Night Intel | OSINT

ادعای Gentlemen Ransomware درباره نفوذ به KFC؛ هنوز تأیید نشده است گروه The Gentlemen در ۱۰ اکتبر نام KFC آمریکا را در فهرست قربانیان خود قرار داده و مدعی نفوذ به این مجموعه شده است؛ با این حال، تاکنون هیچ تأیید مستقلی از وقوع Breach منتشر نشده است. صفحه منتشرشده فقط نام KFC، دامنه kfc.com و اطلاعات عمومی کسب‌وکار را نمایش می‌دهد و شامل نمونه فایل سرقت‌شده یا مدرک فنی نیست. همچنین حجم یا نوع داده احتمالی، روش ورود، مبلغ باج، سیستم‌های تحت تأثیر و شواهدی از Encryption مشخص نشده‌اند. هنوز معلوم نیست هدف ادعایی شبکه شرکتی KFC، یک Franchise یا مجموعه دیگری مرتبط با این برند بوده است. بنابراین این ادعا فعلاً تأییدنشده باقی می‌ماند. 🔗 منبع اصلی

مفهوم Cache معمولاً نسخه موقتی از یک صفحه‌ست. اما Web Archive با هدف نگهداری نسخه تاریخی ساخته می‌شه.

پس: Cache = موقت Archive = تاریخی

این دو رو با هم اشتباه نگیریم. 📢 @nightintel

#نکته_آموزشی فرض کن قدیمی‌ترین Snapshot یک سایت در Wayback Machine مربوط به سال 2021 باشه. آیا می‌تونیم بگیم سایت در سال 2021 ساخته شده؟ ❌ نه.

فقط می‌تونیم بگیم: «قدیمی‌ترین نسخه‌ای که در این Archive پیدا کردیم مربوط به 2021 است.» ممکنه سایت قبل از اون هم وجود داشته ولی Archive نشده باشه.

📢 @nightintel

#نکته_آموزشی فرض کن امروز وارد صفحه Team یک شرکت می‌شی و اسم یکی از مدیرها دیگه اونجا نیست. آیا یعنی هیچ‌وقت عضو تیم نبوده؟ نه لزوماً. ممکنه نسخه‌های قدیمی صفحه هنوز در Web Archive ذخیره شده باشن. در OSINT فقط وضعیت فعلی سایت مهم نیست؛ تاریخچه تغییرات هم می‌تونه سرنخ باشه. 📢 @nightintel

#دوره_OSINT : جلسه ۹ اینترنت حافظه دائمی و قابل‌اعتمادی نیست؛ صفحه‌ها حذف می‌شن، متن‌ها عوض می‌شن و بعضی اطلاعات بدون هیچ توضیحی ناپدید می‌شن. در جلسه نهم می‌ریم سراغ Web Archive و یاد می‌گیریم چطور با ابزارهایی مثل Wayback Machine و Archive.today نسخه‌های قدیمی صفحات رو پیدا و تغییراتشون رو بررسی کنیم. گاهی مهم‌ترین سرنخ، چیزی نیست که الان روی سایت می‌بینیم؛ چیزیه که قبلاً اونجا بوده. 📢 @nightintel

#اخبار پرداخت ۱۷۷ میلیون دلاری AT&T برای حل‌وفصل پرونده دو نشت گسترده اطلاعات دادگاه فدرال آمریکا توافق ۱۷۷ میلیون دلاری AT&T برای حل‌وفصل دعاوی مربوط به دو رخداد امنیتی سال ۲۰۲۴ را تأیید کرد. این شرکت بدون پذیرش مسئولیت یا تخلف، ۱۴۹ میلیون دلار برای رخداد اول و ۲۸ میلیون دلار برای رخداد دوم اختصاص می‌دهد. رخداد نخست اطلاعات حدود ۷۳ میلیون مشتری فعلی و سابق را در معرض قرار داد و ممکن بود شامل نام، آدرس، شماره تماس، تاریخ تولد، Passcode حساب و Social Security Number باشد. رخداد دوم نیز با نفوذ به Workspace شرکت در Snowflake، سوابق تماس و پیامک تقریباً تمام مشترکان موبایل AT&T را افشا کرد؛ اما محتوای تماس‌ها و پیام‌ها یا Social Security Number در این مجموعه وجود نداشت. مهلت ثبت Claim جدید نیز پایان یافته است. 🔗 منبع اصلی 📢 @nightintel

#اخبار پلتفرم Microsoft Teams لینک‌های مخرب داخل QR Code را شناسایی می‌کند مایکروسافت قابلیت جدیدی برای Teams معرفی کرده که لینک‌های پنهان‌شده داخل QR Codeها را پس از تحویل پیام بررسی می‌کند. این ویژگی بخشی از Microsoft Defender for Office 365 است و URL موجود در QR Code را استخراج و از نظر مخرب‌بودن ارزیابی می‌کند؛ در صورت شناسایی تهدید، Teams روی پیام هشدار نمایش می‌دهد یا در برخی شرایط آن را Block می‌کند. این قابلیت برای مقابله با Quishing طراحی شده؛ حملاتی که کاربران را با QR Code به صفحات جعلی Login هدایت می‌کنند. سازمان‌های دارای Defender Plan 1 یا 2 و قابلیت ZAP می‌توانند از مسدودسازی پیام‌های مخرب نیز بهره ببرند. Rollout جهانی از اکتبر ۲۰۲۶ آغاز شده و تا اوایل نوامبر تکمیل می‌شود. 🔗 منبع اصلی 📢 @nightintel

