌های مرتبط با خدمات IPIDEA، مدیریت دستگاههای آلوده و مسیر‌یابی ترافیک پروکسی بود.

اپراتورهای IPIDEA این سرویس رو بعنوان یک VPN معرفی کرده بودن که ترافیک آنلاین کاربران رو رمزگذاری و آدرس IP واقعی‌شون رو مخفی میکنه و حدود ۶.۷ میلیون کاربر داشتن.

شبکه‌های پروکسی خانگی (residential proxy)، پس از آلوده کردن دستگاههای کاربران خانگی یا کسب‌وکارهای کوچک، از آدرسهای IP اونا برای عبور ترافیک استفاده میکنن. معمولا این آلودگی از طریق برنامه‌ها و نرم‌افزارهای آلوده‌ای اتفاق می افته که خودشون رو بعنوان ابزارهای مفید جا میزنن.

محققای GTIG مجموعه‌ای از فعالیتهای مخرب رو شناسایی کردن که طی یک هفته، بیش از ۵۵۰ بازیگر تهدید مختلف از نقاط مختلفی مانند چین، ایران، روسیه و کره شمالی از سرورهای شبکه IPIDEA استفاده کردن.

زیرساخت IPIDEA از بات‌نتهای Aisuru و Kimwolf که برای حملات DDoS استفاده میشن هم پشتیبانی میکنه.

گوگل اعلام کرده که IPIDEA از طریق حداقل ۶۰۰ اپلیکیشن آلوده‌ی اندروید و بیش از ۳۰۰۰ فایل اجرایی آلوده‌ی ویندوزی، که خودشون رو بعنوان OneDriveSync یا Windows Update معرفی میکردن، دستگاهها رو آلوده میکردن. این برنامه‌ها دارای SDKهای آلوده‌ای مانند Packet SDK، Castar SDK، Hex SDK و Earn SDK بودن.

این شبکه همچنین چندین برنامه VPN و پروکسی رو تبلیغ میکرد که بدون اطلاع کاربران، دستگاه‌هاشون رو به گره خروجی در شبکه تبدیل میکرد.

گوگل گفته اپراتورهای IPIDEA حداقل ۱۹ کسب‌وکار پروکسی خانگی رو اداره و وانمود میکردن که سرویسهای قانونی هستن، اما در واقع، دسترسی به دستگاههای آلوده با بدافزار BadBox 2.0 رو میفروختن. برخی از برندهای وابسته عبارتند از:

360 Proxy (360proxy\.com)
922 Proxy (922proxy\.com)
ABC Proxy (abcproxy\.com)
Cherry Proxy (cherryproxy\.com)
Door VPN (doorvpn\.com)
Galleon VPN (galleonvpn\.com)
IP 2 World (ip2world\.com)
Ipidea (ipidea\.io)
Luna Proxy (lunaproxy\.com)
PIA S5 Proxy (piaproxy\.com)
PY Proxy (pyproxy\.com)
Radish VPN (radishvpn\.com)
Tab Proxy (tabproxy\.com)
Aman VPN (defunct)

با وجود تنوع برندها، تمام این سرویسها بصورت مرکزی و تحت کنترل واحد اپراتورهای IPIDEA مدیریت میشن که هنوز هویتشون مشخص نشده.

قابلیت Google Play Protect حالا ‌بطور خودکار برنامه‌هایی رو که شامل SDKهای مرتبط با IPIDEA هستن، در دستگاههای اندروید بروز و معتبر شناسایی و مسدود میکنه.

از نظر ساختار، گوگل توضیح داده که IPIDEA دارای یک سیستم C2 دو‌سطحی بود:
سطح اول وظیفه‌ی تنظیمات و زمان‌بندی و سطح دوم شامل حدود ۷۴۰۰ سرور بود که وظیفه‌ی تخصیص وظایف پروکسی و عبور ترافیک رو بر عهده داشتن.

