#Video #Electronic #Security

No Key, No Problem: Vulnerabilities in Master Lock Smart Locks

در کنفرانس Defcon 16 ارائه‌ای توسط Anthony Rose و Ben Ramsey با موضوع "باز کردن قفل‌های بلوتوثی" برگزار شد. این ارائه نسخه‌ای جدید از روش‌های LockPicking بود، با این تفاوت که این‌بار از رابط بلوتوث و یک اپلیکیشن اندرویدی برای تعامل با قفل‌ها استفاده می‌شد.

در آن زمان اعلام شد که قفل‌های بلوتوثی MasterLock با بازار هدف بیش از ۲.۶ میلیارد مصرف‌کننده آسیب‌پذیر محسوب نمی‌شوند و حتی نسبت به دیگر رقبا امن‌ترین گزینه به شمار می‌رفتند.

اما در رویداد WOOT 2025، پژوهش‌های جدید نشان داد که این اعتماد مطلق درست نبوده است. بررسی‌ها ثابت کرد که می‌توان سیستم امنیتی برخی مدل‌های این قفل را دور زد و آسیب‌پذیری آن‌ها را اثبات کرد.

قفل‌های هوشمند MasterLock معمولاً در مکان‌هایی مانند درب‌ هتل‌ها، باشگاه‌ها، انباری‌ها، انبارهای اشتراکی، کمد مدارس، شرکت‌ها و فضاهایی که نیاز به دسترسی آسان اما کنترل‌شده دارند مورد استفاده قرار می‌گیرند.

در این تحقیق مشخص شد که با مهندسی معکوس اپلیکیشن اندرویدی قفل (نسخه 2.28.0.1)، این نرم‌افزار از تکنیک‌های مبهم‌سازی مانند موارد زیر استفاده می‌کند:

تغییر نام‌ نمادها
رمزگذاری و کدگذاری ثابت‌ها
فراخوانی توابع Native
بارگذاری DEX به صورت پویا
مبهم سازی control flows

پس از آن، با تحلیل نحوه ارتباط قفل با سرور، بلوتوث و روش‌های رمزنگاری، اثبات شد که مدل Master Lock D1000 دارای آسیب‌پذیری امنیتی است.

تو این آدرس می تونید به اسلاید و سایر فایل ها دسترسی داشته باشید.

🦅 کانال بایت امن | گروه بایت امن
_

#Security

سه بدافزار معروف که قبلا از بین رفتند اما دوباره برگشته‌اند

تروجان Emotet پس از نابودی سراسری در سال 2021 و توقیف زیرساخت‌ سرورهایش، تصور می‌شد برای همیشه از بین رفته است. اما این بدافزار مدتی بعد با بهره‌گیری از زیرساخت TrickBot بازسازی شد و به یک بات‌نت ماژولار پیشرفته‌تر تبدیل گردید. اکنون قابلیت‌های جدیدی مانند سرقت گسترده‌تر ایمیل و Loaderهای توسعه‌یافته دارد. آخرین IOCهای شناسایی‌شده مربوط به آن شامل دامنه reelancedigitales[.]com و آدرس 146.19.212[.]210 هستند.

رنسام LockBit در سال 2024 طی عملیات مشترک بین‌المللی با نام Operation Cronos هدف قرار گرفت وب‌سایت‌های مرتبط با آن توقیف و برخی اعضای گروه دستگیر شدند. با این حال تنها چند هفته بعد این گروه با زیرساخت جدید و نسخه 4.0 دوباره بازگشت. LockBit اکنون با افزایش شبکه Affiliates و یک مدل اخاذی سریع‌تر و تهاجمی‌تر فعالیت می‌کند. از مهم‌ترین IOCهای اخیراً مرتبط با آن می‌توان به loki-locker[.]one و securebestapp20[.]com اشاره کرد.

بدافزار Lumma نیز در سال 2024 پس از توقیف دامنه‌هایش توسط وزارت دادگستری آمریکا تصور می‌شد از فعالیت خارج شده است، اما مانند بسیاری از تهدیدات مشابه تنها چند هفته بعد با انتشار نسخه جدید LummaC v4.x بازگشت. این نسخه با زیرساخت تازه، تکنیک‌های ابهام‌سازی پیچیده‌تر و قابلیت‌های ضدتحلیل قوی‌تر همراه بوده است. تازه‌ترین IOCهای گزارش‌شده شامل 128.199.149[.]174 و 4.209.216[.]163 هستند.

