Hypersec

🔍 ابزارهای ویندوز را بشناسید که مهاجمان علیه شما استفاده می‌کنند مهاجمان به‌جای ساخت بدافزار جدید، از ابزارهای قانونی ویندوز مثل rundll32.exe، wmic.exe، certutil.exe و powershell.exe سوءاستفاده می‌کنند تا ردپاها را بپوشانند. ✅ پیشنهاد ما: • اجرای مانیتورینگ روی آرگومان‌هایی مثل -EncodedCommand یا -ExecutionPolicy Bypass • بررسی parent-child غیرمعمول (مثلاً explorer → wmic, …) • محدودسازی اجرای LOLBins با AppLocker یا WDAC در نقاط حساس 🌍مقاله #ThreatHunting #SOC #LOLBins #DetectionEngineering تیم سورین

🔍 Hunting For PsExec.exe abuse ابزار PsExec از مجموعه Sysinternals ابزارِ قدرتمندی برای اجرای فرامین از راه دوره — هم ادمین‌ها استفاده می‌کنن و هم مهاجمان. اگر دنبال lateral movement یا اجرای کد با امتیاز SYSTEM هستید، این نقاط رو سریع چک کنید: • وجود psexec.exe یا PSEXESVC.exe در لاگ‌های ProcessCreate/EDR. • فرمان‌های مشکوک: پرچم‌هایی مثل -s, -d, -accepteula, -nobanner, یا powershell -enc <base64>. • نوشتن فایل به \\<host>\ADMIN$ یا copy کردن PSEXESVC.exe روی میزبان‌های متعدد. • سرویس‌های موقت ساخته/حذف‌شده که والد‌شون services.exe یا PSEXESVC.exe است. لینک مقاله برای مطالعه کامل تیم سورین #psexec

🔍 منبع جدید برای پژوهشگران و تحلیل‌گران امنیتی اگر با Jupyter Notebook کار می‌کنید یا دنبال نمونه‌های عملی در حوزه‌ی Threat Hunting، DFIR، Threat Intelligence و Data Analysis هستید، پیشنهاد می‌کنم حتماً Juniverse رو ببینید 👇 🌐 https://juniverse.securitybreak.io/ 📘این پلتفرم یک کاتالوگ از نوت‌بوک‌های امنیتی‌ست که توسط پژوهشگران حوزه‌ی امنیت اطلاعات منتشر شده و موضوعاتی مثل تحلیل بدافزار، بررسی Indicators، پردازش داده‌های SIEM و تحلیل‌های مبتنی بر MITRE ATT&CK رو پوشش می‌ده. تیم سورین #ThreatHunting #DFIR #SOC #Jupyter #Juniverse #SecurityResearch

🔔یادآوری مهم: فردا کلاس Splunk Clustering & Administrator آغاز می‌شود. امروز آخرین مهلت ثبت‌نام برای شرکت در این دوره است. 📞 برای ثبت‌نام و اطلاعات بیشتر با ما در ارتباط باشید. تیم سورین

⚠️ هشدار امنیتی — PoC برای CVE-2025-56383 (Notepad++ DLL Hijacking) مخزن عمومی «CVE-2025-56383-Proof-of-Concept» توسط کاربر zer0t0 منتشر شده که یک PoC به زبان C برای بهره‌برداری از ضعف DLL hijacking در Notepad++ (مثال: npp.8.8.3) ارائه می‌کند. روش نمایش‌داده‌شده جایگزینی یک DLL معتبر (مثلاً NppExport.dll) با نسخهٔ جعل‌شده‌ای است که سپس کد دلخواه را اجرا می‌کند — بدیهی است که این رفتار می‌تواند به اجرای کد از راه دور/محلی منجر شود اگر مهاجم به مسیر نصب دسترسی نوشتن داشته باشد. :contentReference[oaicite:5]{index=5} 👨‍💻 نکات مهم و فوری: • بررسی کنید آیا در شبکه/سرورهای شما Notepad++ نصب است (نسخه‌ها و مسیر نصب). • دسترسی نوشتن به پوشهٔ نصب را برای کاربران غیرمجاز قطع کنید (Least Privilege). • checksum/ hash فایل‌های DLL حساس را اعتبارسنجی کنید و تغییرات ناگهانی را لاگ و بررسی کنید. • اگر امکانش هست، برنامه را به نسخهٔ وصله‌شده ارتقا دهید یا تا رفع رسمی از اجرای بسته‌های نصب محلی خودداری کنید. • مانیتورینگ: دنبال تغییر روی DLLها و spawn شدن پروسس‌های ناگهانی از طریق Notepad++ باشید. 📌 مرجع: https://github.com/zer0t0/CVE-2025-56383-Proof-of-Concept تیم سورین