محققای گوگل اشاره کردن که اپراتورها همچنین سرویسهای VPN رایگان رو از طریق اپ‌هایی ارائه میدادن که عملکرد تبلیغ ‌شده رو داشتن، اما در واقع دستگاهها رو به شبکه‌ی IPIDEA اضافه میکردن.

گرچه اقدام GTIG و شرکاش، احتمالا تأثیر زیادی بر عملکرد IPIDEA داشته، اما مهاجمان ممکنه تلاش کنن، دوباره زیرساخت خودشون رو بازسازی کنن. تا امروز هیچ بازداشت یا اقدام قضایی رسمی علیه این شبکه اعلام نشده.

گوگل توصیه کرده کاربران در برابر برنامه‌هایی که در ازای اشتراک پهنای باند پول پرداخت میکنن یا برنامه‌های VPN و پروکسی رایگان از منابع غیرمعتبر کاملا محتاط باشن.

#گوگل #پروکسی_خانگی
#IPIDEA #Google #VPN #ResidentialProxy

🆔 @onhex_ir
🌍 ONHEXGROUP (Official Links)

🔴 یک محقق امنیتی بنام Jatin Banga متوجه شده که اینستاگرام، برای اکانتهای خصوصی، برخی تصاویر و توضیحاتشون رو، بصورت عمومی در کد HTML نشت میده.

وقتی کاربری به یک اکانت خصوصی مراجعه میکنه، اینستاگرام پیام استاندارد " این حساب خصوصی است. برای دیدن عکس‌ها و ویدیوهای او، او را دنبال کنید. " رو نمایش میده. با این حال، در سورس کد HTML پروفایلهای آسیب ‌دیده، لینکهایی به برخی از عکسهای خصوصی و همچنین توضیحات وجود داره. (در شی json با عنوان polaris_timeline_connection)

این محقق 12 اکتبر 2025، آسیب پذیری رو به متا گزارش کرده اما این شرکت بعد از بررسی، بدلیل عدم بازتولید آسیب پذیری، اون رو رد کرده. نکته کنکوری این هستش که، اکسپلویت از 16 اکتبر دیگه کار نکرده و گویا متا بصورت مخفی اون رو اصلاح کرده.

این محقق هم برای شفافیت، بعد از 102 روز، آسیب پذیری رو عمومی کرده.
با توجه به اینکه پیدا کردن این آسیب پذیری ساده بوده، مشخص نیست چه مدتی مورد سوء استفاده قرار گرفته.

#باگ_بانتی #اینستاگرام
#bugbounty #Instagram

🆔 @onhex_ir
🌍 ONHEXGROUP (Official Links)

🔴 مایکروسافت اعلام کرده که به دلیل آسیب‌پذیریهای امنیتی که سازمانها رو در معرض حملات سایبری قرار میده، پروتکل احراز هویت NTLM، که ۳۰ سال قدمت داره رو، در نسخه‌های بعدی ویندوز بصورت پیش‌فرض غیرفعال خواهد کرد.

پروتکل NTLM (مخفف New Technology LAN Manager) یک پروتکل احراز هویت challenge-response هستش که در سال ۱۹۹۳ با ویندوز NT 3.1 معرفی و جانشین پروتکل LAN Manager (LM) شد.

پروتکل کربروس (Kerberos) جایگزین NTLM شده و حالا پروتکل پیش‌فرض برای دستگاه‌های متصل به دامنه هستش که از ویندوز ۲۰۰۰ یا نسخه‌های جدیدتر استفاده میکنن.

اگرچه NTLM پروتکل پیش‌فرض در نسخه‌های قدیمی‌تر ویندوز بود، اما امروزه به عنوان روش احراز هویت پشتیبان در مواقعی که کربروس در دسترس نیست، مورد استفاده قرار میگیره، حتی با وجود اینکه از رمزنگاری ضعیف استفاده میکنه و در برابر حملات آسیب‌پذیر هستش.

