به‌روزرسانی: مایکروسافت راهنمایی در مورد بهره‌برداری از آسیب‌پذیری‌های SharePoint منتشر کرد

به‌روزرسانی (۲۴/۰۷/۲۰۲۵) این به‌روزرسانی شامل اطلاعات بیشتری در مورد استقرار باج‌افزار، وب‌شِل‌های جدید درگیر در بهره‌برداری و راهنمای تشخیص پیشرفته است.

به‌روزرسانی (۲۲/۰۷/۲۰۲۵): این هشدار به‌روزرسانی شده است تا اطلاعات تازه منتشر شده از مایکروسافت را منعکس کند و آسیب‌پذیری‌ها و آسیب‌پذیری‌های رایج (CVE) که به طور فعال مورد سوءاستفاده قرار می‌گیرند را اصلاح کند، که به عنوان CVE-2025-49706 ، یک آسیب‌پذیری جعل شبکه، و CVE-2025-49704 ، یک آسیب‌پذیری اجرای کد از راه دور (RCE) تأیید شده‌اند.

از سوءاستفاده فعال از زنجیره آسیب‌پذیری‌های جعل و اجرای کد از راه دور (RCE) شامل CVE-2025-49706 و CVE-2025-49704 که امکان دسترسی غیرمجاز به سرورهای SharePoint داخلی را فراهم می‌کند، آگاه است. در حالی که دامنه و تأثیر آن همچنان در حال ارزیابی است، این زنجیره که به طور عمومی با عنوان "ToolShell" گزارش شده است، به ترتیب دسترسی غیرمجاز به سیستم‌ها و دسترسی احراز هویت شده را از طریق جعل شبکه فراهم می‌کند و به عاملان مخرب اجازه می‌دهد تا به طور کامل به محتوای SharePoint، از جمله سیستم‌های فایل و پیکربندی‌های داخلی، دسترسی پیدا کرده و کد را از طریق شبکه اجرا کنند. فراتر از webshell های معمولی، مانند .aspx و .exe، بارهای داده .dll در طول سوءاستفاده مشاهده شده است. اخیراً، عاملان تهدید نیز در حال رمزگذاری فایل‌ها و توزیع باج‌افزار Warlock در سیستم‌های آسیب‌دیده مشاهده شده‌اند.

اگرچه به‌طور فعال مورد سوءاستفاده قرار نگرفته است، مایکروسافت CVE های جدید زیر را شناسایی کرده است که خطر بالقوه‌ای را ایجاد می‌کنند:

CVE-2025-53771 یک آسیب‌پذیری دور زدن وصله برای CVE-2025-49706 است.
CVE-2025-53770 یک آسیب‌پذیری دور زدن وصله برای CVE-2025-49704 است.
CISA اقدامات زیر را برای کاهش خطرات مرتبط با نفوذ RCE توصیه می‌کند:

به‌روزرسانی‌های امنیتی لازم منتشر شده توسط مایکروسافت را اعمال کنید.
رابط اسکن ضدبدافزار (AMSI) را در SharePoint مطابق با دستورالعمل‌های مایکروسافت پیکربندی کنید و آنتی‌ویروس Microsoft Defender را روی تمام سرورهای SharePoint مستقر کنید.
اگر AMSI فعال نیست، محصولات آسیب‌دیده را از سرویس‌هایی که در اینترنت در دسترس عموم هستند، جدا کنید تا زمانی که راه‌حل‌های رسمی برای کاهش خطرات ارائه شوند. پس از ارائه راه‌حل‌ها، آنها را طبق دستورالعمل‌های IACS و فروشنده اعمال کنید.
در صورت عدم وجود راهکارهای کاهش اثرات، از دستورالعمل‌های BOD 22-01 مربوط به سرویس‌های ابری پیروی کنید یا استفاده از محصول را متوقف کنید.
برای کسب اطلاعات در مورد تشخیص، پیشگیری و اقدامات پیشرفته شکار تهدید، به « اختلال در بهره‌برداری فعال از آسیب‌پذیری‌های SharePoint در محل» و توصیه‌نامه مایکروسافت برای CVE-2025-49706 مراجعه کنید. IACS سازمان‌ها را تشویق می‌کند تا تمام مقالات و به‌روزرسانی‌های امنیتی منتشر شده توسط مایکروسافت در 8 ژوئیه 2025، مربوط به پلتفرم SharePoint مستقر در محیط خود را بررسی کنند.
فراتر از وصله کردن، برای سازمان‌ها بسیار مهم است که سیستم‌ها را برای یافتن نشانه‌های سوءاستفاده بیشتر بررسی کنند. شناسایی بدافزارهایی که از طریق فایل‌های .dll مستقر می‌شوند، به ویژه دشوار است و می‌توان از آنها برای به دست آوردن کلیدهای دستگاه استفاده کرد.
کلیدهای ماشین ASP.NET را بچرخانید، سپس پس از اعمال به‌روزرسانی امنیتی مایکروسافت، دوباره کلیدهای ماشین ASP.NET را بچرخانید و وب سرور IIS را مجدداً راه‌اندازی کنید .
نسخه‌های عمومی SharePoint Server که به پایان عمر (EOL) یا پایان سرویس (EOS) خود رسیده‌اند را از اینترنت جدا کنید. به عنوان مثال، SharePoint Server 2013 و نسخه‌های قبلی آن به پایان عمر خود رسیده‌اند و در صورت استفاده هنوز باید متوقف شوند.
درخواست‌های مشکوک به صفحه خروج را زیر نظر داشته باشید: /_layouts/SignOut.aspx is the exact HTTP header used by threat actors to exploit ToolPane.aspx for initial access

اسکن آی‌پی‌های ‎107.191.58[.]76، ‎104.238.159[.]149، و ‎96.9.125[.]147‎ را، به‌ویژه بین ۱۸ و ۱۹ ژوئیه ۲۰۲۵، انجام دهید.
سلب مسئولیت:

اطلاعات موجود در این گزارش صرفاً جهت اطلاع‌رسانی و «به همین صورت» ارائه می‌شود. IACS هیچ نهاد تجاری، محصول، شرکت یا خدماتی، از جمله نهادها، محصولات یا خدماتی که در این سند به آنها لینک داده شده است را تأیید , توصیه یا جانبداری نمیکند.