OWASP Smart Contract Top 10 Vulnerabilities (https://github.com/OWASP/www-project-smart-contract-top-10) ]-> OWASP Smart Contract Security Verification Standard (https://owasp.org/www-project-smart-contract-security-verification-standard/) ]-> OWASP Smart Contract Security Testing Guide (https://owasp.org/www-project-smart-contract-security-testing-guide/) تیم سورین

🧩 تحلیل فنی: سوءاستفاده مهاجمان از ConnectWise برای ساخت بدافزارهای امضاشده در ماه‌های اخیر (از مارس ۲۰۲۵)، افزایش چشمگیری در نمونه‌های آلوده و اپلیکیشن‌های جعلی مشاهده شده که با نمونه‌های امضاشده‌ی معتبر از نرم‌افزار ConnectWise ساخته شده‌اند. 🔹 ابزار ConnectWise چیست؟ نرم افزار ConnectWise یک پلتفرم مدیریت و پشتیبانی از راه دور (Remote Monitoring & Management - RMM) است که معمولاً توسط تیم‌های IT و شرکت‌های MSP برای مدیریت سیستم‌ها، مانیتورینگ شبکه، پشتیبانی کاربران، و انجام عملیات از راه دور استفاده می‌شود. این نرم‌افزار به سرورها و کلاینت‌های سازمانی دسترسی سطح بالا دارد و می‌تواند اسکریپت اجرا کند، فایل منتقل کند، و سرویس‌ها را کنترل کند — یعنی دقیقاً همان سطح دسترسی‌ای که یک مهاجم هم در پی آن است. به همین دلیل، اگر مهاجمان بتوانند از نسخه‌ی معتبر یا امضاشده‌ی ConnectWise سوءاستفاده کنند، می‌توانند از آن به‌عنوان ابزاری قانونی برای اجرای بدافزار و کنترل سیستم‌ها بهره ببرند. گزارش جدید شرکت G DATA نشان می‌دهد که مهاجمان سایبری با بهره‌گیری از ضعف در فرآیند امضای دیجیتال، موفق شده‌اند از ConnectWise به عنوان "builder" برای تولید بدافزارهای امضاشده و قابل اعتماد استفاده کنند. به بیان ساده‌تر: امضای معتبر، باعث می‌شود سیستم‌های امنیتی و کاربران به فایل مخرب اعتماد کنند — در حالی که در واقعیت، فایل یک بدافزار است. 🔍 نکات مهم گزارش: خطای اصلی در فرآیند code-signing و مدیریت گواهی‌ها است. مهاجمان با استفاده از نسخه‌های معتبر ConnectWise، بدافزارهایی تولید می‌کنند که امضا و اعتبار قانونی دارند. بسیاری از محصولات امنیتی در شناسایی این نوع تهدیدها دچار چالش می‌شوند. راهکار پیشنهادی: بررسی دقیق رفتار اجرایی به‌جای اعتماد مطلق به امضا و گواهی‌ها. 📎 منبع: G DATA Software Blog – ConnectWise Abuse #ThreatIntel #ConnectWise #Malware #CodeSigning #BlueTeam تیم سورین

🖥 مخزن آموزشی: Awesome Cyber Security University 🎓 دانشگاه امنیت سایبری – یادگیری رایگان و عملی امنیت اطلاعات این پروژه در گیت‌هاب مجموعه‌ای از بهترین و رایگان‌ترین منابع آموزشی امنیت سایبری را گردآوری کرده است که تمرکز اصلی آن بر یادگیری عملی و پروژه‌محور است. 🔹 ساختار دوره شامل ۶ بخش اصلی است: 1️⃣ مقدمه و مبانی امنیت 2️⃣ مسیر رایگان آموزش تیم قرمز (Red Team) برای مبتدیان 3️⃣ مسیر رایگان آموزش تیم آبی (Blue Team) برای مبتدیان 4️⃣ تمرین‌ها و چالش‌های تکمیلی 5️⃣ جدیدترین آسیب‌پذیری‌ها (CVEها) 6️⃣ چالش‌های سخت و تخصصی – با ترتیب افزایشی سطح دشواری 📎 لینک گیت‌هاب: github.com/brootware/awesome-cyber-security-university #CyberSecurity #GitHub #RedTeam #BlueTeam #CVE #SoorinSec #ThreatHunting تیم سورین

