‏⭕️ روش جالبی اخیرا برای ارتباطات C2 کشف شده که با استفاده از IP Print اقدام به برقراری ارتباط میکند.
به طوری که:
‏در ماکروسافت ما زمانی که امکان نصب درایور نداشته باشیم کاربر عادی با استفاده از پروتکل Internet Printing Protocol بدون دسترسی بالا تر چاپگر اضافه میکند و از درایور موجود و پیشفرض Microsoft Print To Pdf استفاده میکند.
حال دستوراتی که اجرا خواهند شد از سرور C2 Internet Printing به عنوان نام اسناد کدگذاری شده با Base64 به صف سند چاپگر ارسال می شوند.
با پاورشل اولیه، کلاینت‌ها می‌توانند نام این اسناد را از صف دریافت کنند و دستورات را روی خودشان اجرا کنند.
همچنین، می توان اسنادی را در این چاپگر چاپ کنند، در فایلی در سرور C2 ذخیره می شود که برای دریافت خروجی و نتیجه از دستورات اجرا شده یا استخراج اسناد مفید است.
برای مطالعه نکات سمت سرور و کلاینت و تکنیک های OpSec به لینک پروژه مراجعه کنید.
#RedTeam #C2
@securation

مسابقه ی Nahamcon CTF امشب ساعت 10:30 به تایم ایران شروع میشه.
اگر ثبتنام نکردید تیم هاتون رو جمع کنید برای مسابقه:
https://ctf.nahamcon.com

#CTF #Nahamcon
@securation

🔔 ثبت‌نام اختتامیه هشتمین جشنواره ملی امنیت فضای تبادل اطلاعات آغاز شد! 🔔

🌟 رویدادها:

🔹 کارگاه‌ تخصصی مرکز عملیات امنیت (SOC)
    
🔹 کارگاه آموزشی مسیر ارتقاء امنیت سازمان
    
🔹 کارگاه آموزشی فناوری‌های نوین دنیای امنیت سایبری
   
🔹 ارائه تیم فلگ‌موتوری (تیم ۲۷ام در رنکینگ جهانی ctftimes)

🔹 مسابقه حضوری مازآپا رقابتی بین برترین‌های امنیت سایبری

🔹 اهدای جوایز ویژه به برگزیدگان رویدادها

🔹 برگزاری نمایشگاه برای ارائه دستاوردهای شرکت‌ها

📅 زمان: ۹ و ۱۰ خردادماه
📍 مکان: تالار شیخ‌بهایی، دانشگاه صنعتی اصفهان

🔗 برای کسب اطلاعات بیشتر و ثبت‌نام در رویداد به اینجا مراجعه کنید: Festival.nsec.ir

📌 هشتمین جشنواره امنیت فضای تبادل اطلاعات
📌 مرکز تخصصی آپا، دانشگاه صنعتی اصفهان


با ما همراه باشید و این فرصت منحصر به فرد برای یادگیری و شبکه‌سازی در زمینه امنیت سایبری را از دست ندهید! 🚀


@APA_IUTCERT

⭕️ وبسایت BreachedForums از فروم های فروش داده بود که چندی پیش توسط FBI دامنه آنها مصادره و تعطیل شد.
حالا مجددا سایتشون اعلام دامنه و سرویس جدید کرد:)

@securation

⭕️ تزریق کد در اندروید بدون نیاز به Ptrace

در این بلاگ پست با نحوه تزریق کتابخانه با استفاده از /proc/mem بدون نیاز به ptrace آشنا خواهید شد

این ابزار از پروژه Linux_injector ایده برداری شده و برای استفاده در اندروید port شده است

فرآیند تزریق شامل چند مرحله است:
اولین قدم این است که یک فانکشن را برای هایجک انتخاب کنید. همانطور که در پروژه اصلی اجرا شد، malloc یکی از رایج ترین اهداف است. آدرس malloc با خواندن /proc/maps، یافتن آدرس پایه libc و محاسبه آدرس مجازی فعلی malloc با افزودن افست آن به آدرس پایه پیدا می‌شود.

