Cyber & Code

🚨 מתקפת סייבר חדשה: האקרים מנצלים קישורי הזמנה ישנים של דיסקורד! 🚨  🔹 מה קורה?  האקרים משתלטים על קישורי הזמנה שפג תוקפם או נמחקו, ומפנים משתמשים לשרתים מזויפים כדי לגנוב מידע.  🔹 איך הם תוקפים?  🕵️‍♂️ משתמשים בקישורים ישנים שעדיין מסתובבים ברשת.  🎭 מפנים את המשתמשים לשרת דיסקורד מזויף שמדמה שרת מוכר.  🔑 דורשים "אימות" כדי להיכנס לשרת.  💻 גורמים למשתמשים להפעיל פקודת PowerShell שמתקינה תוכנה זדונית.  🔹 המטרה של ההתקפה:  💰 גניבת ארנקי קריפטו וכספים  📂 גישה למסמכים ונתונים אישיים  🔒 שליטה מרחוק על מחשב הקורבן  🔹 איך הם עוקפים הגנות?  📌 מאחסנים את הקוד הזדוני ב-Pastebin ו-GitHub  🛡️ משתמשים בטכניקות התחמקות מתקדמות  🔹 איך תתגונן?  ✅ אל תלחץ על קישורים ישנים או לא מוכרים  🚫 אל תפעיל פקודות PowerShell ממקור לא מהימן  🔐 הפעל אימות דו-שלבי  🧰 עדכן תוכנות אנטי-וירוס והגנה באופן קבוע  🔗 מקור: The Hacker News  🛡️ רוצה לדעת איך להגן על עצמך ולהיות מעודכן?  👉 הצטרף לקהילת הסייבר שלנו כאן: https://t.me/CyberSecurityCoding  ⚠️ הסייבר נהיה מתוחכם יותר – הגן על עצמך ושתף חברים! ⚠️

כמובן! הנה הגרסה המעודכנת והמעוצבת עם קריאה לפעולה בסוף: 🚨 מתקפת סייבר חדשה: האקרים מנצלים קישורי הזמנה ישנים של דיסקורד! 🚨  🔹 מה קורה?  האקרים משתלטים על קישורי הזמנה שפג תוקפם או נמחקו, ומפנים משתמשים לשרתים מזויפים כדי לגנוב מידע.  🔹 איך הם תוקפים?  🕵️‍♂️ משתמשים בקישורים ישנים שעדיין מסתובבים ברשת.  🎭 מפנים את המשתמשים לשרת דיסקורד מזויף שמדמה שרת מוכר.  🔑 דורשים "אימות" כדי להיכנס לשרת.  💻 גורמים למשתמשים להפעיל פקודת PowerShell שמתקינה תוכנה זדונית.  🔹 המטרה של ההתקפה:  💰 גניבת ארנקי קריפטו וכספים  📂 גישה למסמכים ונתונים אישיים  🔒 שליטה מרחוק על מחשב הקורבן  🔹 איך הם עוקפים הגנות?  📌 מאחסנים את הקוד הזדוני ב-Pastebin ו-GitHub  🛡️ משתמשים בטכניקות התחמקות מתקדמות  🔹 איך תתגונן?  ✅ אל תלחץ על קישורים ישנים או לא מוכרים  🚫 אל תפעיל פקודות PowerShell ממקור לא מהימן  🔐 הפעל אימות דו-שלבי  🧰 עדכן תוכנות אנטי-וירוס והגנה באופן קבוע  🔗 מקור: The Hacker News  🛡️ רוצה לדעת איך להגן על עצמך ולהיות מעודכן?  👉 הצטרף לקהילת הסייבר שלנו כאן: https://t.me/CyberSecurityCoding  ⚠️ הסייבר נהיה מתוחכם יותר – הגן על עצמך ושתף חברים! ⚠️ רוצה שאעזור לך גם לעצב גרסה באנגלית או להכין פוסט לרשתות? 😎

הבעלים של הקהילה האקרים בישראל פתח מחדש פה

🔥 מצטרפים למהפכה של הסייבר! 🔥 📡 ברוכים הבאים ל־Hackers_6 — הארכיון הכי גדול וחזק בטלגרם 🇮🇱 לכל חובבי הסייבר, ההאקינג והאינטרנט 🌐💻 📁 טיפים, כלים, מדריכים, ואתגרים 👨‍💻 מתחילים ומתקדמים — כולם מוזמנים! 🧠 ידע = כוח. אצלנו זה בחינם 💥 הצטרפו עכשיו ותהיו חלק מקהילה חזקה 🚀 👉 https://t.me/Hackers_6

יWin11Debloat: הכלי שיחזק לכם את עמדת הווינדוס בעולם אבטחת המידע, הקטנת משטח התקיפה (Attack Surface Reduction) היא עיקרון בסיסי. כל תוכנה, שירות או פיצ'ר מיותר במערכת ההפעלה שלנו מהווה דלת פוטנציאלית לתוקפים. כאן נכנס לתמונה הכלי Win11Debloat – סקריפט PowerShell חזק שמאפשר לכל איש סייבר ואבטחת מידע "להקשיח" את מערכת ההפעלה Windows 11, להסיר רכיבים לא רצויים ולשפר את הפרטיות. מה זה Win11Debloat? יWin11Debloat הוא סקריפט קוד פתוח שנועד לבצע "ניקוי" עמוק למערכת ההפעלה Windows. הוא מאפשר להסיר בקלות אפליקציות מובנות (Bloatware), לנטרל מנגנוני טלמטריה ומעקב, ולהתאים אישית הגדרות מערכת בצורה שלא תמיד זמינה דרך הממשק הגרפי הרגיל. למה זה כלי חובה לאנשי סייבר? צמצום משטח התקיפה: הסקריפט מאפשר להסיר עשרות אפליקציות ותוכנות המגיעות עם Windows, שאינן נחוצות לרוב המשתמשים המקצועיים. פחות קוד שרץ במערכת = פחות חולשות פוטנציאליות. בין האפליקציות שניתן להסיר: Cortana, חבילת Bing, אפליקציות צד שלישי כמו TikTok, פייסבוק ועוד. הגברת הפרטיות (Hardening): אחת הפעולות החשובות ביותר שהכלי מבצע היא נטרול מנגנוני הטלמטריה של מיקרוסופט. הוא חוסם איסוף נתונים אבחוניים, היסטוריית פעילות, מעקב אחר אפליקציות ופרסומות ממוקדות. נטרול רכיבים "דברניים": הכלי מאפשר לנטרל ולהסיר לחלוטין את החיפוש של Bing, העוזרת Cortana ואפילו את Microsoft Copilot. רכיבים אלה יוצרים תעבורת רשת החוצה, ולעיתים קרובות אינם רצויים בסביבות מאובטחות. שליטה מלאה על המערכת: במקום לעבור בין עשרות מסכי הגדרות, הסקריפט מרכז את כל שינויי ה-Hardening החשובים במקום אחד. ניתן לבחור בדיוק אילו שינויים לבצע, החל מהסתרת ווידג'טים ועד החזרת תפריט ההקשר הקלאסי של Windows 10. פיצ'רים מרכזיים מנקודת מבט של אבטחת מידע: הסרת אפליקציות מערכת ואפליקציות צד ג': מסיר אפליקציות כמו Microsoft.Messaging, Microsoft.SkypeApp, Facebook, Netflix ועוד. נטרול טלמטריה ואיסוף נתונים: חוסם שליחת מידע לשרתי מיקרוסופט. כיבוי פרסומות והצעות: מונע הצגת תכנים שיווקיים במערכת ההפעלה, שיכולים להוות וקטור לפישינג. ביטול "הפעלה מהירה" (Fast Startup): מאפשר כיבוי מלא של המערכת, דבר שחשוב לעיתים בניתוח פורנזי או כדי להבטיח טעינה נקייה של דרייברים. איך משתמשים? השימוש פשוט למדי עבור קהל טכני. פותחים PowerShell עם הרשאות מנהל ומריצים את הפקודה הבאה: & ([scriptblock]::Create((irm "https://debloat.raphi.re/"))) הפקודה תוריד ותריץ את הגרסה העדכנית ביותר של הסקריפט. לאחר מכן, יוצג תפריט אינטראקטיבי שבו ניתן לבחור את הפעולות הרצויות. או דרך github https://github.com/Raphire/Win11Debloat.git חשוב לזכור: גיבוי ואחריות: למרות שהכלי נחשב יציב, תמיד מומלץ ליצור נקודת שחזור מערכת לפני ביצוע שינויים דרסטיים. השימוש הוא על אחריותכם בלבד. הפיכות: את רוב השינויים ניתן לבטל, ורוב האפליקציות ניתנות להתקנה מחדש דרך חנות Microsoft. לסיכום: יWin11Debloat הוא לא עוד "כלי ניקוי", אלא סכין שוויצרית חיונית עבור כל מי שלוקח את אבטחת המידע והפרטיות שלו ברצינות. הוא מאפשר להפוך את Windows 11 ממערכת הפעלה עמוסה ו"פטפטנית" לסביבת עבודה נקייה, מהירה ומאובטחת יותר. מומלץ בחום. אל תשכחו להצטרף לערוץ @CYBERSECURITYCODING לעוד תכנים מרתקים! 🚀