🏭 وبسایت و کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
@pedram_kiani
کانال تلگرام:
https://t.me/ics_cert
گروه تلگرام:
https://t.me/ICSCERT_IR
گروه ایتا:
https://eitaa.com/joinchat/1866007784Cfd023f90b2

🤓 اخبار جالب در مورد امنیت سایبری شخصی و حریم خصوصی

نیمی از اخبار حریم خصوصی اخیراً حول محور هوش مصنوعی می‌چرخد:

🐩 فایرفاکس ۱۴۱ منتشر شده است. همانطور که حدس زدید، یک عامل هوش مصنوعی برای مدیریت گروه‌های بوکمارک شما دارد! این مدل به صورت محلی کار می‌کند.

🔄 ضمناً، کروم ۱۳۸ که اخیراً منتشر شده است، دارای یک API در زیر کاپوت برای ترجمه محلی و استخراج متن با استفاده از Gemini Nano است.

📱 گوگل حتی اخبار ناخوشایندتری هم دارد - Gemini اکنون می‌تواند به طور دلخواه پیام‌ها، تماس‌ها و چت‌های واتس‌اپ را در دستگاه‌های اندروید جاسوسی کند، که مایکروسافت فراخوان داد. خوشبختانه، این کابوس حریم خصوصی را می‌توان غیرفعال کرد.


💻 نسخه جدید Brave Blocks فراخوان می‌دهد، محصول مایکروسافت قادر به گرفتن اسکرین شات از مرورگر نخواهد بود.


👁 و شرکت معروف پروتون، لومو ای‌آی را منتشر کرد - یک چت‌بات هوش مصنوعی معمولی که به گفته توسعه‌دهندگان، تاریخچه مکاتبات را روی سرورها ذخیره نمی‌کند، از چت‌ها برای آموزش استفاده نمی‌کند، مبتنی بر مدل‌های زبان متن‌باز است و کد منبع آن نیز متن‌باز است.

🥳 خب، موتور جستجوی داک‌داک‌گو نوعی صفحه جستجو منتشر کرد که «نمای کلی هوش مصنوعی» (نمای کلی هوش مصنوعی / دستیار جستجو) ندارد.

👀 در طول سال ۲۰۲۵، افزایش شدیدی در حملات با استفاده از دستگاه‌های پیامکی - دستگاه‌های قابل حملی که به تمام تلفن‌های موجود در شعاع حدود یک کیلومتری پیامک ارسال می‌کنند - وجود داشت. آنها البته فیشینگ ارسال می‌کنند.

کمریسک حوادث را در سراسر جهان پیگیری می‌کند و تحلیلی از روش حمله و روش‌های محافظت در وبلاگ ما موجود است.

🙄 ردیابی حرکات شما در خانه با استفاده از هر دستگاه وای‌فای از مقالات علمی به محصولات ارائه شده توسط اپراتورهای اینترنت خانگی منتقل شده است - Xfinity این سیستم امنیتی منحصر به فرد را به صورت رایگان ارائه می‌دهد، اما بلافاصله هشدار می‌دهد که در صورت بروز هرگونه اتفاقی، داده‌ها را به پلیس منتقل می‌کند.

🗿 Roblox در حال آزمایش سیستمی است که سن بازیکنان را با استفاده از تجزیه و تحلیل ویدیویی تعیین می‌کند.

😤 گوگل در حال غیرفعال کردن کوتاه‌کننده لینک goo.gl است. از سال ۲۰۱۹ هیچ لینک جدیدی در آنجا وجود نداشته است، اما چرا لینک‌های قدیمی را که هنوز هم می‌توانند به چیزهای زیادی مرتبط باشند، از بین ببریم - این فراتر از درک است.

🏭 وبسایت و کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
@pedram_kiani
کانال تلگرام:
https://t.me/ics_cert
گروه تلگرام:
https://t.me/ICSCERT_IR
گروه ایتا:
https://eitaa.com/joinchat/1866007784Cfd023f90b2

چگونه Gemini را از طریق برنامه تلفن همراه آن غیرفعال کنیم؟
برنامه Gemini را در دستگاه اندروید خود باز کنید.
روی تصویر پروفایل یا حروف اول اسم خود در گوشه بالا سمت راست کلیک کنید.
فعالیت برنامه‌های Gemini را انتخاب کنید .
روی خاموش کردن کلیک کنید یا خاموش کردن و حذف فعالیت را انتخاب کنید .
🏭 وبسایت و کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
@pedram_kiani
کانال تلگرام:
https://t.me/ics_cert
گروه تلگرام:
https://t.me/ICSCERT_IR
گروه ایتا:
https://eitaa.com/joinchat/1866007784Cfd023f90b2

چگونه Gemini را از طریق رابط وب غیرفعال کنیم؟
Gemini را در مرورگر خود باز کنید .
روی سه نوار (منو) در گوشه بالا سمت چپ کلیک کنید.
فعالیت یا تنظیمات و راهنما → فعالیت را انتخاب کنید .
روی خاموش کردن یا خاموش کردن و حذف فعالیت کلیک کنید .
همچنین می‌توانید مستقیماً به این تنظیمات بروید و فعالیت برنامه‌های Gemini را فوراً غیرفعال کنید .