🦅 کانال بایت امن | گروه بایت امن
_

خیلی‌ها مفهوم Red Team رو اشتباه می‌گیرن

رد تیم این معانی رو نداره :

❌ساخت بدافزار
❌دور زدن آنتی‌ویروس و EDR
❌اکسپلویت کرنل یا کاربر
❌تست امنیت وب یا اپلیکیشن
❌حملات فیشینگ
❌تست Active Directory
❌راه‌اندازی C2

✅ رد تیم، یک رویکرد استراتژیک، مخفیانه و هدف‌محور برای سنجش توان سازمان در شناسایی، واکنش و مقاومت در برابر یک مهاجم واقعی.

🎯 هدف رد تیم این نیست که فقط نفوذ کنه
بلکه باید نشان بده سازمان چقدر توانایی دفاع و پاسخ سریع در برابر یک تهدید واقعی رو داره

🦅 کانال بایت امن | گروه بایت امن
_

#Article #MalwareAnalysis

MastaStealer Weaponizes Windows LNK Files, Executes PowerShell Command, and Evades Defender

در یک آلودگی اخیر مربوط به MastaStealer، یک کاربر ایمیلی هدفمند (Spear-phishing) دریافت کرد که منجر به دانلود یک فایل ZIP شد که فقط یک فایل با پسوند .lnk داخل آن بود.

وقتی قربانی روی آن کلیک کرد، این فایل LNK برنامه msedge.exe را اجرا کرد و سایت anydesk[.]com را در صفحه باز کرد تا بی‌خطر به نظر برسد، اما در پس‌زمینه به صورت مخفیانه یک فایل نصب MSI را از anydesck[.]net دانلود کرد.

یک کاربر ایمیلی هدفمند (فیشینگ) دریافت کرده که داخلش یک فایل ZIP بوده و فقط یک فایل .lnk داشت. کاربر روی آن کلیک کرده و فایل LNK ظاهراً فقط مرورگر Edge را باز کرده و سایت anydesk.com را نمایش داده تا همه چیز عادی به نظر برسد.

اما در پشت صحنه، همان فایل LNK یک فایل MSI مخرب را از سایت جعلی anydesck.net دانلود کرده و تلاش کرده نصبش کند. چون کاربر دسترسی ادمین نداشت، نصب شکست خورده و لاگ خطای Event ID 11708 ثبت شده که باعث شد تیم امنیت متوجه ماجرا شود.

اگر نصب موفق می‌شد، این بدافزار:

فایل‌ها را در مسیر Temp باز و استخراج می‌کرد
یک فایل اجرایی به نام dwm.exe در مسیر LOCALAPPDATA\Microsoft\Windows قرار می‌داد
یک دستور PowerShell اجرا می‌کرد تا Windows Defender از اسکن این فایل جلوگیری کند

این فایل dwm.exe در واقع بدافزاری است که با سرورها و آدرس‌های مشخص‌شده در متن تماس گرفته و فرمان می‌گیرد.

🦅 کانال بایت امن | گروه بایت امن
_

#Live #Malware

Emulating APTs: Building and Deploying Bootkits & Rootkits

وقتی از بدافزارهای واقعا پیشرفته صحبت می‌کنیم، یعنی آن دسته از ابزارهایی که تنها گروه‌های APT دولتی یا دارای منابع بسیار گسترده قادر به توسعه و استقرار کامل آن‌ها هستند، مثل بوت‌کیت‌ها و روت‌کیت‌ها.

این جمعه Nov 28, 2025 لایو جذابی از کانال Off-By-One Security برگذار خواهد شد در مورد شبیه سازی APT ها از سورس کد تا اجرای اون.

در اولین جلسه‌ای که در کانال YouTube مجموعه Off-By-One Security برگزار شد، نحوه شروع توسعه این ایمپلنت‌ها و اجزای قابل برنامه‌نویسی آن‌ها بررسی شد و نمونه‌های بدافزار، PoCها و منابع مختلفی را برای توسعه بیشتر در اختیار شما قرار گرفت.