از زمان معرفی، NTLM ‌بطور گسترده در حملات NTLM relay مورد سوءاستفاده قرار گرفته. در این حملات، دستگاههای شبکه آسیب‌دیده رو مجبور میکنن تا در برابر سرورهای تحت کنترل مهاجم احراز هویت کنن تا بتونن سطح دسترسی خودشون رو ارتقا داده و کنترل کامل دامنه رو بدست بیارن. با وجود این، NTLM همچنان در سرورهای ویندوز استفاده میشه و به مهاجمان اجازه میده تا از آسیب‌پذیری‌هایی مانند PetitPotam، ShadowCoerce، DFSCoerce و RemotePotato0 برای دور زدن اقدامات کاهشی حملات NTLM relay استفاده کنن.

این پروتکل همچنین هدف حملات pass-the-hash بوده، که در آن از آسیب‌پذیریهای سیستمی یا بدافزار، برای سرقت هش‌های NTLM از سیستمهای هدف استفاده میکنن. این پسوردهای هش‌شده برای احراز هویت مورد استفاده قرار میگیره و به مهاجمان اجازه میده تا داده‌های حساس رو سرقت کرده و در شبکه، حرکت جانبی کنن.

مایکروسافت یک برنامه گذار سه‌مرحله‌ای رو برای کاهش خطرات مرتبط با NTLM و در عین حال به حداقل رساندن اختلالات، تشریح کرده:

مرحله اول: مدیران سیستم میتونن از ابزارهای موجود در Windows 11 24H2 و Windows Server 2025 برای شناسایی مکانهایی که NTLM همچنان استفاده میشه، استفاده کنن.
مرحله دوم (برنامه‌ریزی شده برای نیمه دوم ۲۰۲۶): ویژگیهای جدیدی مانند IAKerb و یک Local Key Distribution Center برای رسیدگی به سناریوهای رایجی که باعث بازگشت به NTLM میشه، معرفی خواهد شد.
مرحله سوم: احراز هویت شبکه NTLM بطور پیش‌فرض در نسخه‌های بعدی غیرفعال خواهد شد، اگرچه پروتکل همچنان در سیستم‌عامل وجود خواهد داشت و در صورت لزوم میشه اون رو ‌بطور صریح از طریق کنترل‌های سیاست (policy controls) مجددا فعال کرد.

#مایکروسافت #ویندوز
#Microsoft #Windows #NTLM

🆔 @onhex_ir
🌍 ONHEXGROUP (Official Links)

🔴 مجریان قانون از یوروپل، Eurojust، اینترپل و به رهبری ایتالیا، عملیاتی علیه 3 سرویس ارائه دهنده ی IPTV محبوب با عناوین IPTVItalia، migliorIPTV و DarkTV انجام دادن. تمرکز عملیات در ایتالیا بوده، چون میزبان بازیهای المپیک زمستانی 2026 هستش.

علاوه بر توقیف زیرساختها، 31 نفر دستگیر شدن و عملیات در ۱۱ شهر و ۱۴ کشور انجام شده.

این سرویسها، محتوای Sky، DAZN، Mediaset، Amazon Prime، Netflix، Paramount و Disney+ رو بصورت غیرقانونی ارائه میدادن.

وزارت دادگستری آمریکا هم از انهدام سه سرویس Pirate در بلغارستان خبر داده که روی دامنه‌های توقیف شده zamunda\net، arenabg\com و zelka\org فعال بودن. این ‌سایتها کپی‌های غیرقانونی آثار شرکتهای آمریکایی، از جمله فیلمها، سریالهای تلویزیونی، بازیهای ویدیویی، نرم‌افزار و کتب الکترونیکی رو توزیع میکردن.

این سه پورتال در بلغارستان بسیار محبوب بودن و در میان ۱۰ دامنه پربازدید کشور قرار داشتن و ترافیک اینترنتی عظیمی رو ایجاد میکردن که به اپراتورهاشون کمک میکرد تا از طریق تبلیغات درآمد کسب کنن.