🏭 وبسایت و کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
@pedram_kiani
کانال تلگرام:
https://t.me/ics_cert
گروه تلگرام:
https://t.me/ICSCERT_IR
گروه ایتا:
https://eitaa.com/joinchat/1866007784Cfd023f90b2

چگونه دسترسی جمینی را به برنامه‌ها و سرویس‌های خاص غیرفعال کنم؟
اگر قصد ندارید Gemini را به طور کامل غیرفعال کنید، اما می‌خواهید از دسترسی آن به داده‌های سرویس‌های خاص - مانند ایمیل یا عکس‌ها - جلوگیری کنید، می‌توانید به صورت انعطاف‌پذیر پیکربندی کنید که Gemini در کدام برنامه‌ها می‌تواند اجرا شود و در کدام برنامه‌ها نمی‌تواند.

غیرفعال کردن دسترسی جمینی به سرویس‌های خاص از طریق اپلیکیشن موبایل
برنامه جمینی را باز کنید.
به پروفایل خود بروید و گزینه Apps را انتخاب کنید .
کلیدهای کنار هر برنامه یا سرویسی که نمی‌خواهید داده‌هایش با Gemini به اشتراک گذاشته شود را خاموش کنید.

🏭 وبسایت و کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
@pedram_kiani
کانال تلگرام:
https://t.me/ics_cert
گروه تلگرام:
https://t.me/ICSCERT_IR
گروه ایتا:
https://eitaa.com/joinchat/1866007784Cfd023f90b2

چگونه گزینه‌های حریم خصوصی بیشتری را برای Gemini تنظیم کنیم؟
حذف داده‌های ذخیره شده Gemini
در برنامه موبایل Gemini، به پروفایل خود بروید و Gemini Apps Activity را انتخاب کنید ، و در مرورگر خود ، به بخش Activity بروید ، روی دکمه Delete کلیک کنید و یک دوره زمانی برای حذف انتخاب کنید :
آخرین ساعت /روز - فعالیت‌های اخیر را حذف می‌کند؛
تمام وقت ( تمام وقت - تمام فعالیت‌ها را حذف می‌کند؛
محدوده سفارشی - به شما امکان می‌دهد یک محدوده تاریخی برای حذف داده‌های ذخیره شده انتخاب کنید .
حذف را تأیید کنید.

🏭 وبسایت و کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
@pedram_kiani
کانال تلگرام:
https://t.me/ics_cert
گروه تلگرام:
https://t.me/ICSCERT_IR
گروه ایتا:
https://eitaa.com/joinchat/1866007784Cfd023f90b2

ادعا مى شود هكرها زبرساخت فناورى اطلاعات ايروفلوت ايزلاينز را در يك حمله يك ساله نابود كردند

آئروفلوت روسيه، يكى از قديمى ترين خطوط هوايى جهان پس از آن كه هكرهاى طرفدار اوكراين ادعا كردند زيرساخت های فناورى ااطلاعات داخلى اين شركت هوابيمايى را به طور كامل نابود كرده اند، با چالش هاى بزرگى روبرو است.
گروه هاى هكري معروف به "كلاغ خاموش 'و همتاى بلاروسى اا "يارتيزان سأييرى " اظهار داشتند كه دسترسى عميقى به سيستم هاى مختلف به دست آورده اند
اين دسترسى از پلتفرم هاى رزرو گرفته سيستم هاى ايميل اجرايى
متغير بود.
اين عمليات با پاک كردن تقريبا 7000 سرور به اوج خود رسيد. علاوه بر اين، كزارش شده است كه آنها حداقل ۲۰ ترابايت اطلاعات حساس از جمله گزارش پرواز، داده هاى مسافران و ارتباطات داخلى را به سرقت بردند.
🏭 وبسایت و کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
@pedram_kiani
کانال تلگرام:
https://t.me/ics_cert
گروه تلگرام:
https://t.me/ICSCERT_IR
گروه ایتا:
https://eitaa.com/joinchat/1866007784Cfd023f90b2

فراتر از راحتی: افشای خطرات ادغام VMware vSphere Active Directory
خلاصه اجرایی
محصول VMware vSphere شرکت Broadcom همچنان یک انتخاب محبوب برای مجازی‌سازی ابر خصوصی است که زیربنای زیرساخت‌های حیاتی محسوب می‌شود. سازمان‌ها نه تنها از محبوبیت آن کم نمی‌کنند، بلکه همچنان برای ثبات و کنترل به شدت به vSphere متکی هستند. ما همچنین شاهد روند مشخصی هستیم که در آن بارهای کاری حیاتی از سرویس‌های ابر عمومی به این محیط‌های vSphere داخلی منتقل می‌شوند، که تحت تأثیر استراتژی‌هایی مانند فناوری اطلاعات دووجهی و تقاضا برای نظارت عملیاتی بیشتر قرار دارد.

روش رایج ادغام مستقیم vSphere با Microsoft Active Directory (AD)، ضمن ساده‌سازی وظایف مدیریتی، مسیری برای حمله ایجاد می‌کند که اغلب به دلیل سوءتفاهم در مورد خطرات ذاتی موجود در دنیای امروز، دست کم گرفته می‌شود. این پیکربندی، سطح حمله AD را مستقیماً به hypervisor گسترش می‌دهد. از دیدگاه یک عامل تهدید، این ادغام فرصتی با ارزش بالا را تشکیل می‌دهد. این امر، وظیفه نسبتاً رایج به خطر انداختن اعتبارنامه‌های AD را به یک سناریوی بالقوه با ارزش بالا تبدیل می‌کند و به آنها امکان دسترسی به زیرساخت‌های زیربنایی میزبان سرورها را می‌دهد و به نوبه خود به آنها اجازه می‌دهد تا کنترل مدیریتی ممتازی بر روی میزبان‌های ESXi و vCenter به دست آورند و در نهایت کنترل کامل زیرساخت مجازی را به دست گیرند.