#نکته_آموزشی نتیجه No Result یعنی چی؟ یک Query اجرا کردی و هیچ نتیجه‌ای نیومد. آیا یعنی اطلاعات وجود نداره؟ ❌ نه. ممکنه:

صفحه Index نشده باشه Query بیش از حد محدود باشه صفحه حذف شده باشه موتور جست‌وجوی دیگه‌ای اون رو داشته باشه

قاعده مهم: No Results ≠ No Information 📢 @nightintel

#نکته_آموزشی فرض کن درباره یک شرکت Search می‌کنی ولی بیشتر نتایج مربوط به استخدامه.

می‌تونی بنویسی: "Night Labs" -jobs -careers

علامت - یعنی: این کلمه‌ها رو از نتایج حذف کن. گاهی حذف یک Keyword به‌اندازه اضافه کردن Keyword جدید مهمه. 📢 @nightintel

#نکته_آموزشی فرض کن می‌خوای ببینی سایت یک شرکت درباره شخص X چیزی نوشته یا نه.

به‌جای گشتن دستی بین صفحات سایت: site:example.com "John Smith"

یعنی: فقط داخل example.com دنبال John Smith بگرد. اپراتور site: یکی از کاربردی‌ترین ابزارهای Search در OSINTه. 📢 @nightintel

#نکته_آموزشی گاهی اطلاعات مهم توی صفحات معمولی سایت نیست و داخل:

گزارش بروشور سند فایل قدیمی

قرار گرفته. مثلاً:

"Night Labs" filetype:pdf یا: site:nightlabs.example filetype:pdf

گاهی یک PDF قدیمی اطلاعاتی داره که مدت‌هاست از صفحات اصلی سایت حذف شده. 📢 @nightintel

#نکته_آموزشی فرق این دو Search چیه؟ Night Labs و "Night Labs" وقتی عبارت رو داخل " " قرار می‌دیم، موتور جست‌وجو دنبال همون ترکیب دقیق کلمات می‌گرده.

این تکنیک مخصوصاً برای: 👤 نام افراد 🏢 نام شرکت‌ها 📝 جمله‌های خاص 🔗 Usernameها

📢 @nightintel

#دوره_OSINT : جلسه ۸ سرچ کردن خوبه؛ اما سرچ دقیق خیلی بهتره. در جلسه هشتم می‌ریم سراغ Search Operators و یاد می‌گیریم چطور با دستورهایی مثل site:، filetype:، کوتیشن " " و - نتایج جست‌وجو رو محدودتر و هدفمندتر کنیم. هدف این جلسه اینه که به‌جای گشتن بین صدها نتیجه نامرتبط، سریع‌تر به همون چیزی برسیم که برای تحقیق لازم داریم. 📢 @nightintel

#اخبار نسخه جدید P7 DarkSword؛ سرقت Keychain و اطلاعات کیف پول از iPhone پژوهشگران iVerify نسخه جدیدی از کیت Exploit آیفون DarkSword با نام P7 DarkSword را شناسایی کرده‌اند. این نسخه نسبت به نمونه‌های قبلی ردپای کمتری روی دستگاه باقی می‌گذارد و قابلیت سرقت داده‌های Keychain و اطلاعات Crypto Wallet را اضافه کرده است. همچنین ارتباط دوطرفه C2 به مهاجمان امکان تعامل از راه دور با دستگاه آلوده را می‌دهد. DarkSword پیش‌تر توسط Google Threat Intelligence Group، iVerify و Lookout مستند شده و دستگاه‌های دارای iOS 18.4 تا 18.7 را هدف قرار می‌دهد. این کیت با زنجیره‌کردن چند آسیب‌پذیری، از Browser Sandbox خارج شده، به سطح Kernel می‌رسد و Payload اصلی را داخل SpringBoard تزریق می‌کند. فعالیت آن از نوامبر ۲۰۲۵ در دنیای واقعی مشاهده شده است. 🔗 منبع اصلی 📢 @nightintel

#اخبار بازداشت مظنون دیگری در پرونده ShinyHunters پس از نفوذ به پورتال استخدام FBI مدیر FBI از بازداشت یک مظنون دیگر مرتبط با ShinyHunters خبر داده است. فرد بازداشت‌شده، یک شهروند کانادایی است که طبق گزارش‌ها در پنسیلوانیا دستگیر شده و به مشارکت احتمالی در سرقت اطلاعات از پورتال استخدام FBI مظنون است. نام او و اتهامات رسمی هنوز اعلام نشده‌اند. این سومین بازداشت علنی مرتبط با تحقیقات اخیر است؛ پیش‌تر مظنونانی در هلند و اردن بازداشت شده بودند. FBI می‌گوید بررسی‌ها نشان داده نفوذ به پلتفرمی متعلق به یک سازمان ثالث رخ داده، زیرا یک پیمانکار Patch امنیتی صادرشده برای آن را نصب نکرده بود. ShinyHunters مدعی سرقت اطلاعات حساس کارکنان و متقاضیان FBI شده و FBI این گروه را مسئول احتمالی حادثه FBIjobs.gov می‌داند. 🔗 منبع اصلی 📢 @nightintel