⭕️ اگر به برنامه‌نویسی و امنیت بازی‌ها علاقه‌مند هستید، وب‌سایت Awesome Game Security اطلاعات مفیدی در این زمینه به صورت منظم و یکپارچه ارائه می‌دهد. این وب‌سایت شامل دسته‌بندی‌هایی همچون Anti-Cheat، Cheat، Game Development، Game Engines، و مباحثی مانند OpenGL، DirectX، Vulkan، و Web3 Games است.

#Security #Game
@Securation

Pentesting Active Directory

⭕️مجموعه مقالات تست نفوذ اکتیو دایرکتوری

Trees, Forest and Trust Relations
Access Control, Users, KRGBT, Golden ticket attack
Recon with AD Module, Bloodhound, PowerView & Adalanche
LLMNR Poisoning
Lateral Movement, Privilege Escalation & Tools

#Pentest #ActiveDirectory
@Securation

Early Cascade Injection

⭕️ یکی از تکنیک‌های شناخته شده و موثر جهت تزریق کد به پروسس است که شامل تزریق کد قبل از اجرای نقطه ورودی اصلی (Main Entry Point) پروسس می‌باشد. این تکنیک در سال 2018 توسط Cyberbit کشف شد و یکی از تکنیک های موثر در بایپس کردن EDR هاست.

مراحلی که در این پیاده سازی طی میشود :

Create a target process in suspended state (e.g. CreateProcess);
Allocate writeable memory in the target process (e.g. VirtualAllocEx);
Write malicious code to the allocated memory (e.g. WriteProcessMemory);
Queue an APC to the remote target process, the APC points to the malicious code (e.g. QueueUserAPC);
Resume the target process, upon resumption the APC is executed, running the malicious code (e.g. ResumeThread).

لینک کامل مقاله

#ProcessInjection #EDR
@Securation

SharpADWS

⭕️ یک ابزار شناسایی و بهره‌برداری از Active Directory برای تیم‌های قرمز (Red Teams) است که با استفاده از پروتکل Active Directory Web Services (ADWS) داده‌های Active Directory را جمع‌آوری و تغییر می‌دهد.

معمولا جمع آوری اطلاعات به واسطه پروتکل LDAP انجام میشود اما SharpADWS توانایی جمع آوری اطلاعات را بدون ارتباط مستقیم با سرور LDAP دارد.

#ActiveDirectory #REDTEAM
@Securation

⭕️ هکرها از تکنیک ترکیب فایل ZIP برای هدف قرار دادن سیستم‌های ویندوزی استفاده می‌کنند تا Payload‌های مخرب را در آرشیوهای فشرده قرار دهند، بدون اینکه راهکارهای امنیتی متوجه آن شوند.

این تکنیک از تفاوت در نحوه پردازش فایل‌های ترکیبی ZIP توسط تحلیل‌گرهای ZIP و نرم‌افزارهای مدیریت آرشیو سوءاستفاده می‌کند.

این روند جدید توسط Perception Point شناسایی شد، که در هنگام تحلیل یک حمله فیشینگ که کاربران را با یک اطلاعیه جعلی ارسال کالا فریب می‌داد، یک آرشیو ZIP ترکیبی حاوی یک تروجان را کشف کرد.

🌐Hackers now use ZIP file concatenation to evade detection

#News #Hack #RedTeam
@Securation

⭕️ در این پست، تجربیات شخصی نویسنده به اشتراک گذاشته شده است؛ او به دلیل نیاز به دسترسی به Discord مجبور شد DNS و ساختار VPN را یاد بگیرد. تمامی ابزارها و اپلیکیشن‌هایی که استفاده کرده را دیباگ کرده و اطلاعات جالبی درباره امنیت VPN‌ها به دست آورده است.

در 9 اکتبر 2024، Discord در ترکیه به دلیل اتهامات جنایی مختلف ممنوع شد.