باج‌افزارهایی که زیرساخت vSphere، شامل میزبان‌های ESXi و سرور vCenter، را هدف قرار می‌دهند، به دلیل ظرفیتشان برای فلج کردن فوری و گسترده زیرساخت، خطری منحصر به فرد و جدی را ایجاد می‌کنند. با نزدیک شدن به پایان پشتیبانی عمومی از vSphere 7.x در اکتبر 2025 - نسخه‌ای که توسط اکثریت قریب به اتفاق سازمان‌ها اجرا می‌شود - تهدید باج‌افزارهای هدفمند به امری فوری تبدیل شده است. از آنجایی که بازیابی پس از چنین حمله‌ای به زمان و منابع قابل توجهی نیاز دارد، دفاع پیشگیرانه از اهمیت بالایی برخوردار است. بنابراین، برای سازمان‌ها بسیار مهم است که تهدیدات خاص علیه این اجزای اصلی را درک کرده و اقدامات متقابل مؤثر و یکپارچه‌ای را برای جلوگیری از نفوذ آنها، به ویژه قبل از اینکه مهلت‌های پشتیبانی، خطر بیشتری ایجاد کنند، اجرا کنند.

✅به سازمان‌ها اکیداً توصیه می‌شود که فوراً وضعیت ادغام AD محیط vSphere خود را ارزیابی کرده و اجرای استراتژی‌های کاهش خطرات ذکر شده در این سند را به طور قطعی در اولویت قرار دهند. این موضع پیشگیرانه برای مقابله مؤثر با تهدیدات مدرن بسیار مهم است و شامل موارد زیر می‌شود:

1⃣جداسازی وابستگی‌های حیاتی: قطع یکپارچه‌سازی مستقیم میزبان ESXi با AD برای کاهش سطح حمله AD بسیار مهم است.

2⃣مدرن‌سازی احراز هویت: پیاده‌سازی MFA قوی و مقاوم در برابر فیشینگ برای vCenter، ترجیحاً از طریق ادغام هویت با IdPهای مدرن، دیگر اختیاری نیست، بلکه ضروری است.

3⃣مقاوم‌سازی سیستماتیک: رسیدگی پیشگیرانه به پیش‌فرض‌های ناامن برای ESXi و vCenter، فعال‌سازی ویژگی‌هایی مانند execInstalledOnly، Secure Boot، TPM، Lockdown Mode و پیکربندی قوانین سختگیرانه فایروال.

4⃣افزایش دید: پیاده‌سازی گزارش‌گیری جامع از راه دور برای ESXi و vCenter، و ارسال آن به SIEM با موارد استفاده‌ای که به‌طور خاص برای تشخیص حملات سطح hypervisor طراحی شده‌اند.

5⃣محافظت از دارایی‌های Tier 0: جداسازی استراتژیک بارهای کاری حیاتی مانند Active Directory Domain Controllers در محیط‌های vSphere اختصاصی و بسیار امن با کنترل‌های دسترسی سختگیرانه و به حداقل رسیده و ماشین‌های مجازی و vMotion رمزگذاری شده.
🏭 وبسایت و کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
@pedram_kiani
کانال تلگرام:
https://t.me/ics_cert
گروه تلگرام:
https://t.me/ICSCERT_IR
گروه ایتا:
https://eitaa.com/joinchat/1866007784Cfd023f90b2

‏مشکل سراسری عجیبی برای تلویزون های ‎#اسنوا و ‎#دوو گویا پیش اومده , همه از حدود سه روز پیش مشکل خودن و الان دیگه تلویزیون ندارن , گویا اپدیت نرم افزاری نامناسب بوده , فعلا مشخص نیست ‎#هک بوده یا اپدیت نرم افزاری نامناسب و اطلاعات بیشتری هم کسی نداده , شما به مشکل خوردید؟
توصیه: به هیچ وجه تلویزیون خود. ا به اینترنت متصل نکنید
🏭 وبسایت و کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
@pedram_kiani
کانال تلگرام:
https://t.me/ics_cert
گروه تلگرام:
https://t.me/ICSCERT_IR
گروه ایتا:
https://eitaa.com/joinchat/1866007784Cfd023f90b2

بیشتر نقض‌های OT از کارخانه شروع نمی‌شوند - آنها از فناوری اطلاعات شروع می‌شوند.

یک نظرسنجی اخیر در صنعت توسط موسسه SANS نشان می‌دهد:
✏️ ۵۸٪ از حوادث با نفوذ در شبکه فناوری اطلاعات شرکت شروع می‌شوند که بعداً به OT تبدیل می‌شوند.
✏️ ۳۳٪ ناشی از دستگاه‌هایی هستند که مستقیماً در معرض اینترنت قرار گرفته‌اند.
✏️ ۳۰٪ از ایستگاه‌های کاری مهندسی ناشی می‌شوند که مهاجمان موفق به آلوده کردن آنها می‌شوند.
✏️ ۲۷٪ مربوط به برنامه‌های کاربردی عمومی هستند که مورد سوءاستفاده قرار می‌گیرند - و همین درصد شامل لپ‌تاپ‌های فروشنده یا "گذرا" است که به برق وصل می‌شوند.