🚨🔥 Myth Stealer היא נוזקה חדשה מבוססת Rust שמכוונת לגיימרים 🎮💻  היא מופצת דרך אתרים מזויפים ותוכנות פרוצות, גונבת סיסמאות מכל הדפדפנים הגדולים ומתחזה לתוכנה לגיטימית 🕵️‍♂️🔑  🔍 מה קרה?  🔹 חוקרי אבטחת מידע חשפו את Myth Stealer, נוזקה שמופצת דרך אתרי משחקים מזויפים ותוכנות פרוצות 🎭🎯  🔹 הנוזקה מציגה חלון מזויף כדי להיראות לגיטימית, בזמן שהיא מפעילה קוד זדוני ברקע 🖥️💀  🔹 היא גונבת סיסמאות, קובצי Cookies ומידע אוטומטי מכל הדפדפנים הגדולים, כולל Chrome, Edge, Firefox ועוד 🔐🛡️  🔹 Myth Stealer התחילה כגרסה חינמית בטלגרם, אך הפכה לשירות בתשלום (MaaS) עם מנויים חודשיים ושבועיים 💰📲  🔹 מפיצי הנוזקה השתמשו בערוצי טלגרם כדי למכור חשבונות שנפרצו ולפרסם המלצות על השירות שלהם 📢📜  🔹 טלגרם סגרה את הערוצים הראשונים, אך המפעילים פתחו קבוצות חדשות להמשך הפעילות 🚫🔄  🔹 הנוזקה מתעדכנת באופן קבוע כדי להתחמק מזיהוי על ידי תוכנות אנטי-וירוס, ומוסיפה יכולות חדשות כמו צילום מסך וגניבת מידע מהלוח 📸📋  📜 לכתבה המלאה:  🔗 The Hacker News  📢 הצטרפו לקבוצה שלנו לדיונים ועדכונים על אבטחת מידע!  🔗 Cyber Security Coding  שמרו על עצמכם! 🛡️🚀

🚨 פרצת אבטחה בגוגל – סכנה ל-SIM Swap וגניבת חשבונות! 🚨  👨‍💻 איך זה קרה?  💾 גוגל שמרה טופס ישן לשחזור חשבון, שעבד גם בלי JavaScript – פרצה 💥  🔎 התוקף השתמש ב־Looker Studio כדי לחשוף שם משתמש 🎯  📱 גילה את שתי הספרות האחרונות של מספר הטלפון דרך מנגנון "שכחתי סיסמה" ☠️  ⚡ בעזרת ניסיונות ברוט-פורס מהירים התאפשר גילוי המספר המלא בתוך שניות 😱  🛡️ מה קרה מאז?  🔧 גוגל תיקנה את הפרצה ב־6 ביוני 2025 👏  💰 החוקר קיבל $5,000 על גילוי הפגם 🎉  📢 רוצים לדעת עוד על פרצות וסייבר?  הצטרפו לקבוצה שלנו👇  👉 https://t.me/CyberSecurityCoding  ⚠️ בעולם הדיגיטלי, צריך לשמור על ערנות! רוצה טיפים איך להגן על עצמך מפני תקיפות כאלה? 🔐🧐 לכתבה המלאה כאן 👇 https://thehackernews.com/2025/06/researcher-found-flaw-to-discover-phone.html

מעל 20 אפליקציות דיוג קריפטו נמצאו בחנות Play וגונבות ביטויים מנמוניים! 🚨  חוקרי אבטחת מידע חשפו למעלה מ-20 אפליקציות זדוניות בחנות Google Play, שמתחזות לארנקים קריפטוגרפיים לגיטימיים. 🕵️‍♂️💰  האפליקציות הללו נועדו לגנוב ביטויים מנמוניים - מפתח הגישה של המשתמשים לכספם הדיגיטלי. 🔑💸  📌 איך זה עובד?  האפליקציות מבקשות מהמשתמשים להזין את הביטוי המנמוני שלהם, לכאורה לצורך שחזור הארנק. בפועל, המידע נשלח לתוקפים, שמרוקנים את החשבונות! 😱  📌 איך להימנע?  ✅ הורידו אפליקציות רק ממקורות רשמיים ומאומתים.  ✅ בדקו ביקורות ודירוגים לפני התקנה.  ✅ לעולם אל תשתפו את הביטוי המנמוני שלכם עם אף אחד!  🔗 לקריאה נוספת:  הכתבה המלאה  🚀 הצטרפו לקבוצה שלנו לקבלת עדכונים על אבטחת מידע 👉 https://t.me/CyberSecurityCoding

אל תשכחו להצטרף לערוץ @CYBERSECURITYCODING לעוד תכנים מרתקים! 🚀

### 💣 CrackMapExec: מעבר לגילוי משאבים – טכניקות התקפיות מתקדמות אחרי שזיהינו משאבים משותפים והשגנו גישה מאומתת (במיוחד עם הרשאות גבוהות), CME הופך לסכין שווייצרית לשאיבת סודות והתפשטות ברשת: #### 📜 1. שפיכת מדיניות סיסמאות (`--pass-pol`) עם CME

crackmapexec smb 10.0.0.0/24 -u "Administrator" -p 'Aa123456!' --pass-pol

* מה זה עושה? CME ישלוף את מדיניות הסיסמאות מכל מחשב בטווח שהוא מצליח לאמת אליו. * היתרון של CME: במקום לבדוק כל מכונה בנפרד, CME אוסף את המידע הזה מכל הרשת ומציג אותו בצורה מרוכזת. זה מאפשר לתוקף להבין במהירות את רמת מורכבות הסיסמאות הנדרשת בדומיין ולתכנן התקפות Password Spraying או Brute Force ממוקדות יותר. #### 🤫 2. שפיכת סודות LSA (Dumping LSA Secrets) עם `-lsa` ב-CME

crackmapexec smb 10.0.0.5 -u "Administrator" -p 'Aa123456!' -lsa

* איך CME עושה את זה? לרוב, CME משתמש בטכניקות מתוחכמות כדי לגשת לזיכרון של תהליך ה-LSA (Local Security Authority) מרחוק ולקרוא את הסודות המאוחסנים בו. * מה רואים בפלט של CME? CME יציג את הסודות שמצא, כגון Cached Domain Credentials (MSCache/DCC2 Hashes), Service Account Passwords, DPAPI Master Keys, ו-NL$KM. הוא גם ישמור את הסודות האלה בקובץ לוג ייעודי. * המשמעות ההתקפית: Pass-the-Hash, תנועה רוחבית, פיצוח האשים אוף-ליין. #### 🗄 3. שפיכת מסד הנתונים SAM (Dumping SAM) עם `-sam` ב-CME

crackmapexec smb 10.0.0.5 -u "Administrator" -p 'Aa123456!' -sam

* איך CME עושה את זה? CME ניגש ל-Registry Hives הרלוונטיים (SAM, SYSTEM, SECURITY) מרחוק ומחלץ את ההאשים של המשתמשים המקומיים. * מה רואים בפלט של CME? CME יציג את שמות המשתמשים המקומיים וה-LM/NTLM hash שלהם. המידע נשמר גם בלוגים. * המשמעות ההתקפית: Offline Password Cracking, Pass-the-Hash עם האשים מקומיים. #### 👑 4. שפיכת קובץ NTDS.dit עם `--ntds` ב-CME זוהי אחת הפעולות החזקות ביותר ש-CME יכול לבצע, ודורשת אישורים של אדמין דומיין (או שוות ערך) נגד בקר דומיין (DC).