پس از یافتن آدرس، تابع هدف با شل کد مرحله اول بازنویسی می شود. شل کد وظیفه ایجاد یک Memory Region جدید، همگام سازی Thread ها و در نهایت اجرای شل کد مرحله دوم را بر عهده دارد.

شل کد مرحله دوم می تواند یکی از سه نوع باشد: shellcode loader، shellcode raw-dlopen که از dlopen برای بارگذاری یک کتابخانه مشترک از filesystem استفاده می کند، یا شل کد memfd-dlopen که dlopen را روی فایل memfd با محتویات ارائه شده توسط کاربر فراخوانی می کند.

Blog Post: Link
GitHub: Link

#Android #Ptrace
@securation

⭕️ اطلاعیه :
دوستان عزیز لینک دانلود دوره مهندسی معکوس تغییر یافت ، لطفا از لینک زیر استفاده کنید .

https://www.mediafire.com/folder/8ly4p9cvbgeea/RE02

#RE #DWORD
@securation

⭕️ یک روش جالب با استفاده از سوء استفاده از API Fork ویندوز وجود دارد که با شناسایی نقطه ای از حافظه مربوط به یک پروسه در حال اجرا با دسترسی RWX، بدون نیاز به فراخوانی VirtualProtect، VirtualAllocEx و VirtualAlloc، می‌تواند به اجرای ShellCode بپردازد. به عنوان یک مثال، این روش را می‌توان بر روی پروسه OneDrive.exe اعمال کرد.:

Find the OneDrive.exe in running processes.
Get the handle of OneDrive.exe.
Query remote process memory information.
look for RWX memory regions.
Write shellcode into found region of OneDrive.exe
Fork OneDrive.exe into a new process.
Set the forked process's start address to the cloned shellcode.
Terminate the cloned process after execution.

#RedTeam #Evasion
@securation

⭕️ ابزار .Net ای مفیدی توسعه داده شده که بدون دسترسی ادمین، اقدام به جمع آوری Windows Defender Exclusions و
‏Attack Surface Reduction یا به اصطلاح ASR رول ها میکند.
از ویژگی های این ابزار به میتوان به موارد زیر اشاره کرد:

Local and Remote Query Support: Seamlessly query Windows Defender settings on both local and remote machines.
User-Context: Operates efficiently from a low-user context, eliminating the need for administrative permissions.
Windows Defender Exclusions: Retrieve and list all exclusion paths configured in Windows Defender.
Attack Surface Reduction (ASR) Rules: Enumerate ASR rules, displaying both the IDs and their corresponding names for easy identification.
Triggered ASR Events: Extract and list all triggered ASR events to monitor system security activities.
Detailed Output: Presents information in a clear, tabulated format for easy reading and analysis.
Getting ASR rules from MSFT_MpPreference class, it is under the following namespace root\Microsoft\Windows\Defender. and you don't need admin privileges.
Works from low user context .
Supports local & remote queries
Extracts paths from Event ID 5007 and ASR from Event ID 1121 using regex
Enumerates ASR rules from MSFT_MpPreference WMI class(works perfectly from low user context as well).
Displays results in a clean, tabulated format
works smoothly with inline-assembly

#RedTeam #BlueTeam #Evasion
@securation

⭕️پلیس سایبری اوکراین یک شخص 28 ساله رو در ارتباط با گنگ باج افزارهای LockBit و Conti بازداشت کرده.
شخص بازداشت شده در کار توسعه ی Crypter و راه هایی برای بایپس و فرار از تشخیص بدافزار فعال بوده.

https://thehackernews.com/2024/06/ukraine-police-arrest-suspect-linked-to.html
#LockBit #Ransomware
@securation

⭕️ثبت نام برای مسابقات امنیت ‎Google CTF 2024 که 1 تا 3 تیر برگزار میشه آغاز شده.
اگر علاقه مند به محک زدن خودتون هستید بنظرم این مسابقه رو ثبتنام کنید.