#Pirate #IPTV

🆔 @onhex_ir
🌍 ONHEXGROUP (Official Links)

🔴 یک هکر هلندی، یکی از کارکنان بندر رو متقاعد کرده که یک کیلاگر سخت افزاری (AirDrive USB Keylogger) رو وارد سیستم کنه، 15 ثانیه منتظر بشه و بعدش خارج کنه. با این کار هکر میتونسته کنترل از راه دور روی سیستمهای ورود کالا، باز کردن گیتها و ... داشته باشه .

با این دسترسی‌ اقدام به قاچاق مواد مخدر از طریق بنادر، سرقت اسناد حساس و موارد دیگه کرده.

تیمهای امنیتی که بعدا سیستمها رو بررسی کردن، ادعا کردن که این بدافزار ماهها فعال بوده و قابلیتهای زیادی به مهاجم داده.

ایشون 210 کیلوگرم کوکائین قاچاق کرده و در مجموعه به 7 سال زندان محکوم شده.

#هلند #کیلاگر_سخت_افزاری

🆔 @onhex_ir
🌍 ONHEXGROUP (Official Links)

🔴 اگر در زمینه ی توسعه ی اکسپلویت در ویندوز فعالیت کرده باشید یا به این حوزه علاقمند باشید، حتما اسم Corelan رو شنیدید.

آقای Peter Van Eeckhoutte (corelanc0d3r) بنیانگذار این موسسه هستن و یکسری آموزش و ابزار در زمینه ی توسعه اکسپلویت منتشر کردن.

یکی از کلاسهای معروفی که ایشون داره، HEAP MASTERCLASS هستش که قراره برای اولین بار در شهر استانبول ترکیه برگزار بشه.

کلاس طی 4 روز (23 الی 26 مارس/3 تا 6 فروردین 1405) برگزار میشه و بیش از 32 ساعت و هزینه ی 4,477 یورو داره. (بیش از 800 میلیون تومان 😭)

برای مشاهده ی سرفصلها، جزییات و شرایط ثبت نام، از سایت رسمی دوره دیدن کنید.

#توسعه_اکسپلویت
#Corelan #ExploitDev

🆔 @onhex_ir
🌍 ONHEXGROUP (Official Links)

🔴 همانطور که قبلا اطلاع رسانی کرده بودم، مکانیزم بروزرسانی ++Notepad مورد سوء استفاده قرار گرفته بود و مهاجمین از این طریق اقدام به انتشار بدافزار کرده بودن. توسعه دهنده یکسری اقدامات امنیتی انجام داد و اعلام کرد که تحقیقاتی در این خصوص در حال انجام هستش و قرار شد، نتیجه رو اطلاع رسانی کنن.

حالا یک گزارشی منتشر کردن که مشخص شده نفوذ در سطح ارائه ‌دهنده هاستینگ و احتمالا توسط یک گروه هکری چینی انجام شده. براساس بررسی لاگها احتمال میدن که هکرها از ژوئن تا ۲ دسامبر ۲۰۲۵ (6 ماه) به زیرساخت ++Notepad دسترسی داشتن و اقدام به توزیع بدافزار کردن.

اقدامات امنیتی که انجام دادن، به یک هاستینگ بهتر مهاجرت کردن. در خود برنامه هم، گواهی و امضای بروزرسانی رو بررسی میکنن. همچنین XML برگشتی از سرور بروزرسانی، حالا امضا شده (XMLDSig) و تأیید گواهی و امضا از نسخه آینده، v8.9.2 که حدود یک ماه دیگه منتشر میشه، اعمال خواهد شد.

در نهایت عذرخواهی کردن و توصیه کردن، نصب کننده v8.9.1 رو از سایت دانلود و دستی نصب کنید.