crackmapexec smb <DC_IP_Address> -u <DomainAdminUser> -p <Password> --ntds
# או עם האש:
# crackmapexec smb <DC_IP_Address> -u <DomainAdminUser> -H <NTLM_Hash> --ntds

* איך CME עושה את זה? CME משתמש בטכניקות כמו DRSUAPI או Volume Shadow Copy (VSS) כדי להעתיק את קובץ ה-NTDS.dit ואת ה-SYSTEM hive מבקר הדומיין. * מה מקבלים? CME יוריד את קובץ ה-NTDS.dit (המכיל את כל ההאשים של משתמשי הדומיין, כולל krbtgt) ואת ה-SYSTEM hive למחשב שלכם. לדוגמה, בפלט תוכלו לראות האשים עבור משתמשים כמו MYDOMAIN\User.Name. * המשמעות ההתקפית: Offline Extraction and Cracking של כל האשי הדומיין, Golden Ticket Attack. #### 🚀 5. הרצת פקודות ומודולים נוספים עם CME ברגע ש-CME מאמת בהצלחה מול מכונה, הוא יכול לשמש כפלטפורמה להרצת פקודות או מודולים נוספים: * הדגל `-x <COMMAND>` או `--exec-method`: מאפשר להריץ פקודות ישירות על המכונות המאומתות.

    crackmapexec smb 10.0.0.0/24 -u "Administrator" -p 'Aa123456!' -x "whoami"
    

* מודולים (`-M <MODULE_NAME>`): ל-CME יש מערכת מודולים עשירה (למשל, metinject, empire_inject, mimikatz, get-sid). השילוב של גילוי משאבים משותפים, גניבת אישורים, והיכולת להריץ פקודות מרחוק הופכים את CME לכלי All-in-One מפחיד בידיים הנכונות. --- ###🛡 אסטרטגיות הגנה ומניעה: איך מתגוננים? 1. עקרון ההרשאות המינימליות (Least Privilege) על משאבים משותפים. 2. סקירה קבועה של תצורות שיתוף. 3. הגבלת הגישה למשאבים ניהוליים (ADMIN$, C$). 4. ניטור גישה למשאבים ולקבצים רגישים (SIEM). 5. הגנה על אישורים (Credentials): אין סיסמאות בטקסט רגיל, מדיניות חזקה, LAPS. 6. הקשחת מערכות והגנה מפני שפיכת סודות: עדכונים, Credential Guard. 7. Segmentaion (פילוח רשת). --- ### 📝 סיכום ומסקנות CrackMapExec הוא כלי רב עוצמה שמשנה את כללי המשחק בכל הנוגע לגילוי משאבים משותפים ברשת, איסוף אישורים, והתקפות נרחבות על סביבות Active Directory. היכולת שלו לפעול במהירות על פני רשתות גדולות, יחד עם המודולים המגוונים והתמיכה בטכניקות התקפיות מתקדמות, הופכים אותו לחובה בארגז הכלים של כל בודק חדירות – ולכלי שכל צוות הגנה חייב להכיר ולהבין כיצד להתגונן מפניו. ⚔️ הבנת היכולות של CME היא צעד קריטי בחיזוק האבטחה שלכם. אם אתם יודעים איך התוקף חושב ופועל, אתם יכולים להיות צעד אחד לפניו. 💪 מקווה שההתמקדות הזו ב-CrackMapExec והשינויים במינוח סיפקו לכם ערך מוסף והעשירו את הידע שלכם! שאלות? הערות? רעיונות לפוסטים נוספים? שתפו אותי בתגובות! 👇

📁🕵️‍♂️ גילוי משאבים משותפים ברשת עם CrackMapExec (CME) – המפתח לממלכת ה-AD! 🕵️‍♀️📁 היום נצלול לעומק של אחת הטכניקות הבסיסיות אך הקריטיות ביותר בשלבי איסוף המודיעין (Reconnaissance) והתנועה הרוחבית (Lateral Movement) בסביבות Active Directory (AD) – גילוי משאבים משותפים ברשת (באנגלית: Share Enumeration). נבין מה זה, למה זה כל כך חשוב, נכיר כלים, ונתמקד במיוחד בכלי העל CrackMapExec (CME) – איך הוא הופך את התהליך הזה (ועוד הרבה יותר) למגרש משחקים של ממש לתוקפים (וגם כלי חיוני למגנים שמבינים את האויב!). 🛡⚔️ --- ### 🧐 רקע תיאורטי: מה זה בכלל גילוי משאבים משותפים ברשת? במילים פשוטות, גילוי משאבים משותפים ברשת הוא תהליך של איתור, זיהוי וניתוח של תיקיות, מדפסות ומשאבים אחרים הזמינים לשיתוף ברשת של ארגון, במיוחד כזו המנוהלת על ידי Active Directory. משאבים משותפים אלו יכולים להכיל מידע רגיש, קבצי תצורה, סקריפטים, גיבויים, ולפעמים אפילו אישורים (credentials) או סודות אחרים. 😬 איפה זה יכול לסייע (לתוקף)? 😈 * איסוף מודיעין (Reconnaissance): הבנת מבנה הרשת, זיהוי שרתים חשובים. * איתור מידע רגיש: חיפוש אחר קבצים עם סיסמאות, מידע פיננסי וכו'. 📄💰 * השגת דריסת רגל או הרחבתה: ניצול משאבים משותפים עם הרשאות כתיבה חלשות. 🐛 * תנועה רוחבית (Lateral Movement): גישה למשאבים במחשבים אחרים. ➡️💻➡️🎯 * הסלמת הרשאות (Privilege Escalation): ניצול קבצים במשאבים משותפים להרצת קוד בהרשאות גבוהות. 🚀 מה ההשלכות בהבטחת מידע? 🛡 חשיפה של משאבים משותפים שלא לצורך, או עם הרשאות רחבות מדי, מאפשרת לתוקפים: למפות את הרשת, לגנוב מידע, להפיץ נוזקות, ולהגיע למערכות קריטיות. --- ### 🛠 פרקטיקה: כלים וטכניקות – עם דגש מיוחד על CrackMapExec! #### 📊 1. כלים מובנים – הצצה ראשונית (Windows GUI) בקצרה, לפני שנצלול ל-CME: * "מנהל השרת" (Server Manager): מאפשר למנהלי מערכת לראות משאבים משותפים מוגדרים כמו NETLOGON ו-SYSVOL בבקרי דומיין. * "ניהול המחשב" (Computer Management): מציג משאבים משותפים פעילים במחשב ספציפי, כולל כאלו המוגדרים כברירת מחדל ומשמשים לניהול כמו ADMIN$, C$, ו-IPC$. אלו כלים טובים להבנה בסיסית, אבל עבור פעולות התקפיות נרחבות, אנחנו צריכים משהו חזק יותר... וזה המקום שבו CrackMapExec נכנס לתמונה בגדול! #### 🔥 2. CrackMapExec (CME) – מפלצת הרשת בפעולה! CrackMapExec (CME) הוא לא סתם עוד כלי; הוא ארסנל שלם לבדיקות חדירות ברשתות Windows. הוא כתוב בפייתון, מהיר להפליא, ומצטיין בביצוע פעולות על פני מספר רב של מחשבים בו-זמנית. כשמדובר באינטראקציה עם פרוטוקול SMB (הבסיס לשיתוף משאבים ב-Windows), CME הוא מלך אמיתי. 👑 * למה CME כל כך חזק? * מהירות ויעילות: סורק רשתות גדולות במהירות. * אימות גמיש: תומך בהאשים (Pass-the-Hash), מפתחות Kerberos, בנוסף לשם משתמש וסיסמה. * מודולריות: מכיל מגוון רחב של מודולים מובנים לפעולות ספציפיות. * פלט ברור ומאורגן: מקל על ניתוח התוצאות. * סריקת SMB בסיסית עם CME: לפני שמגלים משאבים, בודקים אם SMB בכלל זמין:

    crackmapexec smb 10.0.0.5  # החלף בכתובת היעד
    

הפלט יאשר אם SMB פעיל, גרסת מערכת ההפעלה, שם המחשב, והדומיין. אם קיבלתם (Pwn3d!) ליד שם הפרוטוקול, זה אומר שלמשתמש הנוכחי (או לאישורים שסיפקתם) יש הרשאות אדמין על היעד! 🎉 * גילוי משאבים משותפים עם אימות באמצעות CME: כאן מתחיל הכיף האמיתי. נניח שהשגנו אישורים (למשל, Administrator עם הסיסמה Aa123456!):

    crackmapexec smb 10.0.0.5 -u "Administrator" -p 'Aa123456!' --shares
    

מה אנחנו רואים בפלט? CME יתחבר למחשב היעד וירשום את כל המשאבים המשותפים הזמינים. ליד כל משאב, הוא יציין את הרשאות הגישה של המשתמש שסיפקנו: * READ: ניתן לקרוא קבצים ותיקיות במשאב המשותף. חפשו קבצי תצורה, סקריפטים, מידע רגיש! 📄 * WRITE: ניתן לכתוב/לשנות/למחוק קבצים במשאב המשותף. זהב! 🌟 אפשר להעלות כלים, נוזקות, או לשנות קבצים קיימים. * DELETE: ניתן למחוק קבצים. דוגמאות למשאבים נפוצים שתראו: ADMIN$, C$, NETLOGON, SYSVOL, ותיקיות משותפות ייעודיות (Public, Scans וכו'). אם תראו (Pwn3d!) ליד שם המחשב, זה אומר שהאישורים שסיפקתם הם של אדמין מקומי על המכונה. * גילוי משאבים משותפים בטווח כתובות עם CME: הכוח האמיתי של CME מתגלה כשעובדים מול רשת שלמה:

    crackmapexec smb 10.0.0.0/24 -u "Administrator" -p 'Aa123456!' --shares
    

CME יסרוק את כל טווח ה-IP שצוין (בדוגמה זו, 254 כתובות פוטנציאליות), ינסה לאמת מול כל מחשב עם האישורים שסופקו, ויציג את המשאבים וההרשאות לכל מכונה שענתה והצליחה לאמת. זהו כלי ריגול רשתי יעיל להפליא! 🗺 ---

🚨 אזהרה: פרצת אבטחה חדשה בדפדפן Chrome מנוצלת באופן פעיל!  🛑 גוגל תיקנה את CVE-2025-5419 – פגיעות חמורה במנוע V8, שהתגלתה על ידי קבוצת ניתוח האיומים של החברה.  ⚠️ תוקפים כבר מנצלים את הפרצה באמצעות עמודי HTML זדוניים, מה שעלול לחשוף אתכם לסיכון גבוה!  💻 מה ההשלכות של הפרצה?  🔴 גניבת מידע אישי – התוקפים יכולים לגשת לפרטים רגישים כמו סיסמאות ופרטי בנק.  🔴 השתלטות על מחשבכם – הפגיעות מאפשרת לתוקפים להריץ קוד זדוני מרחוק ולהשתלט על המערכת.  🔴 הפניות לאתרים מסוכנים – עמודים נגועים עלולים להטעות אתכם ולהוביל אתכם לאתרים מזויפים שמנסים לגנוב מידע.  🔴 פעילות סמויה – מחשבכם עלול להידבק בתוכנות ריגול ורוגלות שפועלות בלי שתשימו לב.  ✅ איך להגן על עצמכם?  🟢 עדכנו מיד את Google Chrome לגרסה האחרונה!  🟢 הימנעו מלחיצה על קישורים חשודים ואתרים מפוקפקים.  🟢 השתמשו באנטי-וירוס מעודכן ואימות דו-שלבי כדי לחזק את ההגנה.  🔗 לקריאה נוספת: כאן  🛠️ הצטרפו לקהילת אבטחת הסייבר: CyberSecurityCoding 💡📢

🔒🚀 עדכון אבטחה בלינוקס! 🔥🔍  שני חולשות חדשות שהתגלו בלינוקס מאפשרות לתוקף מקומי לגשת ל-password hashes מקובץ ‎/etc/shadow דרך core dump. 📂⚠️ 💀 CVE-2025-5054 – מנצל את מנגנון Apport באובונטו כדי לקרוס תהליך עם הרשאות גבוהות ולקרוא נתונים מזיכרון.  💀 CVE-2025-4598 – חולשה ב-systemd-coredump, שמאפשרת לתוקף לנצל תהליך SUID ולגשת למידע רגיש.  🛠️ פתרונות מומלצים:  ✅ עדכון המערכת כדי לתקן את החולשות. ✅ פתרון זמני למנוע יצירת core dumps לתהליכי SUID עם הפקודה:     echo 0 > /proc/sys/fs/suid_dumpable 📢 הצטרפו לקבוצת הסייבר בטלגרם! 💻🔐  לקבלת עדכונים נוספים על חולשות ואבטחת מידע, הצטרפו לקבוצת Cyber Security & Coding בטלגרם:  ➡️ https://t.me/CyberSecurityCoding 🚀🔥

* Get-NetOU 📌 * מה זה עושה: מציג את כל היחידות הארגוניות (OUs) בדומיין. * מחשבות של תוקף 🤔😈: "איך הדומיין מאורגן? היחידות הארגוניות יכולות לרמז על מבנה החברה ועל מיקום של מידע חשוב. גם המדיניות (GPOs) מוחלת לרוב על יחידות ארגוניות." * Find-LocalAdminAccess 📌 * מה זה עושה: (דורש הרשאות מתאימות) מנסה למצוא על אילו מחשבים ברשת יש למשתמש הנוכחי הרשאות מנהל מקומי. * מחשבות של תוקף 🤔😈: "אם כבר יש לי גישה כלשהי, איפה עוד אני יכול להיות מנהל מקומי? זה עוזר לי להתפשט ברשת." * Invoke-ShareFinder 📌 * מה זה עושה: (דורש הרשאות מתאימות) מאתר תיקיות שיתוף נגישות ברשת. * מחשבות של תוקף 🤔😈: "האם יש תיקיות שיתוף פתוחות עם מידע רגיש? קבצי הגדרות? אולי אפילו סיסמאות?" * Get-NetGPOLocalGroup 📌 * מה זה עושה: מחפש מדיניות (GPOs) שמוסיפה משתמשים או קבוצות לקבוצות מנהלים מקומיות במחשבים. * מחשבות של תוקף 🤔😈: "האם המדיניות נותנת בטעות הרשאות מנהל מקומי למשתמשים 'רגילים' על מחשבים מסוימים? זו דרך מצוינת לקבל הרשאות גבוהות יותר." 📊 דוגמת פלט של פקודת `Get-NetDomain`:

PS C:\Users\SomeUser\Downloads> Import-Module .\PowerView.ps1
PS C:\Users\SomeUser\Downloads> Get-NetDomain

Forest                   : securenet.local
DomainControllers        : {DC01.securenet.local}
Children                 : {}
DomainMode               : Windows2016Server
DomainModeLevel          : 7
Parent                   :
PdcRoleOwner             : DC01.securenet.local
RidRoleOwner             : DC01.securenet.local
InfrastructureRoleOwner  : DC01.securenet.local
Name                     : securenet.local

* Forest: זהו השם של סביבת ה-AD המורחבת אליה הדומיין הנוכחי (securenet.local) שייך. * DomainControllers: רשימת השרתים המרכזיים של הדומיין הזה (בדוגמה, DC01.securenet.local). * PdcRoleOwner: מציין איזה שרת מרכזי אחראי על פעולות חשובות כמו סנכרון שעונים ואימות שינויי סיסמאות. 📝 סיכום: להכיר את סביבת ה-Active Directory לעומק, בין אם בעזרת כלים מובנים של Windows או כלים מתקדמים כמו PowerView, זה כישרון חיוני. למי שמגן על הרשת, זה המפתח להבנה טובה של הנכסים שלו, לאיתור חולשות ולתיקונן. למי שתוקף, זהו השלב הראשון והחשוב ביותר באיסוף מידע, זיהוי מטרות ותכנון התקיפה. החוכמה היא לא רק להריץ פקודות, אלא לדעת אילו שאלות לשאול, איך להבין את התשובות, ואיך לחבר את כל החלקים לתמונה אחת גדולה שתעזור להשיג את המטרה. 🚀 מקווה שההסבר הזה היה ברור ומועיל! יש לכם שאלות? רוצים שנדבר על טכניקות נוספות? שתפו בתגובות! 👇 אל תשכחו להצטרף לערוץ @CYBERSECURITYCODING לעוד תכנים מעשירים בתחום! 📢

4. רשימות משתמשים (User Enumeration) באמצעות שאילתות LDAP 🕵️‍♀️: תוקפים (וגם בודקי חדירות) משתמשים בפרוטוקול שנקרא LDAP כדי "לשאול" את ה-AD שאלות ולקבל מידע. הם יכולים לקבל רשימות של משתמשים, כתובות מייל, מספרי טלפון, למי הם כפופים, באילו קבוצות הם חברים ועוד. מידע זה משמש ל: * אימות שמות משתמשים: לפני התקפות ניחוש סיסמאות. * איסוף מידע להתקפות דיוג (Phishing): כדי שההתקפה תיראה אמינה יותר. * איתור חשבונות "מעניינים": כמו חשבונות של מנהלים או בעלי תפקידים חשובים. 5. ניתוח מדיניות קבוצתית (Group Policy Analysis) 🧐: לא מספיק רק לקרוא את ההגדרות. חשוב להבין איך המדיניות מיושמת בפועל: * על מי היא חלה?: על אילו קבוצות של משתמשים או מחשבים (OUs – יחידות ארגוניות) המדיניות הזו משפיעה? * האם ניתן לעקוף אותה?: האם יש הגדרות שמונעות ממנה לחול, או להיפך – כאלו שכופות אותה? הגדרות לא נכונות כאן יכולות ליצור פרצות אבטחה. 🛠 פרקטיקה: PowerView – כלי עזר חזק מאוד! 🛠 לאסוף את כל המידע הזה באופן ידני לגמרי יכול לקחת המון זמן. כאן נכנס לתמונה PowerView, שהוא סקריפט PowerShell (שפת סקריפטים של Windows) חזק מאוד. הוא חלק מחבילת כלים שנקראת PowerSploit. PowerView הוא כמו "אולר שווייצרי" לאיסוף מידע וניצול חולשות ב-AD. * מה זה PowerView? זהו כלי שמאפשר לשאול שאלות מורכבות וממוקדות על ה-Active Directory ולקבל תשובות מפורטות על משתמשים, קבוצות, מחשבים, מדיניות, הרשאות ועוד. הוא מאוד פופולרי גם אצל תוקפים וגם אצל מגינים שרוצים לבדוק את הרשת שלהם. * איך PowerView עוזר לתקוף (או לבדוק את החוזק של הרשת)? * מיפוי מהיר ומקיף: עוזר לקבל תמונה רחבה של מבנה הדומיין והסביבה הכוללת של ה-AD. * זיהוי דרכי תקיפה: עוזר למצוא חשבונות עם הרשאות גבוהות, מחשבים פגיעים והגדרות לא בטוחות. * הערכת אפשרויות לקבלת הרשאות גבוהות יותר: מראה איך אפשר להתחיל עם הרשאה נמוכה ולהגיע להרשאות של מנהל רשת. * אוטומציה של שאלות מורכבות: חוסך זמן ומאפשר להתרכז בניתוח התוצאות. 📜 פקודות נפוצות ב-PowerView (ומה תוקף חושב כשהוא מריץ אותן): לפני השימוש, בדרך כלל טוענים את הסקריפט עם הפקודה: Import-Module .\PowerView.ps1 * Get-NetDomain 📌 * מה זה עושה: מציג מידע כללי על הדומיין הנוכחי. * מחשבות של תוקף 🤔😈: "מה שם 'מגרש המשחקים' שלי? לאיזו סביבת AD מורחבת (Forest) הדומיין הזה שייך? מהי רמת התפקוד הטכנית של הדומיין (Domain Mode)? – כל זה יכול לעזור לי לבחור איך לתקוף." * Get-NetDomainController 📌 * מה זה עושה: מציג רשימה של כל השרתים המרכזיים של הדומיין (Domain Controllers). * מחשבות של תוקף 🤔😈: "מי השרתים הכי חשובים פה? מה כתובת ה-IP ומערכת ההפעלה שלהם? מי מהם מחזיק בתפקידים מרכזיים (FSMO roles), במיוחד זה שאחראי על סיסמאות (PDC Emulator)?" * Get-NetUser 📌 * מה זה עושה: מציג רשימה של כל המשתמשים בדומיין (אפשר לסנן את הרשימה). * מחשבות של תוקף 🤔😈: "תן לי רשימה של כל המטרות האפשריות. אני יכול לחפש תיאורים מעניינים בשמות המשתמשים, חשבונות של שירותים, או כאלה שהסיסמה שלהם אף פעם לא פגה." * Get-NetUser -Identity <username> 📌 * מה זה עושה: מציג פרטים על משתמש ספציפי. * מחשבות של תוקף 🤔😈: "בוא נבדוק לעומק את המשתמש הזה. לאילו קבוצות הוא שייך? מה המספר המזהה הייחודי שלו (SID)? מתי הוא התחבר לאחרונה?" * Get-DomainPolicy 📌 * מה זה עושה: מציג את מדיניות הדומיין (לגבי סיסמאות, נעילת חשבונות וכו'). * מחשבות של תוקף 🤔😈: "מה החוקים פה? מה המדיניות לגבי סיסמאות (אורך, מורכבות, תוקף)? מה קורה אם טועים בסיסמה? זה מידע קריטי לתכנון התקפות של ניחוש סיסמאות." * Get-NetGroup 📌 * מה זה עושה: מציג את כל הקבוצות בדומיין (אפשר לסנן). * מחשבות של תוקף 🤔😈: "אילו 'מועדונים' קיימים פה? מי חבר בקבוצות של מנהלים? האם יש קבוצות עם שמות מעניינים (למשל, 'גישה מרחוק למפתחים')?" * Get-NetGroupMember -Identity "Domain Admins" 📌 * מה זה עושה: מציג מי חבר בקבוצה מסוימת (לדוגמה, "Domain Admins"). * מחשבות של תוקף 🤔😈: "רשימת הזהב! מי האנשים שמחזיקים במפתחות לממלכה? אלו המטרות העיקריות שלי כדי לקבל הרשאות מלאות." * Get-NetComputer 📌 * מה זה עושה: מאתר מחשבים בדומיין (אפשר לסנן לפי מערכת הפעלה, תפקיד וכו'). * מחשבות של תוקף 🤔😈: "אילו מכונות יש ברשת? האם יש שרתים חשובים (שרתי קבצים, בסיסי נתונים)? תחנות עבודה של מנהלים? האם יש מערכות הפעלה ישנות שאולי קל לפרוץ אליהן?"