لینک لایو :

https://www.youtube.com/watch?v=8Uw6Tq4rw2s

موضوع لایو :

تو این لایو عمیق‌تر وارد سورس‌کد می‌شویم (از جمله تغییراتی که برای سازگاری این ایمپلنت‌ها با نسخه‌های مختلف سیستم‌عامل لازم است) و فرآیند استقرار را با دموهای زنده در ماشین‌های مجازی ایزوله‌شده نشان می‌دهیم، جایی که راهکارهای NGAV و EDR نصب شده‌اند، تا زنده نشان دهیم چگونه این راهکارها اغلب قادر به شناسایی این فعالیت‌ها نیستند، زیرا همه چیز از عمق فرایند بوت آغاز می‌شود؛ جایی که نظارت فراگیر عملاً ممکن نیست.

🦅 کانال بایت امن | گروه بایت امن
_

#History #Security

👨‍👦‍👦تفاوت محقق و مجرم سایبری را جدی بگیرید.

جاناتان جیمز (Jonathan James) با نام مستعار c0mrade در ۱۵ سالگی توانست به سیستم‌های ناسا و حتی یک سیستم تسلیحاتی پنتاگون نفوذ کند (۱۹۹۹). این نفوذ باعث شد ناسا برای ۲۱ روز بخشی از سیستم‌های خود را از مدار خارج کند. او در نهایت، به‌عنوان یک نوجوان، به حبس خانگی و آزادی مشروط محکوم شد.

با اینکه نیت تخریب نداشت، اما از نظر قانونی عمل او جرم سایبری محسوب شد، نه تحقیق مجاز امنیتی. همین موضوع نشان می‌دهد که یک محقق امنیتی واقعی فقط در چارچوب‌های قانونی و با دریافت مجوز فعالیت می‌کند، در غیر این صورت، حتی بدون نیت آسیب زدن، وارد قلمرو جرم می‌شود.

جاناتان سال‌ها بعد، در حالی که دوباره درگیر تحقیقات جداگانه‌ای بود، در سال ۲۰۰۸ به شکلی غم‌انگیز جان خود را از دست داد.

روایت کامل فراز و فرود زندگی جاناتانو چالش‌هایی که با آن روبه‌رو شد، سوءظن‌هایی که به او وارد شد و اینکه در بسیاری از موارد بی‌گناه بود، به‌صورت فارسی و با ترجمه‌ی NotebookLM قابل شنیدن است.

🦅 کانال بایت امن | گروه بایت امن
_

#Tools #EDR

اخیرا ابزاری جدید که با زبان Rust توسعه داده شده، توجه زیادی جلب کرده چون یک رفتار کمتر‌ شناخته‌شده در Windows API را هدف قرار می‌دهد و نشان می‌دهد که چطور بعضی مکانیزم‌های EDR ممکن است از زاویه‌هایی دور زده شوند که کمتر به آن‌ها پرداخته شده است.

این ابزار که با نام Indirect-Shellcode-Executor معرفی شده، به جای استفاده از توابع رایج و قابل‌ردیابی، از قابلیت‌های ReadProcessMemory بهره می‌گیرد. تابعی که در ظاهر تنها برای خواندن حافظه یک پردازش طراحی شده، اما پارامترهای آن از جمله خروجی lpNumberOfBytesRead می‌تواند در سناریوهای پژوهشی مورد توجه قرار بگیرد.

🦅 کانال بایت امن | گروه بایت امن
_

#Tools #ReverseEngineering

ابزار DriversHunterWindowsCatalog برای پیدا کردن درایورها در Microsoft Update Catalog ساخته شده که به‌صورت خودکار جستجو می‌کنه، نتایج رو فیلتر می‌کنه، پکیج‌های درایور رو دانلود می‌کنه، CABها رو Extract می‌کنه و فایل‌های WDM (.sys) رو جمع‌آوری می‌کنه.

حالا اینکار چه فایده ایی داره ؟

می‌تونید اون‌ها رو داخل Ghidra یا IDA باز کنید و بخش‌های جالب مثل opcodeها یا IOCTLهای ناامن رو تحلیل کنید.

پلاگین های مرتبط رو هم از داخل توضیحات ریپو میتونید دریافت کنید

🦅 کانال بایت امن | گروه بایت امن
_

#Article #Kernel

اگر دنبال یک منبع سریع، قابل‌فهم و درست‌حسابی برای درک کرنل لینوکس هستید، این ریپو دقیقا همون چیزیه که باید سراغش برید.

این مجموعه قرار نیست به شما نوشتن کد کرنل رو یاد بده. تمرکزش روی اینه که کرنل لینوکس چطور فکر می‌کنه و پشت هر بخش چه منطقی جریان داره و این درک با نگاه مستقیم به سورس‌کد واقعی هر قسمت به‌دست میاد.