Can't trust any VPN these days

#VPN #DNS
@Securation

جزئیات پروسه و نخ در لینوکس

به صورت خلاصه از دید ویندوز پروسه فقط یک container می‌باشد که اجرا نشده و فضایی برای اجرای Threadها فراهم می‌کند و در سطح کرنل نیز دو ساختار EPROCESS, ETHREAD برای این دو تعریف شده‌اند. اما در لینوکس ماجرا متفاوت است و Process, Thread هر دو قابلیت اجرا داشته و در سطح کرنل نیز یک ساختار task_struct برای آن‌ها تعریف شده است. در دنیای شی‌گرایی مثل این است که در لینوکس یک کلاس برای این دو وجود دارد و فقط در زمان ایجاد شی خصوصیات متفاوتی برای آن‌ها تنظیم می‌شود.

اگر به سراغ برنامه‌نویسی سیستمی در لینوکس برویم، تابع fork برای ایجاد پروسه استفاده شده و از تابع pthread_create نیز برای ایجاد نخ در لینوکس استفاده می‌شود. در سطحی کمی پایین‌تر، هر دوی این توابع syscallای به نام clone را فراخوانی می‌کنند و با ست‌کردن فلگ‌هایی مشخص می‌کنند که قصد ایجاد پروسه یا نخ را دارند. در زمان بررسی برنامه‌ها، در خروجی دستور ps برای یک برنامه‌ی چند پروسه‌ای pidهای مختلفی خواهیم دید ولی در یک برنامه‌ی چند نخی pidها یکسان بوده ولی عددهای متفاوتی در فیلد Light-Weight Process-LWP می‌بینیم.

نکته‌ی جالب دیگر این است که در سطح کرنل پروسه‌ها یک لیست پیوندی تشکیل می‌دهند. هم شیوه‌ی ایجاد لیست پیوندی Generic در سطح کرنل و در زبان C موضوع جالبی است و هم اینکه به کمک فیلدی به اسم tasks می‌توانیم یک لیست پیوندی از پروسه‌ها تشکیل دهیم که به پروسه‌های قبلی و بعدی اشاره می‌کند.

این موارد و موارد دیگری از جزئیات پروسه‌ها و نخ‌های لینوکس مواردی هستند که در این ویدئو به آن می‌پردازیم.

لینک ویدئو در یوتیوب:
https://youtu.be/0fxYtyFn8Jc
لینک ویدئو در آپارات:
https://aparat.com/v/cnytp55

#ShortLinuxInternals #linux #internals #syscalls #kernel #process #thread #gdb #qemu #clone #LWP

⭕️ ارائه برنامه ProcDump برای سیستم عامل Mac در مجموعه Sysinternals.
در حال حاضر این برنامه در سیستم عامل های ویندوز، لینوکس و مک قابل استفاده خواهد بود.

ProcDump 1.0 for Mac

#Sysinternals #ProcDump
@Securation

⭕️ پیکربندی نادرست سرور DHCP می‌تواند نه تنها باعث غیرفعال شدن این سرویس توسط مهاجم شود، بلکه زمینه را برای حملات MITM فراهم کند که به مهاجم امکان رهگیری و دسترسی به اطلاعات حساس را می‌دهد.

در این مقاله، با پیام‌های DHCP و ساختار هدر DHCP آشنا خواهید شد.

Attacks on DHCP: Exploring Starvation and Spoofing Techniques and How to Protect Against Them

#DHCP #MITM
@Securation

‏⭕️ مدتی پیش تحقیقی مبنی بر شناسایی تهدیدات در سطح مموری با استفاده از Kernel ETW Call Stacks ها ارایه شد، که XDR Elastic ادعا بر انجام آن کرده بود.
حال پروژه ای مبتنی بر پروژه های LoudSunRun و CallStackSpoofer ایجاد شده که Stack spoofing توسط Fake stack frame اقدام به دور زدن این مورد میکند.
به طوری که:
ما با قرار دادن اسم Module مورد نظر و Fake frame در کلاس مورد نظر این اقدام را انجام میدهیم،از جهتی در پروژه قبلی از گجت jmp RBX مورد استفاده قرار میگرفت، اما در این پروژه از jmp RDI استفاده میشود.