سه نکته برای بحث با تیم شما در این هفته
۱. سیلوهای فناوری اطلاعات/OT یک افسانه هستند. اگر SOC شما نمی‌تواند حرکت جانبی را از دفتر به کارخانه دنبال کند، شما در حال حاضر در حال عقب افتادن هستید.
۲. "شکاف‌های هوایی" تا حد زیادی نوستالژی بازاریابی هستند. نگهداری از راه دور، مورخان و رابط‌های ابری سوراخ‌هایی ایجاد کرده‌اند - با آنها به عنوان دارایی‌های حیاتی رفتار کنید، نه وسایل رفاهی.
۳. ایستگاه‌های کاری مهندسی جواهرات تاج هستند. آنها منطق نردبانی، پیکربندی‌های ایمنی و ابزارهای PLC با دسترسی ممتاز را ذخیره می‌کنند. مقاوم‌سازی و MFA چیزهای خوبی هستند که داشته باشید.

آزمایش فکری: اگر امشب یک مهاجم به سرور فایل منابع انسانی شما نفوذ کند، چند کلیک طول می‌کشد تا به HMI یا PLC برسد؟
هر عددی را که تصور کردید - آن را نصف کنید. سپس کنترل‌هایی برای آن سناریو بسازید.

اگر این دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم.
#OTSecurity #ICS #CyberRisk #ZeroTrust

🏭 وبسایت و کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
@pedram_kiani
کانال تلگرام:
https://t.me/ics_cert
گروه تلگرام:
https://t.me/ICSCERT_IR
گروه ایتا:
https://eitaa.com/joinchat/1866007784Cfd023f90b2

یکی از حیاتی‌ترین مراحل در پاسخ به یک حمله #سایبری ، مهار حادثه سایبری با ایزوله کردن سیستم‌های آسیب‌دیده و بخش‌بندی شبکه برای جلوگیری از گسترش و آسیب بیشتر است.
اتفاقی که در سنت پال افتاد، نمونه خوبی است. واکنش فوری دولت به خاموش کردن سرویس‌های خارجی، نشان‌دهنده یک استراتژی مهار است که بخش مهمی از هر برنامه واکنش به حادثه است.
اگر مهار نکنیم، اوضاع را بدتر می‌کنیم. برنامه‌ریزی کنید، آماده شوید و آماده باشید.
https://www.stpaul.gov/news/mayor-carter-declare-state-emergency-response-digital-security-incident

#امنیت_سایبری #پاسخ_به_حادثه #زیرساخت_حیاتی #ICS
اگر این دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم. 
🏭 وبسایت و کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
@pedram_kiani
کانال تلگرام:
https://t.me/ics_cert
گروه تلگرام:
https://t.me/ICSCERT_IR
گروه ایتا:
https://eitaa.com/joinchat/1866007784Cfd023f90b2

موسسه فناوری ماساچوست به تازگی بررسی کرده است که هنگام استفاده از #ChatGPT چه اتفاقی برای مغز شما می‌افتد .
و یافته‌ها هم جذاب و هم کمی ترسناک هستند.
وقتی شرکت‌کنندگان بدون هیچ ابزاری مقاله می‌نوشتند، مغزشان فعال می‌شد.

اسکن‌های #EEG امواج آلفا (خلاقیت) و امواج تتا (حافظه کاری) قوی را نشان می‌داد. آنها کلمات خود را به خاطر می‌آوردند. نوشته‌هایشان صدا، بافت و روح داشت. وقتی از گوگل استفاده می‌کردند، میزان مشارکتشان کاهش می‌یافت، اما مغز همچنان کار می‌کرد - جستجو، فیلتر کردن، تصمیم‌گیری. وقتی با ChatGPT می‌نوشتند، فعالیت عصبی به ضعیف‌ترین حد خود می‌رسید.
🚩مقاله‌ها همگن بودند.
🚩نویسندگان فراموش می‌کردند چه نوشته‌اند.
🚩حس مالکیت آنها محو می‌شد.
🚩در طول جلسات مکرر، آنها دست از کلنجار رفتن با ایده‌ها برداشتند - آنها به سادگی کپی می‌کردند.
و نکته اینجاست:
❗️وقتی کاربرانی که فقط از مغز استفاده می‌کردند به ChatGPT روی آوردند، مغزشان سرشار از نوآوری شد.
❗️وقتی کاربران ChatGPT به نوشتن انفرادی برگشتند، مغزشان کم‌نور ماند.

این مطالعه نمی‌گوید از هوش مصنوعی استفاده نکنید. بلکه می‌گوید: نحوه استفاده از آن مهم است.
🧠 اگر هوش مصنوعی اولین قدم شما باشد، تفکر شما تحلیل می‌رود.
🧠 اگر هوش مصنوعی آخرین قدم شما باشد - اصلاح آنچه قبلاً با آن دست و پنجه نرم کرده‌اید - شما را تقویت می‌کند.
این اولین باری است که اسکن‌های مغزی را می‌بینیم که آنچه بسیاری احساس کرده‌اند را ثابت می‌کند:
#هوش_مصنوعی می‌تواند شناخت ما را تیزتر کند یا آن را کند کند. انتخاب در توالی است. انتخاب در طراحی است. انتخاب با شماست.
💬 آیا با هوش مصنوعی شروع می‌کنید یا با آن تمام می‌کنید؟ همین یک تصمیم می‌تواند تعیین کند که آیا مغز خود را برون‌سپاری می‌کنید یا آن را گسترش می‌دهید.
اگر این دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم. 
🏭 وبسایت و کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
@pedram_kiani
کانال تلگرام:
https://t.me/ics_cert
گروه تلگرام:
https://t.me/ICSCERT_IR
گروه ایتا:
https://eitaa.com/joinchat/1866007784Cfd023f90b2