مسیر مطالعه از پایه‌ترین مفاهیم شروع می‌شه و قدم‌به‌قدم یک مدل ذهنی درست از معماری و رفتار کرنل می‌سازه:

بخش اول: درک ساختار و طرز فکر کرنل قبل از دیدن حتی یک خط کد
بخش دوم: پایه‌های سیستم و معماری زیرساخت
بخش سوم: حافظه، ایزولیشن، امنیت و enforce کردن قوانین
بخش چهارم: فرآیند بوت، init و نحوه ورود سیستم به کرنل
بخش پنجم: ورود واقعی به کرنل و مراحل اجرای اولیه
بخش ششم: مفهوم execution context و رفتارهای مختلف کرنل
بخش هفتم: نحوه ارتباط و همکاری اجزای داخلی کرنل
بخش هشتم: زمان‌بندی، I/O و اصول مجازی‌سازی
بخش نهم: جمع‌بندی و نکات کلیدی پایانی

ترکیب توضیحات مفهومی + سورس‌کد واقعی، این ریپو رو به یکی از بهترین منابع برای فهم عمیق کرنل لینوکس تبدیل کرده

🦅 کانال بایت امن | گروه بایت امن
_

#Article #Kernel

The Kernel in the Mind - Understanding Linux Kernel Before Code

این هم مقاله کامل پست قبلی به صورت PDF

🦅 کانال بایت امن | گروه بایت امن
_

#Video #MalwareAnalysis

❕Defeating ConfuserEx Anti-Analysis with Hooking

وقتی درباره پکرها یا پروتکتورها صحبت می‌کنیم، یک بخش ماجرا استفاده مشروع برای امن‌کردن نرم‌افزارهاست و بخش دیگر استفاده آن‌ها توسط بدافزارها برای مخفی‌سازی و جلوگیری از تحلیل است.

یکی از پروتکتورهای رایج در بدافزارهای مبتنی بر ‎.NET‎، ابزار ConfuserEx است. به‌خاطر متن‌باز بودن آن، نسخه‌های مختلفی از روی آن fork شده که هرکدام رفتار و تکنیک‌های متفاوتی دارند و همین باعث می‌شود روش‌های ثابت یا خودکار برای آنپک کردن همیشه کارآمد نباشد.

در این ویدیو، Karsten Hahn به‌خوبی نشان می‌دهد که چطور می‌توان با استفاده از نوشتن هوک، رفتار بدافزار را تحلیل کرد، مکانیزم‌های ضدتحلیل را دور زد و در نهایت یک Deobfuscator اختصاصی توسعه داد و اینکار رو با تغییر در Deobfuscator رسمی ConfuserEx انجام میده.

جهت دریافت نمونه بد افزار به این لینک برید و برای بررسی Deobfuscator به این لینک.

🦅 کانال بایت امن | گروه بایت امن
_

این هم میز الکترونیک مورد علاقه‌مه. تقریبا هر شب بهش فکر می‌کنم تا ببینم تو این فضای محدود اتاق کارم چطور می‌تونم ازش ایده بگیرم.

🦅 کانال بایت امن | گروه بایت امن
_

#Note #PE #MalwareAnalysis

گاهی وقت‌ها برای تحلیل یک باینری، اولین قدم پیدا کردن رشته‌هاست چه با Static Analysis، چه با Dynamic Analysis.

اگر با ساختار PE آشنا باشیم، این رشته‌ها معمولا کجا پیدا می‌شوند ؟ در سکشن ها و دایرکتوری ها.

سکشن rdata.
شامل رشته‌های ثابت و Read-Only مثل پیام‌های خطا، متن‌های ثابت، اسم توابع و… .

سکشن data.
محل ذخیره‌ی رشته‌هایی که برنامه می‌تواند در طول اجرا تغییرشان بدهد. (Writable)

دایرکتوری Import Table
اسامی DLLها و توابعی که باینری به آن‌ها وابسته است همین‌جا ذخیره می‌شود.

دایرکتوری Export Table
در مورد DLLها، نام توابع یا نمادهایی که Export شده‌اند از این قسمت قابل استخراج است.

سکشن Resource (.rsrc)
شامل متادیتا، دیالوگ‌ها، اطلاعات نسخه، آیکون‌ها و سایر منابعی که معمولا رشته‌های قابل مشاهده در آن‌ها قرار دارد.