#RedTeam #Evasion #MalDev
@securation

⭕️طبق صحبتی که با دوستان بخش امنیت صرافی نوبیتکس داشتم نیاز شد اطلاع رسانی بشه در این مورد.
دوستان گفتن که ما همون دقایق ابتدایی ادعا با اون کانال ارتباط گرفتیم ازشون درخواست کردیم که دیتا بدن که اثبات کنه مرتبط با نوبیتکس هست و دقیقاً ازشون خواستیم که داده ها یا از جنس تراکنش کاربرانمون باشه یا از جنس داده های احراز مرتبط با نوبیتکس مثل عکس یا ویدئو، به ما اول یک لیست کد ملی دادن. این لیست حدود 150 هزار تایی کد ملی دادن که با دیتابیس ما هم منطبق نبود ولی اشتراک داشت.
دوباره تأکید کردیم که داده هایی بدن که مشخصاً مرتبط با نوبیتکس باشه که در ادامه یک لیست کارت بانکی متصل به کد ملی ها دادن که باز مشخصاً با دیتابیس ما کاملا متفاوت بود. حتی مشخصات خیلی از کاربرانی که اشتراک داشتیم باهاشون هم متفاوت بود مثلا تو دیتابیس ما زینب بود تو اون زینب السادات. توضیح اینکه این داده ها مشخصاً مرتبط با هکی در سطح psp هست چرا که مثلا تو همون ست اشتراکی هم مثلا کاربر ما 5 تا کارت ثبت کرده بود ولی اینا 1 کارت ارائه دادن بودن که دقیقا همون کارتی بود که واریزی بانکی ازش انجام شده.
هیچ لیک اطلاعاتی سمت نوبیتکس نیست. ما همچنان اعلام آمادگی کردیم بر اساس باگ بانتیمون که تو سایت هم هست حتی بخشی از اطلاعات مرتبط با نوبیتکس رو هم ارائه بدن برای یک جامعه آماری محدود در حد 100 نفر که اعلام کردن امکانش رو ندارن. ویدئو مذاکرات و اسکرین هاشم داریم در صورت لزوم انتشار خواهیم داد. البته که از این جنس ادعاها کلا هفته ای یکی دو مورد داریم.
صفحه باگ بانتی نوبیتکس فعال هست و میتونید در هرزمانی درصورت کشف آسیب پذیری گزارش بدید و جایزه دریافت کنید :

https://nobitex.ir/bugbounty

#nobitex #news
@securation

⭕️بررسی Event ID 15 در Sysmon

#ThreatHunting #sysmon
@securation

⭕️بررسی Event ID 15 در Sysmon

سیسمان یکی از ابزارهای قدرتمند مجموعه Sysinternals است که به‌طور گسترده در تحلیل رفتارهای سیستمی و شناسایی فعالیت‌های مشکوک در سیستم‌های ویندوزی استفاده می‌شود.
این ابزار با ثبت رویدادهای مختلف در سیستم، به تحلیلگران امنیتی کمک می‌کند تا حملات سایبری و فعالیت‌های مخرب را شناسایی کنند.
یکی از رویدادهای مهمی که Sysmon ثبت می‌کند، Event ID 15 است.

تعریف Event ID 15:
ایونت آیدی 15 در Sysmon مربوط به ایجاد یک جریان (Stream) در فایل است. این رویداد زمانی ثبت می‌شود که Alternate Data Streams (ADS) به یک فایل متصل شوند.

تعریف Alternate Data Streams (ADS):
قابلیتی در سیستم فایل NTFS است که اجازه می‌دهد داده‌های اضافی به فایل‌ها اضافه شود، بدون این‌که اندازه یا ویژگی‌های اصلی فایل تغییر کنند.

چرا Event ID 15 مهم است؟
در ویندوز ADS ها در حالت عادی کاربردهایی مانند ذخیره متادیتا دارند، اما مهاجمان می‌توانند از این قابلیت برای پنهان‌سازی بدافزارها، اسکریپت‌ها یا داده‌های مخرب استفاده کنند. Event ID 15 به ما امکان می‌دهد این تغییرات را شناسایی کنند.
حملات سایبری که از طریق Event ID 15 قابل شناسایی‌اند:
1. پنهان‌سازی بدافزار در ADS
مهاجمان ممکن است بدافزارها را در جریان‌های داده‌ی جایگزین (ADS) یک فایل مخفی کنند.
نشانه: ثبت یک Event ID 15 در فایلی که نیازی به ADS ندارد.
تحلیل: فایل مشکوک را بررسی کرده و جریان‌های داده‌ی آن را استخراج کنید. ابزارهایی مانند streams.exe می‌توانند کمک کنند.

