Network Security Channel

⭕️ اگر علاقه مند به توسعه RootKit در محیط ویندوز هستید پروژه ای توسعه داده شده که به مطالعه آن میپردازیم. از ویژگی های این پروژه میتوان به موارد زیر اشاره کرد:

Kill processes ZwTerminateProcess is simply called from kernel land to terminate any process. Additionally, you can bury a process to avoid it to restart by setting a kernel callback to process creation: If the target process is created, Banshee will set the CreationStatus of the target process to STATUS_ACCESS_DENIED. Change protection levels This is done by modifying the EPROCESS structure, which is an kernel object that describes a processes attributes. It also holds a value that specifies the protection level of the process. We can directly modify this value (aka Direct Kernel Object Modification or DKOM), since we are operating in Ring 0. Elevate any process token to SYSTEM EPROCESS also holds a pointer to the current access token, so we can just make it point to e.g. the token of process 4 (SYSTEM) to elevate any process to SYSTEM Enumerating and erasing kernel callbacks For now, only Process- and Thread-Creation kernel callbacks are enumerated, by parsing the PsSetCreateNotifyProcess/ThreadRoutine routine to reach the private Psp* routine and then parsing the address of the array, where kernel callbacks are stored. Protecting the driver file By hooking the NTFS filesystem's IRP_MJ_CREATE handler, we can block any process from opening a handle to our driver file Hide Process by PID Again, EPROCESS comes to help here - it contains a LIST_ENTRY of a doubly linked list called ActiveProcessLink which is queried by Windows to enumerate running processes. If we simply unlink an entry here, we can hide our process from tools like Process Monitor or Task Manager.

#RedTeam #RootKit #MalDev @Engineer_Computer

#HTML #Smuggling Attack for #Bypass #SOC در مرکز عملیات امنیت، کارشناسان در تلاش هستند که بواسطه بررسی رویداد های مبتنی بر سیستم عامل و ارتباطات مبتنی بر شبکه، تهدیدات را شکار نمایند. همچنین بواسطه تکنولوژی DPI یا نظارت عمیق بر پکت ها، تیم امنیت دفاعی سعی خواهد کرد تا نوع ترافیک در جریان را تشخیص بدهد. ویژگی تکنیک HTML Smuggling این است که بر بستر ترافیک Legitimate یا مشروع، Stage های بد افزار را میتوان بصورت نا محسوس انتقال داد. مانند تصویر پست که Stage بدافزار را که مبتنی بر فایل فرمت PE است، اول Compress و Encrypt با رمز مشخص میکند و در ادامه بواسطه تکنیک Polyglot با یک فرمت غیر حساس مانند PNG ادغام میکند. این ادغام به این صورت است که امضای اول فایل PNG دست نخورده و در ادامه داده های Chunk که XOR شده مقادیر فرمت ZIP هستند را باز نویسی میکند. نهایتا فایل PNG در یک دامنه ای قرار گرفته و در یک صفحه HTML بواسطه جاوا اسکریت src شده و بر روی سیستم قربانی بارگزاری میشود. فایل HTML پایه میتواند بر روی CDN نیز قرار گرفته شده و IP خط کنترل و فرمان مهاجم نیز پنهان شود.

👹Malware Analysis Tools👾 Mindmap of links: Encoding/Decoding tools File Carving tools Memory Forensics Online scanners Malware analysis tools Debuggers/Decompliers 🔗https://malwareanalysis.tools/ #malware @Engineer_Computer

📕 ZTE F660 Routers Authentication Bypass Leading to RCE. این آسیب‌پذیری امکان دور زدن احراز هویت را فراهم می‌کند که منجر به اجرای کد از راه دور (RCE) در دستگاه‌های تولید شده بین سال‌های 2008 و 2013 می‌شود. 🔗 https://github.com/MaherAzzouzi/ZTE-F660-Exploit 📎 https://www.broadcom.com/support/security-center/attacksignatures/detail?asid=31294 @Engineer_Computer

🛑 CVE-2024-21413: Microsoft Outlook Information Disclosure Vulnerability (leak password hash) - Expect Script POC این یک آسیب‌پذیری مهم در Microsoft Outlook است که به مهاجمان اجازه می‌دهد اطلاعات حساس**، مثل **رمزهای عبور هش شده را افشا کنند. این آسیب پذیری دارای امتیاز CVSS 9.8 است که نشان دهنده یک خطر شدید است. ◼️مهاجمان می توانند از این آسیب پذیری برای موارد زیر سوء استفاده کنند: * رمزهای عبور هش شده** ذخیره شده در Outlook را سرقت کنید. * به سایر اطلاعات حساس دسترسی پیدا کنید. * بالقوه حملات بیشتری از جمله اجرای کد از راه دور را انجام دهید. ▫️**برای محافظت از خودت چه کاری میتوانی انجام دهی؟** 1️⃣به‌روزرسانی Microsoft Outlook : مایکروسافت یک به‌روزرسانی امنیتی برای رفع این آسیب‌پذیری در 14 فوریه 2024 منتشر کرد. مطمئن شوید که آخرین نسخه را نصب کرده اید. 2️⃣در رابطه با پیوندهای خارجی محتاط باشید : روی پیوندهای موجود در ایمیل های فرستنده ناشناس یا منابع مشکوک کلیک نکنید. 3️⃣احراز هویت چند عاملی را فعال کنید: این یک لایه امنیتی اضافی به حساب Outlook شما اضافه می کند. @Engineer_Computer