🕵️‍♂️🏢 Active Directory: כך תכירו את הרשת הארגונית לעומק! 🏢🕵️‍♂️ היום נדבר על משהו שנמצא כמעט בכל ארגון גדול – מערכת ה-Active Directory, או בקיצור AD. נבין איך אפשר ללמוד עליה הרבה פרטים בצורה יסודית, למה זה חשוב לאבטחה, ואיך תוקפים יכולים להשתמש במידע הזה. קדימה, מתחילים! 🤔 מה זה אומר "לאסוף מידע" על Active Directory? דמיינו את ה-AD כמו מפה ענקית של הרשת הארגונית. היא מכילה מידע על כל המשתמשים, המחשבים, הקבוצות, ההרשאות ועוד. "לאסוף מידע" (באנגלית: Enumeration) זה בעצם לחקור את המפה הזאת צעד אחר צעד. במקום להסתמך רק על כלים אוטומטיים שנותנים לנו המון מידע בבת אחת (ולפעמים מפספסים דברים קטנים), אנחנו מנסים להבין את הפרטים לעומק, לראות איך הדברים קשורים אחד לשני, וליצור תמונה מלאה ומדויקת של המערכת. זה כמו עבודת בילוש 🕵️‍♂️ – אוספים רמזים קטנים כדי להבין את התמונה הגדולה. 🛡 למה זה כל כך חשוב לאבטחת מידע? הבנה טובה של ה-AD היא קריטית גם למי שמגן על הרשת וגם למי שמנסה לתקוף אותה: * לצוותי הגנה 🛡: * להכיר את השטח: לדעת בדיוק מי נמצא ברשת, אילו חשבונות פעילים, למי יש הרשאות מיוחדות, והאם יש הגדרות לא נכונות שצריך לתקן. * למצוא חולשות: לאתר חשבונות עם סיסמאות חלשות, הרשאות גבוהות מדי שלא לצורך, ומדיניות אבטחה שאפשר לשפר. * להקטין סיכונים: ידע זה עוזר לחזק נקודות תורפה לפני שתוקפים ימצאו אותן. * לצוותי תקיפה (וגם לפושעי סייבר 😈): * איסוף מודיעין: זה השלב הראשון והחשוב ביותר. ככל שיש להם יותר מידע על היעד, כך התקיפה שלהם יכולה להיות יותר מתוחכמת ומוצלחת. * איתור מטרות: למצוא חשבונות עם הרשאות גבוהות (כמו מנהלי רשת ראשיים – Domain Admins), שרתים חשובים, ודרכים לקבל הרשאות גבוהות יותר (באנגלית: Privilege Escalation). * הבנת ההגנות: ללמוד על מדיניות הסיסמאות ועל אמצעי האבטחה הקיימים כדי לנסות לעקוף אותם. * תכנון התקיפה: לבנות תוכנית תקיפה מבוססת על המידע שאספו. בקיצור, ידע זה כוח! 💪 ובהקשר של AD, הידע הזה יכול לעשות את ההבדל בין רשת בטוחה לרשת חשופה לפריצות. 🎯 על מה מסתכלים כשרוצים לאסוף מידע (מה התוקף מחפש?) כשאוספים מידע על AD, יש כמה דברים מרכזיים שמעניינים במיוחד: 1. חשבונות משתמשים והרשאות שלהם 👑: * מי המשתמשים?: שמות, תיאורים (שיכולים לרמז על תפקידם), מתי השתמשו בחשבון בפעם האחרונה, והאם החשבון עדיין פעיל. * חשבונות מיוחדים: חשבונות שמשמשים תוכנות ושירותים (Service Accounts), חשבונות ניהול, וחשבונות שהסיסמה שלהם אף פעם לא פגה או שלא צריך סיסמה בכלל. * חברות בקבוצות חשובות: מי חבר בקבוצות כמו Domain Admins (מנהלי הדומיין הראשיים), Enterprise Admins (מנהלי כלל הדומיינים בארגון), Administrators (מנהלים), ועוד. מי שנמצא בקבוצות כאלו הוא כמו מי שמחזיק במפתחות לכל הדלתות. * הרשאות לא רגילות: האם למשתמש "פשוט" יש הרשאות מיוחדות על חשבונות אחרים או על קבצים חשובים? 2. מדיניות קבוצתית (Group Policies - GPOs) 📜: אלו חוקים והגדרות שהארגון קובע למשתמשים ולמחשבים. תוקפים בודקים: * מדיניות סיסמאות: מה האורך המינימלי לסיסמה? האם היא צריכה להיות מורכבת? כל כמה זמן צריך להחליף אותה? מה קורה אם טועים בסיסמה כמה פעמים? מידע זה עוזר לתכנון התקפות ניחוש סיסמאות. * הגדרות אבטחה: הגדרות של בקרת חשבון משתמש (UAC), מי רשאי להתחבר לאן, אילו תוכנות מותר או אסור להריץ. * סקריפטים וקבצים: האם המדיניות מריצה סקריפטים אוטומטיים בהתחברות? האם יש קבצים שמכילים סיסמאות שמורות (פגיעות ישנה אך עדיין אפשרית)? * מי יכול לשנות מדיניות?: אם תוקף מצליח לשנות מדיניות, הוא יכול לגרום נזק רב. 3. יחסי אמון בין דומיינים (Trust Relationships) 🤝: בארגונים גדולים, לפעמים יש כמה דומיינים (אזורי רשת) נפרדים שצריכים "לדבר" אחד עם השני. ה-Active Directory מנהל את הקשרים האלה. * מבנה הסביבה המורחבת של ה-AD: חשוב להבין אם יש דומיינים נוספים שקשורים לדומיין הראשי. המבנה הכולל הזה, שמכיל את כל הדומיינים הקשורים, נקרא באנגלית "Forest". * סוג הקשר: האם הקשר הוא חד-כיווני או דו-כיווני? האם הוא מאפשר גישה רחבה? קשרים אלו יכולים לאפשר לתוקף לעבור מדומיין אחד לאחר אם הצליח לפרוץ לאחד מהם.