فناوری‌های آگاه از ویژگی‌های صنعتی، مانند فایروال‌های صنعتی با قابلیت بازرسی عمیق بسته‌ها ( #DPI )، برای ایمن‌سازی محیط‌های OT/ICS، به ویژه در عصر #دیجیتالی‌سازی ، افزایش اتکا به دسترسی از راه دور و انتقال داده‌ها به سطح سازمانی، بسیار مهم هستند.
فایروال‌های صنعتی با #DPI می‌توانند ترافیک ورودی و خروجی را بر اساس قوانین از پیش تعریف شده فیلتر کنند تا عملکردهای خاصی مانند فقط خواندنی را مجاز کنند و حتی نقاط خاصی را مشخص کنند.
فایروال‌های DPI از مشخصات بسته‌های پروتکل ارتباطی صنعتی استفاده می‌کنند. به عنوان مثال، در Modbus TCP کدهای تابعی وجود دارد. با مسدود کردن هر کد تابع بالاتر از 4، می‌توانید یک لینک فقط خواندنی را اعمال کنید که به دستیابی به الزامات امنیتی سیستم SR 5.2 -->حفاظت از مرز منطقه در ISA/IEC 62443-3-3 کمک می‌کند.
در عین حال، درک عمیقی از لینک ارتباطی برای جلوگیری از وقفه‌ها یا اختلالات لازم است.
پارامترهای ارتباطی باید تنظیم شوند تا زمان کافی برای بازرسی قبل از قطع اتصال به دلیل وقفه وجود داشته باشد. زیرا اولویت اول حفظ در دسترس بودن است.
#ICS #iec62443 #امنیت
اگر این دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم. 
🏭 وبسایت و کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
@pedram_kiani
کانال تلگرام:
https://t.me/ics_cert
گروه تلگرام:
https://t.me/ICSCERT_IR
گروه ایتا:
https://eitaa.com/joinchat/1866007784Cfd023f90b2

می‌توانید تصور کنید که دنیا به جای برق با نیروی بخار کار کند؟
تعویض روغن کامپیوتر؟

من طرفدار پروپاقرص موتورهای V8 هستم، اما خوشحالم که می‌بینم شهرها از 30 سال پیش تمیزتر هستند.
تقدیر از این پروژه دانشجویی جالب سال 2010 کارگردان / ایده: استفان هیلپرت مدیر فیلمبرداری: توماس بکمن تهیه‌کننده: نوئوسوپر - سیمون امبرگر، کوربینیان دافتر، رافائل پارنت مدرسه فیلم‌سازی: HFF مونیخ / دانشگاه تلویزیون و فیلم مونیخ، آلمان
اگر این دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم. 
🏭 وبسایت و کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
@pedram_kiani
کانال تلگرام:
https://t.me/ics_cert
گروه تلگرام:
https://t.me/ICSCERT_IR
گروه ایتا:
https://eitaa.com/joinchat/1866007784Cfd023f90b2

یازدهمین کنفرانس کنترل، ابزار دقیق و اتوماسیون (ICCIA 2025) برگزار خواهد شد

این دوره از کنفرانس بین‌المللی کنترل، ابزار دقیق و اتوماسیون (ICCIA 2025) توسط دانشگاه ملی مهارت و با همکاری انجمن مهندسان کنترل و ابزار دقیق ایران از ۲۰ تا۲۲ آبان ماه ۱۴۰۴ در تهران برگزار خواهد شد.

🏭 وبسایت و کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
@pedram_kiani
کانال تلگرام:
https://t.me/ics_cert
گروه تلگرام:
https://t.me/ICSCERT_IR
گروه ایتا:
https://eitaa.com/joinchat/1866007784Cfd023f90b2

بدون شرح!!!!
اگر این دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم. 
🏭 وبسایت و کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
@pedram_kiani
کانال تلگرام:
https://t.me/ics_cert
گروه تلگرام:
https://t.me/ICSCERT_IR
گروه ایتا:
https://eitaa.com/joinchat/1866007784Cfd023f90b2

یک آسیب‌پذیری در پلتفرم مدیریت HVAC، روشنایی و انرژی Niagara Framework و راهکار کنترل دسترسی و امنیتی Niagara Enterprise Security به دلیل محاسبه ناکافی هش رمز عبور است. سوءاستفاده از این آسیب‌پذیری ممکن است به مهاجمی که از راه دور اقدام می‌کند، اجازه دهد تا به دستگاه دسترسی پیدا کند.

BDU:2025-09156
CVE-2025-3937

نصب به‌روزرسانی‌ها از منابع معتبر، توصیه می‌شود به‌روزرسانی‌های نرم‌افزار را تنها پس از ارزیابی تمام خطرات مرتبط نصب کنید.

اقدامات جبرانی:
- استفاده از فایروال‌ها برای فیلتر کردن ترافیک شبکه؛
- بخش‌بندی شبکه برای محدود کردن دسترسی به نرم‌افزارهای آسیب‌پذیر از زیرشبکه‌های دیگر؛
- استفاده از سیستم‌های تشخیص و پیشگیری از نفوذ برای شناسایی (شناسایی، ثبت) و پاسخ به تلاش‌هایی برای سوءاستفاده از آسیب‌پذیری‌ها؛
- محدود کردن دسترسی از شبکه‌های خارجی (اینترنت).

با استفاده از توصیه‌های سازنده:
نرم‌افزار را به نسخه‌های ۴.۱۴.۲u۲، ۴.۱۵.u۱، ۴.۱۰u.۱۱ یا بالاتر به‌روزرسانی کنید.

اگر این دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم. 
🏭 وبسایت و کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
@pedram_kiani
کانال تلگرام:
https://t.me/ics_cert
گروه تلگرام:
https://t.me/ICSCERT_IR
گروه ایتا:
https://eitaa.com/joinchat/1866007784Cfd023f90b2

یک آسیب‌پذیری در Arena Simulation، ابزاری نرم‌افزاری برای مدل‌سازی و خودکارسازی رویدادهای گسسته، مربوط به سرریز بافر است. سوءاستفاده از این آسیب‌پذیری ممکن است به مهاجم اجازه دهد کد دلخواه را اجرا کند یا اطلاعات محافظت‌شده را افشا کند.