🎥خلاصه‌ای از محتوای دوره تخصصی Splunk Clustering & Administrator در این ویدیو، نگاهی اجمالی خواهیم داشت به سرفصل‌ها، مباحث کلیدی و همچنین گروه مخاطبانی که این دوره برای آن‌ها طراحی شده است. اگر در مسیر حرفه‌ای مدیریت و نگهداری Splunk هستید، این دوره دقیقاً برای شماست. 👩‍💻 مدرس: احمدرضا نوروزی

Module 1 – Introduction, Installation & Configuration of Splunk ES 1. Introduction to Splunk ES ○ Splunk ES overview ○ Splunk ES architecture and key modules ○ Splunk ES requirements 2. Installation and Configuration of Splunk ES ○ Installing Splunk Enterprise Security ○ General Settings ○ Data Normalization ○ CIM (Common Information Model) ○ Datamodel and Datasets ○ Data Validation 3. Exploring Splunk ES ○ Incident Review Dashboard ○ Security Posture Dashboard ○ Threat Intelligence Framework ○ Identity and Asset Framework ○ Risk-based Analytics Framework Module 2 – Threat Analysis & Security Content in ES 1. Working with Security Content (Detection Rules) ○ Understanding use cases in ES ○ Enabling ES detection rules ○ Out-of-the-box detection rules ○ Customizing and developing new detection rules ○ Notable Events and Incident Workflow ○ Notable Event investigation scenarios 2. Threat Intelligence in Splunk ES ○ Introduction to the Threat Intelligence Management framework ○ Importing/Exporting TI feeds (STIX, TAXII, etc.) ○ Creating and managing threat artifacts 3. Dashboard-Based Analysis ○ Reviewing security indicators in ES dashboards ○ Using Kill Chain and MITRE ATT&CK mappings ○ Building custom dashboards for SOC teams Module 3 – Advanced Threat Analysis & Threat Hunting with ES 1. Analyzing Common Attacks in ES ○ Advanced SPL queries for hunting ○ Detecting and analyzing privilege escalation ○ Detecting and analyzing lateral movement ○ Detecting and analyzing data exfiltration ○ Identifying suspicious user behavior 2. Threat Hunting with MLTK (Machine Learning Toolkit) ○ Introduction to MLTK and concepts ○ Using Machine Learning (ML) to threat detection ○ training and applying MLTK models 3. Automation and Integration ○ Integrating Splunk ES with SOAR (e.g., Phantom) ○ Designing playbooks for automated response ○ APIs and integrations with other security tools

📚 سرفصل‌های دوره‌ی Splunk Enterprise Security (v8.0) 🔹 Module 1 – Introduction, Installation & Configuration of Splunk ES آشنایی مقدماتی با Splunk ES، نصب، تنظیمات اولیه و Data Normalization 🔹 Module 2 – Threat Analysis & Security Content in ES تحلیل تهدیدات، کار با Detection Rules، و ساخت Use Caseهای امنیتی 🔹 Module 3 – Advanced Threat Analysis & Threat Hunting with ES شکار تهدیدات پیشرفته، تحلیل رفتار مهاجم و طراحی Dashboardهای حرفه‌ای 🎓 مدرس: مهندس علی آهنگری 📍 جهت مشاهده جزئیات و ثبت‌نام