محققای کسپرسکی هم گزارشی منتشر و یکسری IOC ارائه کردن. در گزارش اشاره شده که در این حمله از یک آسیب پذیری که برای سال 2010 در ProShow هستش، استفاده کردن. همچنین در مجموع سه زنجیره آلودگی برای هدف قرار دادن موارد زیر رو مشاهده کردن:

- افراد واقع در ویتنام، السالوادور و استرالیا
- یک سازمان دولتی واقع در فیلیپین
- یک سازمان مالی واقع در السالوادور
- یک سازمان ارائه‌دهنده خدمات فناوری اطلاعات واقع در ویتنام

#بازیگران_تهدید
#NotepadPlusPlus

🆔 @onhex_ir
🌍 ONHEXGROUP (Official Links)

🔴 گوگل یکسری ویژگی های امنیتی جدید به اندروید اضافه کرده:

قابلیت Failed Authentication Lock رو بهتر کرده. قابلیتی که در صورت تلاشهای مکرر و ناموفق برای باز کردن دستگاه، اون رو بطور خودکار قفل میکنه. حالا کاربران میتونن این قابلیت رو ‌بصورت دستی از طریق تنظیمات فعال یا غیرفعال کنن.

قابلیت Identity Check رو گسترش دادن و در حال حاضر شامل تمام برنامه‌ها و ویژگیهایی است که از سیستم تشخیص چهره یا اثر انگشت اندروید استفاده میکنن. این تغییر بطور خودکار از Google Password Manager و اپلیکیشن‌های بانکی شخص ثالث محافظت میکنه.

گوگل همچنین سعی کرده از قفل شدن اشتباهی گوشی، مثلا وقتی که بچه ها از روی کنجکاوی چندین بار رمز اشتباه وارد میکنن، جلوگیری کنه. در این نسخه، تلاش‌های اشتباه تصادفی در شمارش محدودیت تلاش لحاظ نمیشن و مدت زمان قفل اجباری پس از ورود اشتباه رمز افزایش یافته تا حدس زدن پسورد، الگو یا پین برای سارق دشوارتر بشه.

ابزار Remote Lock هم بروزرسانی شده. این ابزار به کاربران امکان میده گوشی گم‌شده یا دزدیده‌ شده رو از هر مرورگری در آدرس android.com/lock قفل کنن. در نسخه جدید، گوگل یک مرحله‌ی امنیتی اضافی برای تأیید مالکیت دستگاه قبل از قفل ‌کردن‌اش اضافه کرده.

ابزارهای بازیابی پیشرفته برای دستگاههایی با سیستم‌عامل اندروید ۱۰ یا بالاتر در دسترس خواهند بود و ویژگیهای جدید احراز هویت نیازمند اندروید ۱۶ یا جدیدتر هستن.

#گوگل #اندروید
#Google #Android

🆔 @onhex_ir
🌍 ONHEXGROUP (Official Links)

🔴 اپل ویژگی امنیتی Limit Precise Location رو معرفی کرده که از iOS 26.3 یا نسخه‌های جدیدتر قابل دسترس هستش.

این ویژگی با محدود کردن اطلاعاتی که اپراتورهای تلفن همراه از طریق دکل‌ها برای تشخیص موقعیت دستگاه استفاده میکنن، عمل میکنه. وقتی این گزینه فعال باشه، شبکه تلفن همراه فقط میتونه محل تقریبی دستگاه رو تشخیص بده.

این تنظیم فقط بر اطلاعات مکانی‌ای که برای شبکه‌های تلفن همراه قابل ‌دسترس است اثر میزاره و روی اطلاعات مکانی که شما از طریق Location Services با برنامه‌ها به اشتراک میذارید تأثیری نداره. برای مثال، این قابلیت روی اشتراک موقعیت شما با دوستان یا خانواده از طریق Find My تأثیری نداره.

کاربران برای فعال کردن این گزینه باید مسیر زیر رو طی کنن:

Settings → Cellular → Cellular Data Options → Limit Precise Location

پس از فعا‌سازی، ممکن دستگاه برای تکمیل فرآیند نیاز به ریستارت داشته باشه.