موضوع چالشها :
Reverse Engineering
Web
Pwn
Crypto
Forensic

ثبت نام:
capturetheflag.withgoogle.com‎

#GoogleCTF2024
@securation

‏⭕️ تکنیکی کشف شده که با استفاده از ایجاد struct در فایل Settings.json پروژه Bloxstrap که نوعی Bootstrapper پروژه Roblox است اقدام به ایجاد Persistance میکند.
در ویدیو ضمیمه شده POC این تکنیک نشان داده شده است.
https://github.com/EvilBytecode/Bloxstrap-Persistance
#RedTeam #Persistance
@securation

⭕️ آسیب پذیری Directory Traversal در Serv-U از محصولات SolarWinds کشف شده که به اتکر اجازه ی دسترسی به فایلهای مهم میزبان را میدهد.

لینک تحلیل آسیب پذیری :
https://attackerkb.com/topics/2k7UrkHyl3/cve-2024-28995/rapid7-analysis
لینک Poc آسیب پذیری :
https://github.com/rapid7/metasploit-framework/pull/19255
@securation

⭕️شرایط اعلامی مرکز مدیریت راهبردی #افتا برای مجوز قرارداد خرید آنتی ویروس و EDR کسپر در زیرساخت‌های حیاتی کشور.

افتا گفته شرکت تامین کننده باید تضمین بده که EDR بایپس نمیشه و مثلا اگر قرارداد یکساله بستید ،تا یکسال بتونه کار کنه بدون مشکل:)

آقای افتا سلام و عرض خسته نباشید ، برای پادوی دوزاری بنام آنتی ویروس پادویش هم همچین نامه ای حاضر هستید بنویسید؟
آیا افتا حاضر هست همین نامه رو برای شرکت پادویش بنویسه و بگه : اگر بایپس شد تعطیل کنید ؟!
آیا افتا حاضر هست صد ها محصول Open Source رو که شرکت های به نام توخالی دانش بنیان آوردن یک UI تغییر دادند و فارسی سازی کردند همین تست ها و همین شرایط رو بنویسه؟
قدیمی ترین فایروال که بنام فایروال ایرانی و بومی هست ، سورس کد اش از تایوان میاد و توی تمام سازمانهای حاکمیتی داره استفاده میشه ، الان شما شدی زرنگ جمع ، بفکر بایپس نشدن افتادید؟
وقتی به کسی که فکر میکنه Owasp یک سیستم عامل لینوکسی هست مجوز افتا میدید و به کسی که اقتصاد خونده و یکماهه ویدیوهای CEH میبینه بخاطر رانت پدرش میشه کارشناس افتا ، طبیعیه که ندونید بایپس چیه و راه اصولی کجاست.
@securation

‏⭕️ پروژه ای به جهت لود Shellcode به صورت Direct Syscall و Payload Encryption توسعه داده شده، در دید اول صرفا شاید یک تمرین دوره MalDev Academy باشد، اما با بررسی متوجه میشویم که کارایی بیشتر هم دارد.
این پروژه با C2 معروف Havoc و بر روی Defender تست شده است.
از ویژگی های این پروژه میتوان به موارد زیر اشاره کرد:

Payload builder
AES encrypted payload
XOR protected encryption key
Remote mapping injection via direct syscalls (Hell's Gate)
Payload staging via remote webserver
Brute-force key decryption during runtime
API hashing
Delayed execution via API Hammering
Self-deletion if debugger is detected
IAT Camouflage

#RedTeam #Evasion
@securation

⭕️ پروژه بسیار خوبی به جهت Remote Kerberos Relay ایجاد شده که کاربرد های مختلفی دارد.
این پروژه متشکل از موارد زیر است:

ابزار KrbRelay و KrbRealayUp
تکنیک CertifiedDCOM
اکسپلویت SilverPotato

با تجمیع ابزار و تکینک های نام برده شده اقدام به دسترسی ها و اهداف مورد نظر میکند.
#RedTeam #Kerberos #Relay
@securation