🚨CVE-2024-21410: 0day in MS Exchange, 9.8 rating 🔥 آسیب پذیری CVE-2024-21410 یک آسیب پذیری critical است که سرور Microsoft Exchange را تحت تأثیر قرار می دهد. این آسیب پذیری به مهاجم اجازه می‌دهد تا با انتقال هش‌های NTLM، که برای رمزهای عبور encrypted شده برای احراز هویت استفاده می‌شود، هویت هر کاربر را در سرور Exchange جعل کند که می تواند منجر به دسترسی غیرمجاز، سرقت داده یا privilege escalation شود. برای سوء استفاده از این آسیب‌پذیری، مهاجم باید به هش‌های NTLM یک کاربر معتبر دسترسی داشته باشد که می‌توان آن را با روش‌های مختلفی مانند فیشینگ، اسنیفینگ شبکه یا credential dumping به دست آورد. Search at Netlas.io: 👉🏻 Link: https://nt.ls/pR4S2 👉🏻 Dork: tag.name:"microsoft_exchange" Vendor's advisory: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-21410 #cve #vulenrability @Engineer_Computer

500 مستند نشت شده از شرکت چینی که به APT poison carp مرتبط هستند https://jupyter.securitybreak.io/ISOON_DataLeak_OCR_GenAI/ISOON_ChinLeaks.html @Engineer_Computer

⭕️باج افزار لاک بیت یک عدد 🦾 به FBI نشون داد و با دامنه و سرویس های جدید برگشت :))) @Engineer_Computer

💠Oh My Bash💠 فریمورک oh my bash مشابه oh my zsh برای شل بش. پلاگین‌ها و پرامپ‌های خوبی داره هرچند به فراوانی oh my zsh نیستن. به شخصه کانفیگ بش خودمو ترجیح می‌دم 😁 👉🔗 Oh My Bash #بش #معرفی @Engineer_Computer

توزیع فوق سبک DSL Damn Small Linux توزیعی بر پایه‌ی AntiX که خودش بر پایه دبیان است. استفاده از ویندومنیجرهای FluxBox و JWM. لیست ابزارهای پیش‌فرض که با سیستم نصب می‌شن رو توی سایت ببینید: 👉🔗 DSL این نسخه‌ی DSL از نسخه‌های قبلی به مراتب سنگین‌تره. نسخه کامل آنتیکس ۱.۷ گیگه ولی DSL اون رو سبک‌تر کرده و تقریبا حجم فایل ISO هم‌اندازه آرچ شده. #معرفی #لینوکس @Engineer_Computer

🔹دورکینگ چیست؟ گوگل دورکینگ تکنیکی است که برای جستجوی اطلاعات حساس در اینترنت استفاده می‌شود. این تکنیک بر پایه‌ی استفاده از عبارات جستجوی پیشرفته در موتور جستجوی گوگل استوار است. با استفاده از دورکینگ، افراد می‌توانند به طور موثر اطلاعاتی از جمله نام کاربری و رمزعبورها، اطلاعات شخصی، اسناد حساس و موارد دیگر را در اینترنت پیدا کنند که به طور عمومی در دسترس نیستند. مثال: برای پیدا کردن وب سرورهای ناامن و ضعیف:

intitle:"Welcome to Windows 2000 Internet Services"

پیدا کردن سایت‌هایی که امکان SQL Injection دارند:

inurl:index.php?id=

پیدا کردن صفحه‌های لوگین:

inurl:admin/login

پیدا کردن سرورهای FTP باز:

intitle:"index of" inurl:ftp

دورکینگ با تمام موتور‌های جستجو می‌تونه انجام بشه و هر موتور تکنیک‌های خودشو داره. سرچ‌های خیلی پیچیده‌تری هم می‌شه با تکنیک‌های دورکینگ انجام داد. دو تا لیست از منابع دورکینگ آخر پست می‌ذارم. 👉🔗 Dorks Collection List 👉🔗 Dorking DB #آموزش @Engineer_Computer

⭕️ یکی از تکنیک‌های MITRE ATT&CK که در تاکتیک Credential Access جای می‌گیرد، Forced Authentication است. از تکنیک جدیدی که می‌توان به منظور Forced Authentication بهره‌برداری نمود، و نیز از ابزار‌های پیشفرض Microsoft بوده و ذیل باینری‌های LOLBIN است، ابزار comp.exe است. این ابزار به منظور مقایسه فایل به شکل byte-to-byte استفاده می‌شود. یکی از قابلیت‌های این نرم‌افزار، دریافت و مقایسه یک فایل از SMB Share است. با توجه به اینکه می‌بایست احراز هویت در SMB را به منظور دریافت فایل انجام دهد، می‌توان NTLM Hash را با استفاده از یک Rogue SMB مانند Responder به سرقت برد. لینک مربوط به تکنیک در گیت‌هاب LOLBAS: https://github.com/LOLBAS-Project/LOLBAS/pull/341/files #Redteam #SMBhash #ForcedAuthentication @Engineer_Computer

Blue Team Techniques Detection Rules Development Framework https://ipurple.team/2024/02/21/detection-rules-development-framework Alerting/Detection Strategies Framework: https://github.com/palantir/alerting-detection-strategy-framework @Engineer_Computer