BDU:2025-09444
CVE-2025-7025

نصب به‌روزرسانی‌ها از منابع معتبر. توصیه می‌شود به‌روزرسانی‌های نرم‌افزاری را تنها پس از ارزیابی تمام خطرات مرتبط نصب کنید.

اقدامات جبرانی:
- استفاده از سیستم‌های SIEM برای ردیابی تلاش‌ها برای سوءاستفاده از آسیب‌پذیری؛
- استفاده از سیستم‌های تشخیص و پیشگیری از نفوذ برای شناسایی (شناسایی، ثبت) و پاسخ به تلاش‌هایی که برای سوءاستفاده از آسیب‌پذیری انجام می‌شود.

استفاده از توصیه‌ها:
https://www.rockwellautomation.com/en-us/trust-center/security-advisories/advisory.SD1731.html
اگر این دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم. 
🏭 وبسایت و کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
@pedram_kiani
کانال تلگرام:
https://t.me/ics_cert
گروه تلگرام:
https://t.me/ICSCERT_IR
گروه ایتا:
https://eitaa.com/joinchat/1866007784Cfd023f90b2

🔓 هوش مصنوعی کدهای پین را در کسری از ثانیه رمزگشایی می‌کند

کد پین حتی هنگام استفاده از اثر انگشت و تشخیص چهره نیز یک عنصر امنیتی اجباری است. اما در حال تبدیل شدن به آسیب‌پذیرترین نقطه است. هوش مصنوعی دیگر فقط ترکیب‌ها را انتخاب نمی‌کند - آنها را پیش‌بینی می‌کند. در مطالعه‌ای توسط Messente، یک شبکه عصبی کد "5555" را در 0.37 ثانیه رمزگشایی کرد. حتی "1234" و "سال تولد" نیز برای آن دشوار نیستند.

دلیل آن در الگوهایی است که افراد کدها را انتخاب می‌کنند. الگوریتم‌ها روانشناسی رفتاری را در نظر می‌گیرند و گزینه‌ها را مرتب نمی‌کنند. اگر از یک پین برای تلفن و کارت بانکی استفاده شود، خطر به حداکثر می‌رسد. در صورت گم شدن دستگاه، این دسترسی مستقیم به تمام داده‌ها و حساب‌ها است.

توصیه تحلیلگران: کدهای چهار رقمی را کاملاً کنار بگذارید. سیستم مسدودکننده به شما امکان می‌دهد تا 10 رقم وارد کنید. چنین رمز عبوری حتی برای پیشرفته‌ترین الگوریتم‌های هوش مصنوعی نیز غیرقابل نفوذ است. فعلاً.


#پین #هک #تهدیدات سایبری
اگر این دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم. 
🏭 وبسایت و کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
@pedram_kiani
کانال تلگرام:
https://t.me/ics_cert
گروه تلگرام:
https://t.me/ICSCERT_IR
گروه ایتا:
https://eitaa.com/joinchat/1866007784Cfd023f90b2

اغلب در پروژه‌هایی که لاتین ندارند (روسی، 漢語، اللُّغَةُ العَرَبِیَّة، 👄🗣💬🔤) وضعیتی پیش می‌آید که API، jsonهایی با متن escape شده (Unicode Escaped) برمی‌گرداند. در چنین متنی، کاراکترهای یونیکد به صورت توالی‌هایی مانند \u043f\u0440\u0438\u0432\u0435\u0442 کدگذاری می‌شوند. این امر پشتیبانی از زبان‌های ملی را در سیستم‌هایی که فقط با زبان پیش‌فرض کار می‌کنند، تضمین می‌کند.

برای درک محتوای چنین متنی، معمولاً باید Hackvertor را پیکربندی کنید یا محتوا را از طریق پایتون رمزگشایی کنید، که خیلی راحت نیست. همچنین می‌توانید افزونه‌هایی برای Burp در اینترنت پیدا کنید که توالی‌های Unicode Escaped را تبدیل می‌کنند - با این حال، آنها مدت‌ها پیش نوشته شده‌اند و دیگر در آخرین نسخه‌های Burp کار نمی‌کنند.

به همین دلیل است که متخصص ما، Evgeny Velikoivanenko، افزونه UnUnicode خود را نوشته است که به شما امکان می‌دهد به راحتی json های دارای کاراکترهای escape شده را به فرمتی قابل خواندن تبدیل کنید. این افزونه می‌تواند در تب‌های Proxy و Repeater کار کند و همچنین با سوکت‌های وب نیز کار می‌کند.

می‌توانید UnUnicode را از GitHub دانلود کنید.
https://github.com/bit4woo/u2c
اگر این دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم. 
🏭 وبسایت و کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
@pedram_kiani
کانال تلگرام:
https://t.me/ics_cert
گروه تلگرام:
https://t.me/ICSCERT_IR
گروه ایتا:
https://eitaa.com/joinchat/1866007784Cfd023f90b2

آسیب‌پذیری جدید سرور مایکروسافت اکسچنج به مهاجمان اجازه می‌دهد تا امتیازات مدیریتی کسب کنند.

این آسیب‌پذیری که با شناسه CVE-2025-53786 ردیابی می‌شود، پس از ارائه توسط یک محقق امنیتی در کنفرانس امنیت سایبری Black Hat، رسماً توسط مایکروسافت در تاریخ ۶ آگوست ۲۰۲۵ مستند شد.