2. اجرای کد مخرب از طریق ADS
مهاجمان ممکن است کدهای مخرب را در ADS ذخیره کرده و از آنجا اجرا کنند.
نشانه: ایجاد ADS در فایل‌هایی که در فرآیندهای سیستم حیاتی یا حساس نقش دارند.
تحلیل: مسیر فایل را ردیابی کرده و تغییرات مرتبط با آن را ارزیابی کنید.

3. پنهان‌سازی داده‌های سرقت‌شده
‌در این حملات ADS ها می‌توانند برای پنهان‌سازی داده‌های حساس و سرقت‌شده از سیستم استفاده شوند.
نشانه: ایجاد ADS‌های غیرمنتظره پس از دسترسی‌های مشکوک.
تحلیل: فایل‌های تغییر یافته و محتویات ADS را بررسی کنید.

4. ردپای مهاجم یا ابزارهای هک
برخی ابزارهای هک (مثل Mimikatz یا Cobalt Strike) ممکن است داده‌ها یا تنظیمات خود را در ADS ذخیره کنند.
نشانه: مشاهده ADS در کنار ابزارهای اجرایی یا فایل‌های سیستمی.
تحلیل: فایل‌های اجرایی را با هش‌گذاری یا تحلیل رفتاری بررسی کنید.

#ThreatHunting #sysmon
@securation

⭕️شکار تهدید (Threat Hunting) با WMI در ویندوز

ابزار WMI (Windows Management Instrumentation) ابزاری قدرتمند در ویندوز است که برای جمع‌آوری اطلاعات سیستم و مدیریت فرآیندها استفاده می‌شود. این ابزار توسط مهاجمان برای مخفی کردن فعالیت‌های خود نیز بهره‌برداری می‌شود. در شکار تهدید، WMI می‌تواند به شناسایی فعالیت‌های مشکوک کمک کند.

روش‌های عملی شکار تهدید با WMI
1. شناسایی فرآیندهای مشکوک
بررسی فرآیندهایی که در مسیرهای غیرعادی اجرا می‌شوند:

Get-WmiObject Win32_Process | Where-Object { $_.ExecutablePath -like "*Temp*" } | Select-Object Name, ExecutablePath

این دستور فرآیندهایی را که از پوشه Temp اجرا می‌شوند نمایش می‌دهد.

2. پایش ایجاد فرآیندهای جدید
برای نظارت بر ایجاد فرآیندهای جدید:

Register-WmiEvent -Query "SELECT * FROM __InstanceCreationEvent WITHIN 5 WHERE TargetInstance ISA 'Win32_Process'" -Action { Write-Output $EventArgs.NewEvent }

هر فرآیند جدید به‌طور خودکار لاگ می‌شود و می‌توانید رفتارهای غیرعادی را بررسی کنید.

3. بررسی تغییرات رجیستری
شناسایی تغییرات کلیدی رجیستری که ممکن است برای پایداری بدافزار استفاده شود:

Get-WmiObject -Query "SELECT * FROM StdRegProv WHERE sSubKeyName = 'Software\\Microsoft\\Windows\\CurrentVersion\\Run'"

این دستور مقدارهای رجیستری مربوط به اجرای خودکار برنامه‌ها را بازیابی می‌کند.

مطالعه بیشتر:

Link

#ThreatHunting #WMI
@securation

⭕️ CVE-2024-49112

A critical vulnerability in Windows LDAP client that according to Microsoft allows remote code execution. This exploit leverages the vulnerability to crash target Windows Server systems by interacting with their Netlogon Remote Protocol (NRPC), and LDAP client.

Blog: https://securityonline.info/poc-exploit-released-for-zero-click-vulnerability-cve-2024-49112-in-windows/
@securation