🚨 دوره شکار تهدیدات با اسپلانک (Threat Hunting With Splunk) 🔹 مدت دوره: ۲۴ ساعت 🔹 سطح: پیشرفته 🔹 پیش‌نیاز: آشنایی با شبکه، سرویس‌ها، لاگ‌ها و حملات پایه 🔹 مدرس: مهندس آهنگری 🔹 هزینه: ۷,۰۰۰,۰۰۰ تومان 💡دوره «شکار تهدیدات با اسپلانک» با هدف آموزش عمیق و کاربردی فرآیند شناسایی، تحلیل، و مقابله با تهدیدات سایبری در بستر سازمانی طراحی شده است. شرکت‌کنندگان با استفاده از Splunk Enterprise Security و Search Processing Language (SPL)، داشبوردهای تعاملی، و مدل‌های یادگیری ماشین، توانایی ساختن سناریوهای شکار تهدید، تحلیل رفتار مهاجم، و شناسایی فعالیت‌های مشکوک را کسب خواهند کرد. 👥 این دوره مناسب است برای: – کارشناسان SOC – مدیران فنی SOC – کارشناسان پاسخ به تهدید – شکارچیان تهدید – مشاوران امنیت سایبری 📝 ثبت‌نام

Non-Malware and Living-off-the-Land Tactics in Modern Cyber Operations «حملات بدون بدافزار و بهره‌برداری از ابزارهای سیستمی در عملیات سایبری مدرن مهاجمان گاهی از ابزارهای قانونی سیستم (مثل PowerShell, certutil, regsvr32, mshta, PsExec, ProcDump) برای انجام کارهای مخرب استفاده می‌کنند تا ردپای بدافزار جدید نگذارند. مهاجم‌ها ممکن است بدافزار نسازند و به‌جای آن از ابزارهای قانونی سیستم استفاده ‌کنند. تمرکز ما باید روی «رفتار غیرعادی» این ابزارها باشد. تیم سورین

Non-Malware and Living-off-the-Land Tactics in Modern Cyber Operations «حملات بدون بدافزار و بهره‌برداری از ابزارهای سیستمی در عملیات سایبری مدرن مهاجمان گاهی از ابزارهای قانونی سیستم (مثل PowerShell, certutil, regsvr32, mshta, PsExec, ProcDump) برای انجام کارهای مخرب استفاده می‌کنند تا ردپای بدافزار جدید نگذارند. 🟠 اگر Alert دیدی: 1. Host / User / CommandLine / ParentProcess رو سریع ذخیره کن. 2. ببین اجرا در ساعات غیراداری بوده یا از یک دامنه/آی‌پی خارجی دانلود شده. 3. اگر دیدی: procdump روی lsass یا psexec اجرا شده → فوری escalate به T2. با دقت مانیتور کنید — رفتار ابزارهای قانونی می‌تونه نشانه حمله باشه، نه خودِ ابزار. 🔍

From a Single Click: How Lunar Spider Enabled a Near Two-Month Intrusion 📌 از یک کلیک تا نفوذ دو ماهه — گزارش جدید DFIR Report یک کلیک روی یک فایل ظاهراً بی‌خطر کافی بود: مهاجمان با ترکیبی از BruteRatel / Latrodectus / Cobalt Strike وارد شدند، credentialها (از جمله unattend.xml و LSASS) را سرقت کردند و با rclone/FTP داده‌ها را خارج کردند — تقریباً دو ماه در شبکه ماندند. ⚠️ نکات عملی — مناسب برای SOC : 🟠وجود پراسس هایی شبیه به lsassa.exe یا sihosts.exe با رفتارهایی مشابه rclone یا rclone-rename (sihosts.exe, sihosts/sihosts.exe) 🔵مشاهده Scheduled Task یا Run key جدید با مسیرهای غیرمعمول (%ALLUSERSPROFILE%\USOShared\lsassa.exe) 🟢دسترسی/dump به LSASS / اجرای ابزارهایی مثل Veeam-Get-Creds یا rclone 🔴ارتباطات HTTP/FTP نامتعارف به دامنه‌ها یا IPهای خارجی و الگوهای beacon با دورهٔ ثابت تیم سورین

Part 4: Building Effective Detection Rules این مقاله (Part 4: Building Effective Detection Rules) درباره‌ی چگونگی طراحی و نوشتن ;کوئری های شناسایی مؤثر در SOC است. نویسنده توضیح می‌دهد که یک قاعده خوب باید: ▪️بر رفتار مهاجم تمرکز کند نه شاخص‌های تغییرپذیر (مثل IP و هش). ▪️با چارچوب MITRE ATT&CK نگاشت شود تا جایگاهش در زنجیره حمله مشخص شود. ▪️تعداد False Positive‌ها را به حداقل برساند با استفاده از whitelisting و threshold. همچنین با مثال‌هایی در Sigma، Splunk (SPL) و KQL نشان می‌دهد چطور این قواعد نوشته می‌شوند. 💻 نمونه کوئری Splunk برای شناسایی دسترسی مشکوک به lsass.exe:

index=windows EventCode=4656 ObjectName="\\Device\\HarddiskVolume*\\lsass.exe" | stats count by Account_Name, Process_Name, Source_IP | where count > 5