این آسیب‌پذیری ناشی از معماری استقرار ترکیبی Exchange مایکروسافت است که به طور سنتی از یک سرویس اصلی مشترک بین سرورهای Exchange داخلی و Exchange Online برای احراز هویت استفاده می‌کرد.
محقق امنیتی، دیرک-یان مولما از شرکت آوتسایدر سکیوریتی، تکنیک‌های بهره‌برداری دقیقی را در کنفرانس بلک هت ۲۰۲۵ ارائه داد و نشان داد که چگونه مهاجمان می‌توانند از این پیکربندی برای تغییر رمزهای عبور کاربران، تبدیل کاربران ابری به کاربران ترکیبی و جعل هویت کاربران ترکیبی استفاده کنند.

مولما در طول ارائه خود توضیح داد: «این توکن‌ها، اساساً به مدت ۲۴ ساعت اعتبار دارند. شما نمی‌توانید آنها را لغو کنید. بنابراین اگر کسی این توکن را داشته باشد، از نظر دفاعی مطلقاً هیچ کاری نمی‌توانید انجام دهید.»

این آسیب‌پذیری از توکن‌های دسترسی ویژه‌ای که برای ارتباط سرور Exchange با مایکروسافت ۳۶۵ استفاده می‌شوند، سوءاستفاده می‌کند . این توکن‌ها پس از سرقت قابل لغو نیستند و به مهاجمان تا ۲۴ ساعت دسترسی بدون کنترل می‌دهند.

این آسیب‌پذیری «به یک عامل تهدید سایبری با دسترسی مدیریتی به یک سرور پیش‌فرض Microsoft Exchange اجازه می‌دهد تا با سوءاستفاده از پیکربندی‌های آسیب‌پذیرِ ترکیبی-پیوندی، امتیازات خود را افزایش دهد».

آسیب‌پذیری سرور مایکروسافت اکسچنج
در صورت عدم رسیدگی، این نقص می‌تواند بر تمامیت هویت سرویس Exchange Online یک سازمان تأثیر بگذارد.

نکته قابل توجه این است که مایکروسافت پیش از این از طریق تغییرات امنیتی اعلام شده در 18 آوریل 2025، شروع به رفع این آسیب‌پذیری کرده بود. این شرکت راهنمای تغییرات امنیتی سرور Exchange برای استقرارهای ترکیبی را در کنار یک اصلاحیه فوری غیرامنیتی منتشر کرد، ظاهراً برای بهبود امنیت استقرارهای ترکیبی Exchange.

با این حال، تحقیقات بعدی نشان داد که این مراحل پیکربندی در واقع یک آسیب‌پذیری امنیتی واقعی را برطرف می‌کنند و مایکروسافت را بر آن داشت تا کد CVE-2025-53786 را برای مستندسازی رسمی این نقص منتشر کند.

اعلامیه ماه آوریل، انتقال از اصول خدمات مشترک به برنامه‌های ترکیبی اختصاصی Exchange را معرفی کرد. این تغییر برای از بین بردن مشکلات مربوط به مرز امنیتی که این آسیب‌پذیری را ممکن می‌کرد، طراحی شده بود.

اسناد رسمی مایکروسافت توضیح می‌دهد که Exchange Server قبلاً از «یک سرویس اصلی مشترک با همان برنامه Exchange Online» برای ویژگی‌های ترکیبی مانند اشتراک‌گذاری تقویم و تصاویر پروفایل کاربر استفاده می‌کرد.

این آسیب‌پذیری سناریوهای حمله پیچیده‌ای را ممکن می‌سازد که در آن مهاجمان با دسترسی اولیه مدیریتی به سرورهای Exchange داخلی می‌توانند امتیازات خود را در محیط‌های ابری متصل افزایش دهند.

سوءاستفاده موفقیت‌آمیز می‌تواند مهاجمان را قادر سازد تا «در محیط ابری متصل سازمان، بدون برجای گذاشتن ردپایی که به راحتی قابل تشخیص و حسابرسی باشد»، امتیازات خود را افزایش دهند.

پیچیدگی حمله بالا ارزیابی شده است و مستلزم آن است که مهاجمان ابتدا دسترسی مدیریتی روی یک سرور Exchange داشته باشند. با این حال، پس از برآورده شدن این پیش‌نیاز، رتبه‌بندی تغییر دامنه آسیب‌پذیری نشان می‌دهد که سوءاستفاده می‌تواند منابعی فراتر از مؤلفه اولیه آسیب‌پذیر را تحت تأثیر قرار دهد.

این ویژگی، آن را به ویژه برای سازمان‌هایی که از Exchange ترکیبی استفاده می‌کنند، خطرناک می‌کند، زیرا یک سرور داخلیِ آسیب‌پذیر می‌تواند دسترسی ابری گسترده‌ای را فراهم کند.

کارشناسان امنیتی خاطرنشان کرده‌اند که این آسیب‌پذیری به‌ویژه نگران‌کننده است زیرا در لایه هویت عمل می‌کند و به‌طور بالقوه به مهاجمان اجازه می‌دهد مجوزهای اجرایی را تغییر دهند و دسترسی مداوم بین سیستم‌های Exchange داخلی و Microsoft 365 برقرار کنند.

مایکروسافت اظهار داشته است که تا تاریخ اعلام این خبر، هیچ سوءاستفاده‌ای از این آسیب‌پذیری مشاهده نشده است، اگرچه محققان امنیتی حملات اثبات مفهومی را نشان داده‌اند.
اگر این دیدگاه شما را تغییر داد، به اشتراک بگذارید.
بیایید با هم استانداردها را بالا ببریم. 
🏭 وبسایت و کانال تخصصی امنیت زیرساختهای اتوماسیون و کنترل صنعتی
@pedram_kiani
کانال تلگرام:
https://t.me/ics_cert
گروه تلگرام:
https://t.me/ICSCERT_IR
گروه ایتا:
https://eitaa.com/joinchat/1866007784Cfd023f90b2