המעבר ל-Kerberos: במידת האפשר, המטרה היא לעבור לאימות מבוסס Kerberos ולהשבית את NTLM כליל. הגבלת NTLM באמצעות Group Policy: אם לא ניתן להשבית לחלוטין (בגלל תאימות לאחור), ניתן להגביל את השימוש ב-NTLM דרך מדיניות קבוצתית (GPO). אפשר לאסור NTLM עבור משתמשים מסוימים, מחשבים, או מול שרתים מסוימים. שימוש ב-NTLMv2 בלבד: ודאו שהרשת שלכם מאפשרת ומחייבת שימוש ב-NTLMv2 (שהוא מאובטח יותר מ-NTLMv1 ו-LM). הפעלת EPA (Extended Protection for Authentication): מנגנון זה עוזר להגן מפני התקפות Relay על ידי קשירת ערוץ התקשורת לאימות. הפעלת SMB Signing: מחייב חתימה דיגיטלית על כל הודעות SMB, מה שמקשה מאוד על התקפות Relay המנצלות את פרוטוקול SMB. יכולה להיות פגיעה קלה בביצועים, אך התועלת האבטחתית גדולה. מדיניות סיסמאות חזקה: ככל שהסיסמאות חזקות יותר (ארוכות, מורכבות, ייחודיות), כך קשה יותר לפצח את ה-NTLM Hashes שלהן. ניטור וזיהוי (Monitoring & Detection): נטרו לוגים של אימות (Event ID 4624 עם Logon Type 3 ו-Authentication Package NTLM) כדי לזהות שימוש חריג או ניסיונות התקפה. כלים כמו Microsoft Defender for Identity (לשעבר ATA) יכולים לסייע בזיהוי התקפות מבוססות NTLM. הקשחת תחנות קצה ושרתים: הגבילו הרשאות אדמין מקומי, השתמשו ב-Credential Guard (במערכות תומכות) כדי להגן על Credentials בזיכרון. 📝 סיכום ביניים – NTLM: NTLM הוא פרוטוקול ותיק שסחב אותנו שנים רבות, אך כיום הוא נחשב למיושן ובעל חולשות משמעותיות. למרות זאת, הוא עדיין קיים ברשתות רבות ויש להכיר את אופן פעולתו ואת הסיכונים הכרוכים בו. המגמה הברורה היא מעבר לפרוטוקולים מודרניים ומאובטחים יותר כמו Kerberos, אך כל עוד NTLM בסביבה, חיוני להגן עליו ככל הניתן. במאמר הבא בסדרה, נצלול לעומק של Kerberos! הצטרפו לערוץ @CYBERSECURITYCODING לעוד תכנים מרתקים ! 🚀

אין אימות הדדי כברירת מחדל (ב-NTLMv1): הלקוח מאמת את עצמו לשרת, אך השרת לא בהכרח מאמת את עצמו ללקוח. זה פותח פתח להתקפות "אדם בתווך" (Man-in-the-Middle - MitM) בהן תוקף יכול להתחזות לשרת לגיטימי. (NTLMv2 שיפר נקודה זו במידה מסוימת). פגיעות להתקפות Relay ("העברת אימות"): זו אחת החולשות הקריטיות ביותר. תוקף יכול ליירט את תהליך האימות של NTLM ולהעביר (Relay) את ההודעות בין הלקוח הלגיטימי לשרת אחר, ובכך להתחזות ללקוח ולקבל גישה לאותו שרת אחר בשם המשתמש המקורי. פגיעות להתקפות Pass-the-Hash (PtH): אם תוקף מצליח להשיג את ה-NTLM Hash של משתמש (למשל, על ידי חילוצו מזיכרון המחשב או מקובץ ה-SAM), הוא יכול להשתמש ב-Hash הזה ישירות כדי לאמת מול שירותים התומכים ב-NTLM, וכל זאת מבלי לדעת את הסיסמה המקורית! גיבוב חלש יחסית: כפי שצוין, קל יחסית לפצח NTLM Hashes אם הסיסמאות חלשות, מה שחושף את הסיסמאות המקוריות. ⚔️ NTLM מנקודת מבט של תוקף: איך מנצלים את החולשות? תוקפים אוהבים NTLM בגלל מגוון ההתקפות שהוא מאפשר: NTLM Relay Attacks: איך זה עובד? התוקף ממקם את עצמו בין הלקוח לשרת (למשל, באמצעות ARP Spoofing, הרעלת LLMNR/NBT-NS, או על ידי גרימת המשתמש להתחבר למשאב זדוני שהתוקף הקים). כאשר הלקוח מנסה לאמת באמצעות NTLM, התוקף מיירט את הודעת ה-Challenge (ה-Nonce) מהשרת האמיתי (או שרת יעד אחר שהתוקף רוצה גישה אליו) ומעביר אותה ללקוח. הלקוח, שחושב שהוא מדבר עם שרת לגיטימי, מגיב עם ה-Response (ה-Nonce מוצפן עם ה-NTLM Hash שלו). התוקף לוקח את ה-Response הזה ומעביר אותו הלאה לשרת המטרה. אם שרת המטרה מקבל את ה-Response, התוקף מקבל גישה בשם המשתמש הלגיטימי. כלים נפוצים: Responder.py, MultiRelay.py (מבית Responder), ntlmrelayx.py (חלק מחבילת Impacket). הסכנה: התקפה זו מאפשרת השתלטות על חשבונות וגישה למשאבים רגישים ללא צורך בידיעת הסיסמה. מסוכן במיוחד אם החשבון ש"מועבר" הוא בעל הרשאות גבוהות (כמו אדמין). הגנות כמו SMB Signing (חתימה על הודעות SMB) יכולות למנוע סוגים מסוימים של NTLM Relay (בעיקר ל-SMB). Pass-the-Hash (PtH) Attacks: איך זה עובד? לאחר שתוקף השיג NTLM Hash של משתמש (למשל, באמצעות כלים כמו Mimikatz על מכונה נגועה כדי לחלץ Hashes מזיכרון תהליך ה-LSASS, או על ידי חילוץ מקובץ SAM במחשב מקומי או מקובץ ntds.dit מבקר התחום), הוא יכול להשתמש בכלים מיוחדים כדי "להזריק" את ה-Hash הזה לתהליך אימות חדש מול שירות אחר התומך ב-NTLM. השרת המקבל את הבקשה לא יכול להבדיל בין אימות שנעשה עם סיסמה ממשית לבין אימות שנעשה עם ה-Hash שלה. כלים נפוצים: לחילוץ Hashes: Mimikatz (פקודות כמו sekurlsa::logonpasswords או lsadump::sam), secretsdump.py (Impacket). לשימוש ב-Hashes (ביצוע PtH): PsExec (חלק מ-Sysinternals, או גרסת ה-Python שלו psexec.py מ-Impacket), wmiexec.py (Impacket), smbexec.py (Impacket), מודולים שונים ב-Metasploit Framework. הסכנה: התקפה זו היא אחת מאבני היסוד בתנועה רוחבית (Lateral Movement) ברשת ובהסלמת הרשאות (Privilege Escalation). היא מאפשרת לתוקף להתפשט ברשת ולהשיג גישה למערכות נוספות מבלי לפצח אפילו סיסמה אחת. פיצוח NTLM Hashes (Offline Cracking): איך זה עובד? אם תוקף השיג רשימה של NTLM Hashes (למשל, מפריצה למסד נתונים, חילוץ מקובץ ntds.dit, או אפילו מ-Dumps של זיכרון), הוא יכול לנסות לפצח אותם במצב offline (בלי ליצור תעבורת רשת חשודה) באמצעות התקפות כוח גס (Brute-force), התקפות מילוניות (Dictionary attacks), או באמצעות טבלאות קשת (Rainbow Tables) שהוכנו מראש. כלים נפוצים: Hashcat, John the Ripper. הסכנה: חשיפת הסיסמאות המקוריות של המשתמשים. אם משתמשים עושים שימוש חוזר בסיסמאות אלו במערכות אחרות (בתוך הארגון או מחוצה לו), הנזק יכול להיות גדול אף יותר. זה מדגיש את החשיבות הקריטית של מדיניות סיסמאות חזקות ומורכבות. 🛡 איך מתגוננים ומצמצמים סיכוני NTLM? הבנו את הסיכונים, אז מה עושים?