در حال حاضر، این قابلیت فقط روی مدل‌های زیر کار میکنه (iOS 26.3 یا بالاتر):

iPhone Air
iPhone 16e
iPad Pro (M5) Wi Fi + Cellular

در دسترس بودن این قابلیت به پشتیبانی اپراتور بستگی داره. در حال حاضر شبکه‌های تلفن همراه زیر ازش پشتیبانی میکنن:

Telekom (آلمان)
EE و BT (بریتانیا)
Boost Mobile (آمریکا)
AIS و True (تایلند)

اگرچه اپل هنوز توضیح نداده چرا این قابلیت رو اضافه کرده، اما احتمالا این اقدام بی‌ارتباط با جریمه‌های سنگینی نیست که FCC در آوریل ۲۰۲۴ برای اپراتورهای بزرگ آمریکایی در نظر گرفت. مبالغ این جریمه‌ها عبارتند از:

۸۰ میلیون دلار برای T Mobile
۱۲ میلیون دلار برای Sprint (که اکنون با T Mobile ادغام شده)
بیش از ۵۷ میلیون دلار برای AT&T
نزدیک به ۴۷ میلیون دلار برای Verizon

#اپل
#Apple

🆔 @onhex_ir
🌍 ONHEXGROUP (Official Links)

🔴 بالاخره بعد از چند روز و کلی پست گذاشتن، اخبار مهم امنیت سایبری برای ماه ژانویه رو تکمیل کردم وکم کم وارد اخبار مرتبط با فوریه میشیم. یک چند روزی هم تحمل کنید، هم اخبار بروزتر میشه و هم پستها کمتر.

حالا کانال من، یک کانال رسمی نیست و صرفا فقط موضوع امنیت سایبری رو پوشش میده و وابستگی درآمدی هم به اون ندارم، وضع‌ام اینه، خدا به داد تولید کننده های محتوا، خبرگزاری های حوزه فناوری و تکنوژلوژی برسه که چندین موضوع رو پوشش میدن، کارمند و ... دارن. انشالله این دوستان هم سریعتر سرپا بشن.

البته باز وضعیت اینترنت به شرایط قبل برنگشته و این روزا حالمون داغون، اعصاب داغون، اینترنت داغون و ... .

تنها چیزی که شاید یکمی دل‌مون رو خوش میکنه، بارندگی های اخیر باشه، که نشون میده خدا داره کارش میکنه و حواسش به ما هم هست.

مراقبت کنید🖤

#ایران

🆔 @onhex_ir
🌍 ONHEXGROUP (Official Links)

🔴 فردا دومین دوشنبه ماه فوریه هستش و در آمریکا، این روز رو بعنوان National Clean Out Your Computer Day در نظر میگیرن و در این روز کامپیوتر، لپ تاپ و ... رو از لحاظ فیزیکی و دیجیتالی پاکسازی میکنن.

چون یک کار پسندیده ای هستش، در برخی جاها همین روال رو اجرا میکنن یا یک روزی مشابه این روز رو برای خودشون دارن.

از لحاظ فیزیکی، مثلا :

- گرد و غبار رو از داخل کیس و کیبورد و ... پاک میکنن.
- سیمها و کابلها رو تمیز و مرتب میکنن.
- یک دستی به صفحه مونیتور میکشن.
- و ...

از لحاظ دیجیتالی هم:

- فایلها و برنامه هایی که نیاز ندارن رو پاک یا انتقال میدن.
- تاریخچه، Autofill، پسوردهای ذخیره شده در برنامه ها و مرورگرها رو پاک میکنن. (ایده بهتر استفاده Password Manager هستش)
- یک سر و سامانی به فولدر دانلود میدن.
- و ... .

این کارها هم باعث میشه، سیستم کمی سبک تر بشه و در نتیجه پردازش رو بهتر انجام بده و هم این واقعیت که شما هر چقدر داده شخصی و مهم در سیستم داشته باشید، در صورت نقض امنیتی، باج افزار، سرقت و ... ، بیشتر متضرر میشید. بنابراین پاکسازی یا انتقال اونا، میتونه در آینده کمک کننده باشه.

⚠️ اگه اقدام به پاکسازی کردید، مراقب باشید تا به سیستم، خودتون و داده ها آسیب نزنید.

#NationalCleanOutYourComputerDay

🆔 @onhex_ir
🌍 ONHEXGROUP (Official Links)