سکشن Debug.
اگر Strip نشده باشند، ممکن است مسیر فایل‌های سورس، کامنت‌ها یا اطلاعات Build را در خود داشته باشند. برای همین هست که پروتکتوری مثل VMProtect یک گزینه جدا برای این مورد دارد.

و اما سکشن BSS., شامل متغیرهای مقداردهی‌نشده (Uninitialized Data) است یعنی متغیرهایی که فقط تعریف شده‌اند ولی هنگام کامپایل مقدار اولیه ندارند. فقط به اندازه‌ی طول متغیر حافظه رزرو می‌کند و محتوایش در فایل PE وجود ندارد.

حالا خودتون در مورد idata. و edata. جستجو کنید چون این بخش های غیر مستقیم به موضوع رشته ها مربوط هستند.

🦅 کانال بایت امن | گروه بایت امن
_

#CTF #ReverseEngineering #Exploiting

💠iOS Application Exploitation Challenges

اگر به دنیای آسیب‌پذیری‌های iOS علاقه دارید، یه مجموعه عالی وجود داره که مخصوص تمرین و چالش در زمینه اکسپلویت و مهندسی معکوس iOS ساخته شده.

این مجموعه مناسب کساییه که توی یکی از این حوزه‌ها فعالیت دارن:
متخصص‌های امنیت iOS
بچه‌های باگ‌بانتی
متخصصین امنیت
توسعه دهندگان iOS

چالش‌ها در سطح‌های مختلف طراحی شدن و در مجموع ۱۳ چالش جذاب رو شامل می‌شن. کاملا رایگانه و می‌تونید هر زمان بخواید وارد چالش‌ها بشین و مهارت‌هاتونو تقویت کنید.

🦅 کانال بایت امن | گروه بایت امن
_

#Tools #SecureByte

همه‌چیز از یک ایده شروع شد | ۲۰۱۶

از علاقه‌ام به ویژوال افکت و داینامیک، زمانی که با Maya کار می‌کردم، ایده‌ای به ذهنم رسید که مسیر جدیدی برام ساخت:

طراحی یک سیستم محافظت از اسکریپت‌ها و پلاگین‌های Autodesk.

✅ اولین تست‌ها روی این موارد انجام شد:

سازگاری با تمامی نسخه های Maya & 3ds Max
با پشتیبانی کامل از MEL و Python

چیزی که اون روز فقط یک تست ساده بود، سال هاست با یک نام تجاری جدید، به عنوان یکی از محصولات زیرمجموعه بایت امن، در کنار سایر نرم‌افزارهای امنیتی این مجموعه قرار گرفته.

🦅 کانال بایت امن | گروه بایت امن
_

#Podcast #EDR

قسمت ۲۰ مجموعه پادکست پشت صحنه باینری با حضور Pavel Yoaovich به عنوان مهمان

موضوع این پادکست :
به زبان ساده: درباره جزئیات فنی هسته ویندوز و پیشرفت‌های امنیتی مثل VBS و EDR است.

طراحی و معماری هسته (Kernel) ویندوز

نحوه عملکرد و طراحی EDR ها (Endpoint Detection and Response)

تغییرات امنیتی در ویندوز در جهت استفاده از Virtualization-Based Security (VBS)

اینکه چرا و چگونه مایکروسافت دارد به سمت استفاده بیشتر از VBS می‌رود تا امنیت سیستم بهتر شود


🦅 کانال بایت امن | گروه بایت امن
_

#Tools

پروژه‌ای که توسط یکی از دانشجوهای دوره برنامه‌نویسی تهاجمی توسعه داده شده

پلاگین PEB-Manipulator یک پلاگین برای x64dbg است که امکان بررسی (Inspect) و دست‌کاری (Manipulate) ساختار Process Environment Block (PEB) در پروسس را فراهم می‌کند.

قابلیت‌های PEB-Manipulator

خواندن فیلدهای کلیدی PEB:
BeingDebugged
NtGlobalFlag
ProcessParameters
CommandLine

پچ کردن چک‌های رایج Anti-Debug مبتنی بر PEB
نمایش آرگومان‌های خط فرمان پروسس به‌صورت argv-style
پشتیبانی از پروسس های هدف x86 (32-bit) و x64 (64-bit)
پیاده‌سازی تمیز و مینیمال مبتنی بر Win32 API
تشخیص خودکار معماری پروسس داخل x64dbg

🦅 کانال بایت امن | گروه بایت امن
_