👴🛡 NTLM (NT LAN Manager) – כל מה שרציתם לדעת על פרוטוקול האימות הוותיק! 🛡👴 היום נצא למסע בזמן אל אחד מפרוטוקולי האימות המוכרים והוותיקים ביותר בסביבת Windows: NTLM (NT LAN Manager). למרות ש-Kerberos תפס את מקומו כסטנדרט המודרני, NTLM עדיין אורב בצללים ברשתות רבות. בואו נבין מהו, איך הוא עובד, מהן ההשלכות האבטחתיות שלו, וכיצד תוקפים מנצלים אותו לטובתם. 🕵️‍♂️ 🤔 מה זה NTLM? (רקע תיאורטי) NTLM הוא פרוטוקול אימות מסוג "אתגר-תגובה" (Challenge-Response) שפותח על ידי מיקרוסופט. הוא שימש כמנגנון האימות העיקרי במערכות Windows לפני כניסתו של Kerberos עם Windows 2000. המטרה העיקרית שלו היא לאמת את זהות המשתמש או המחשב המנסה לגשת למשאב רשת, מבלי לשלוח את הסיסמה עצמה בצורה גלויה. 📍 מתי עדיין נתקלים ב-NTLM? למרות גילו, NTLM עדיין פעיל במקרים הבאים: אימות מול שרת באמצעות כתובת IP: כאשר לקוח פונה לשרת ישירות דרך כתובת ה-IP שלו במקום דרך שם ה-DNS הרשום בדומיין. אימות מול שרתים שאינם חברים בדומיין: למשל, שרתים בקבוצת עבודה (Workgroup) או מערכות שאינן מכירות את ה-AD. אימות לשם מארח שאינו רשום ב-DNS של ה-AD. תאימות לאחור: אפליקציות ישנות או יישומי צד שלישי שלא עודכנו לתמוך ב-Kerberos עשויים עדיין להסתמך על NTLM. מצבים מסוימים של אימות מקומי. ⚙️ איך אימות NTLM עובד? (תהליך האימות) תהליך האימות ב-NTLM כולל מספר שלבים בין הלקוח (המחשב המבקש גישה), שרת היישומים (המשאב אליו מנסים לגשת), ובקר התחום (Domain Controller - DC) במקרה של אימות דומייני: שליחת שם משתמש (לקוח ⬅️ שרת יישומים): הלקוח מודיע לשרת היישומים שהוא רוצה להתאמת עם שם משתמש מסוים. שליחת "אתגר" (Nonce/Challenge) (שרת יישומים ⬅️ לקוח): שרת היישומים מייצר ערך אקראי וייחודי הנקרא "Nonce" (מספר שמשתמשים בו פעם אחת) ושולח אותו ללקוח. זהו ה"אתגר" שהלקוח צריך לענות עליו. חישוב "תגובה" (Response) והצפנת האתגר (בצד הלקוח 💻): הלקוח לוקח את סיסמת המשתמש ומבצע לה גיבוב (Hashing) ליצירת מה שמכונה NTLM Hash. (ליתר דיוק, בגרסאות המודרניות כמו NTLMv2, מדובר ב-NT Hash שהוא MD4 של הסיסמה בקידוד UTF-16LE). הלקוח משתמש ב-NTLM Hash הזה כמפתח סודי כדי להצפין את ה-Nonce (האתגר) שקיבל מהשרת. התוצאה המוצפנת היא ה"תגובה". שליחת התגובה (לקוח ⬅️ שרת יישומים): הלקוח שולח את התגובה המוצפנת בחזרה לשרת היישומים. העברת פרטי האימות לבקר התחום (שרת יישומים ⬅️ DC): שרת היישומים עצמו לא יודע את ה-NTLM Hash של המשתמש (ורוב הזמן גם לא אמור לדעת). לכן, הוא מעביר את שם המשתמש, ה-Nonce המקורי שהוא יצר, וה"תגובה" שקיבל מהלקוח – ישירות לבקר התחום (DC) לצורך אימות. (זה נקרא "Pass-through authentication"). אימות על ידי בקר התחום (ב-DC 🏦): בקר התחום (DC) מחזיק במסד נתונים מאובטח (ntds.dit) את ה-NTLM Hash של כל המשתמשים בדומיין. ה-DC מאחזר את ה-NTLM Hash של המשתמש המדובר. ה-DC משתמש ב-Hash הזה כדי להצפין באופן עצמאי את אותו Nonce מקורי. ה-DC משווה את התוצאה שחישב ל"תגובה" שהועברה אליו משרת היישומים (שמגיעה מהלקוח). אישור או דחיית האימות (DC ⬅️ שרת יישומים): ✅ אם שתי התוצאות זהות – האימות מצליח! ה-DC מודיע לשרת היישומים שהמשתמש אכן מאומת ויכול לגשת למשאב (בכפוף להרשאות). ❌ אם הן שונות – האימות נכשל, והגישה נדחית. 🔑 ה-NTLM Hash – מה חשוב לדעת: חד-כיווני: כמו כל פונקציית גיבוב קריפטוגרפית טובה, לא ניתן "להפוך" את ה-NTLM Hash בחזרה לסיסמה המקורית בצורה ישירה. חולשה יחסית: אלגוריתם הגיבוב של NTLM (במיוחד ה-LM Hash הישן יותר, אך גם ה-NT Hash שהוא MD4) נחשב לחלש יחסית לסטנדרטים מודרניים. הוא מהיר מאוד לחישוב, מה שהופך אותו לפגיע יותר להתקפות פיצוח (Brute-force/Dictionary attacks) אם הסיסמאות אינן חזקות ומורכבות. סיסמאות קצרות או פשוטות ניתנות לפיצוח במהירות עם חומרה מודרנית וטכניקות כמו Rainbow Tables. 💀 השלכות אבטחה ונקודות תורפה של NTLM: NTLM סובל ממספר חולשות אבטחה משמעותיות שהופכות אותו ליעד מועדף על תוקפים:

🔴 מתקפת סייבר חדשה באמצעות מתקינים מזויפים!  📌 חוקרי אבטחת מידע חשפו קמפיין זדוני שבו תוקפים משתמשים במתקינים מזויפים של אפליקציות פופולריות כמו QQ Browser ו-LetsVPN כדי להחדיר את Winos 4.0 – סוס טרויאני מתוחכם שמספק גישה מרחוק לפושעי הסייבר.  💻 איך זה עובד?  🔹 התוקפים אורזים את הקוד הזדוני בתוך קובצי התקנה חוקיים כך שהמשתמשים אינם חושדים.  🔹 לאחר הפעלת המתקין, ה-RAT פועל ללא כתיבה לדיסק, מה שמקשה מאוד על גילויו באמצעות אנטי-וירוס רגיל.  🔹 הוא משתמש בחתימות דיגיטליות שפג תוקפן כדי להיראות לגיטימי ולחמוק ממנגנוני הגנה.   🔹 הוא מבצע פעולות ריגול וסיכול חקירה, כולל תקשורת עם שרתים זדוניים והפעלת משימות מתוזמנות להישרדות ארוכת טווח.  🎯 מי בסיכון?  🔸 הדיווחים מצביעים על כך שהמתקפה ממוקדת בדוברי סינית, אך אין מניעה שהיא תתפשט גם למשתמשים אחרים.   🔸 ככל שמתקינים קבצים ממקורות לא מוכרים – הסיכון גובר!  🛡️ איך להגן על עצמך?  ✔️ הימנעו מהורדות ממקורות לא רשמיים והעדיפו אתרי הבית של ספקי התוכנה.  ✔️ בדקו את חתימת הדיגיטל של התוכנה לפני התקנה וודאו שהיא מעודכנת.  ✔️ השתמשו בתוכנות אבטחה שמסוגלות לזהות איומים שפועלים בזיכרון בלבד.  ✔️ הקפידו על עדכוני מערכת ותוכנות כדי לסגור פרצות אבטחה קיימות.  ⚠️ המתקפה הזו היא עוד תזכורת לכך שהאקרים לא נחים לרגע! 🚨  📢 הצטרפו לקבוצת הטלגרם CyberSecurityCoding כדי להתעדכן ולהגן על עצמכם → https://t.me/CyberSecurityCoding  💻 לכתבה המלאה  שמרו על עצמכם! 🛡️