⚠️ این کوئری تلاش‌های متعدد برای دسترسی به lsass.exe را نشان می‌دهد که می‌تواند نشانه‌ی Credential Dumping (T1003) باشد. تیم سورین

🌟سرفصل های دوره : Splunk Clustering & Administrator زمان دوره :‌۴۸ ساعت 1. Introduction 2. Deploying Splunk 3. Splunk Installation 4. Secure Splunk Enterprise 5. Manage Users & Roles 6. Monitoring Splunk 7. Licensing Splunk 8. Configuration File & Directory Structure 9. Manage indexes 10. Manage ClusterMaster & indexers 11. Create indexes.conf 12. Customize Limits.conf & Servers.conf & … 13. Introduction of Buckets 14. Manage Deployment Server 15. Configure Basic Forwarding 16. Configure data inputs 17. Configure Search head Cluster & Deployer 18. Install Splunk App & addons in cluster Structure 19. Add Users and Configure Roles in Cluster Structure 20. Configure Heavy Forwarder HA 21. Install & Configure Stream App 22. Splunk Multisite Structure 23. Splunk SmartStore Structure 👨‍🏫مدرس : احمرضا نوروزی (https://t.me/pigoparo) تیم سورین (https://t.me/hypersec)

🧩معرفی مخزن GitHub: Insider-Threat/Insider-Threat یک مخزن کاربردی و متمرکز برای راه‌اندازی یا تقویت «برنامه مقابله با تهدیدات داخلی» (Insider Threat). 🔎 چی داخل مخزن هست؟ - ماتریس بلوغ (Maturity Matrix) برای ارزیابی وضعیت کنونی برنامه - فهرست TTPها (رفتارها و تکنیک‌های مرتبط با تهدید داخلی) - لینک‌ها و منابع عملی برای مستندسازی و هماهنگی با بخش‌های HR/Legal 💡 چرا برای SOC مفیده؟ - سریع به‌عنوان قالب: ماتریس بلوغ رو برای شناسایی شکاف‌های مانیتورینگ، DLP و کنترل دسترسی استفاده کنید. - منبع TTP برای ساخت Hunt/Alert: رفتارهای فهرست‌شده را به قواعد SIEM/Splunk/EDR نگاشت کنید. - مرجع هماهنگی: موادِ Helpful Links کمک می‌کنند تا playbookها و فرآیندهای پاسخ‌دهی با HR و Legal هماهنگ شود. تیم سورین

🔎Countering EDRs With The Backing Of Protected Process Light (PPL) فرآيند Protected Process Light (PPL) یکی از مکانیزم‌های امنیتی ویندوزه که برای حفاظت از سرویس‌های حیاتی (مثل AV/EDR) طراحی شده است . اما محقق‌ها نشون دادن همین مکانیزم می‌تونه بر علیه خودش استفاده بشه: اگر مهاجم بتونه یک باینری امضاشده رو با سطح PPL اجرا کنه و ورودی/پارامترها رو کنترل کنه، قادر خواهد بود در مسیرهای محافظت‌شده‌ی AV بنویسه یا حتی فایل اجرایی EDR رو در زمان بوت جایگزین کنه. 📌نتیجه این میشه که ، EDR/AV قبل از بالا آمدن غیرفعال یا دستکاری می‌شه؛ درست با استفاده از سلاحی که برای محافظتش ساخته شده بود. این مقاله سناریوی عملی و PoC استفاده از ClipUp.exe به‌عنوان یک ابزار PPL برای نوشتن در مسیر Defender رو توضیح داده. برای SOC تیم‌ها، این یعنی نیاز فوری به: مانیتورینگ ProcessCreate با پرچم‌های ProtectedProcess Integrity Monitoring روی مسیرهای AV/EDR سخت‌گیری در Code Signing و WDAC/AppLocker 📰 متن کامل تیم سورین