خب این جمعه تمرکز رو بگذاریم رو تحلیل بدافزار
شروع رو از یک تمرین ساده با Ghidra داریم
خیلی سختش نکنید
ویدئو رو ببینید
این لینک هم بخونین
https://medium.com/@cy1337/reversing-a-simple-crackme-with-ghidra-decompiler-5dd1b1c3c0ba
#آکادمی_روزبه
https://m.youtube.com/watch?v=fTGTnrgjuGA
شروع رو از یک تمرین ساده با Ghidra داریم
خیلی سختش نکنید
ویدئو رو ببینید
این لینک هم بخونین
https://medium.com/@cy1337/reversing-a-simple-crackme-with-ghidra-decompiler-5dd1b1c3c0ba
#آکادمی_روزبه
https://m.youtube.com/watch?v=fTGTnrgjuGA
YouTube
Ghidra quickstart & tutorial: Solving a simple crackme
In this introduction to Ghidra we will solve a simple crackme - without reading any assembly!
Twitter: https://twitter.com/ghidraninja
Links from the video:
Crackme: https://crackmes.one/crackme/5b8a37a433c5d45fc286ad83
Download Ghidra: https://ghidra-sre.org…
Twitter: https://twitter.com/ghidraninja
Links from the video:
Crackme: https://crackmes.one/crackme/5b8a37a433c5d45fc286ad83
Download Ghidra: https://ghidra-sre.org…
آکادمی آموزش روزبه 📚
خب این جمعه تمرکز رو بگذاریم رو تحلیل بدافزار شروع رو از یک تمرین ساده با Ghidra داریم خیلی سختش نکنید ویدئو رو ببینید این لینک هم بخونین https://medium.com/@cy1337/reversing-a-simple-crackme-with-ghidra-decompiler-5dd1b1c3c0ba #آکادمی_روزبه ht…
یک تحلیل واقعی
برای مبتدیان
برای انجام یک تحلیل واقعی با استفاده از Ghidra، میتوانیم یک نمونه ساده از برنامه‌های CrackMe را بررسی کنیم. این برنامه‌ها برای تمرین مهارت‌های مهندسی معکوس طراحی شده‌اند و محیطی امن برای یادگیری فراهم می‌کنند.
مرحله 1: دانلود یک نمونه CrackMe
دریافت فایل:
به وب‌سایت Crackmes.one مراجعه کنید.
یک CrackMe با سطح دشواری "آسان" را انتخاب و دانلود کنید.
مرحله 2: راه‌اندازی Ghidra
ایجاد پروژه جدید:
Ghidra را باز کنید و یک پروژه جدید ایجاد کنید.
نام پروژه را متناسب با نمونه انتخابی قرار دهید.
وارد کردن فایل اجرایی:
فایل CrackMe دانلودشده را به پروژه وارد کنید.
Ghidra به‌طور خودکار نوع فایل را شناسایی میکند.
مرحله 3: تحلیل اولیه فایل
اجرای تحلیل خودکار:
پس از وارد کردن فایل، Ghidra پیشنهاد می‌دهد که تحلیل خودکار را انجام دهد؛ این فرآیند را تأیید کنید.
این تحلیل شامل شناسایی توابع، رشته‌ها و ساختارهای داده‌ای است.
مرحله 4: جستجوی رشته‌ها (Strings)
نمایش رشته‌ها:
از منوی Window > Defined Strings استفاده کنید تا تمامی رشته‌های موجود در برنامه را مشاهده کنید.
به دنبال رشته‌هایی مانند "Password incorrect" یا "Access granted" باشید که ممکن است به فرآیند تأیید رمز عبور مرتبط باشند.
مرحله 5: تحلیل توابع مرتبط با رمز عبور
شناسایی توابع مهم:
در پنجره Symbol Tree، به بخش Functions بروید و توابعی که ممکن است با تأیید رمز عبور مرتبط باشند را شناسایی کنید.
توابعی با نام‌هایی مانند check_password یا validate می‌توانند مورد توجه باشند.
دی‌کامپایل توابع:
روی تابع مورد نظر دوبار کلیک کنید تا کد اسمبلی آن نمایش داده شود.
در پنجره Decompile، کد شبهC نمایش داده می‌شود که درک آن ساده‌تر است.
مرحله 6: شناسایی رمز عبور
بررسی منطق تأیید:
در کد دی‌کامپایل‌شده، به دنبال مقایسه‌هایی باشید که ورودی کاربر را با یک مقدار ثابت مقایسه می‌کنند.
اگر مقدار ثابت (رمز عبور) در کد مشخص باشد، میتوانید آن را استخراج کنید.
شناسایی الگوریتم‌های مبهم‌سازی:
در صورتی که رمز عبور به‌صورت مستقیم در کد نباشد، ممکن است از الگوریتم‌های رمزنگاری یا مبهم‌سازی استفاده شده باشد که نیاز به تحلیل دقیق‌تر دارد.
مرحله 7: آزمایش رمز عبور
اجرای برنامه:
برنامه CrackMe را اجرا کنید و رمز عبور استخراج‌شده را وارد کنید.
در صورت صحیح بودن تحلیل، باید پیام موفقیت را مشاهده کنید.
#آکادمی_روزبه
برای مبتدیان
برای انجام یک تحلیل واقعی با استفاده از Ghidra، میتوانیم یک نمونه ساده از برنامه‌های CrackMe را بررسی کنیم. این برنامه‌ها برای تمرین مهارت‌های مهندسی معکوس طراحی شده‌اند و محیطی امن برای یادگیری فراهم می‌کنند.
مرحله 1: دانلود یک نمونه CrackMe
دریافت فایل:
به وب‌سایت Crackmes.one مراجعه کنید.
یک CrackMe با سطح دشواری "آسان" را انتخاب و دانلود کنید.
مرحله 2: راه‌اندازی Ghidra
ایجاد پروژه جدید:
Ghidra را باز کنید و یک پروژه جدید ایجاد کنید.
نام پروژه را متناسب با نمونه انتخابی قرار دهید.
وارد کردن فایل اجرایی:
فایل CrackMe دانلودشده را به پروژه وارد کنید.
Ghidra به‌طور خودکار نوع فایل را شناسایی میکند.
مرحله 3: تحلیل اولیه فایل
اجرای تحلیل خودکار:
پس از وارد کردن فایل، Ghidra پیشنهاد می‌دهد که تحلیل خودکار را انجام دهد؛ این فرآیند را تأیید کنید.
این تحلیل شامل شناسایی توابع، رشته‌ها و ساختارهای داده‌ای است.
مرحله 4: جستجوی رشته‌ها (Strings)
نمایش رشته‌ها:
از منوی Window > Defined Strings استفاده کنید تا تمامی رشته‌های موجود در برنامه را مشاهده کنید.
به دنبال رشته‌هایی مانند "Password incorrect" یا "Access granted" باشید که ممکن است به فرآیند تأیید رمز عبور مرتبط باشند.
مرحله 5: تحلیل توابع مرتبط با رمز عبور
شناسایی توابع مهم:
در پنجره Symbol Tree، به بخش Functions بروید و توابعی که ممکن است با تأیید رمز عبور مرتبط باشند را شناسایی کنید.
توابعی با نام‌هایی مانند check_password یا validate می‌توانند مورد توجه باشند.
دی‌کامپایل توابع:
روی تابع مورد نظر دوبار کلیک کنید تا کد اسمبلی آن نمایش داده شود.
در پنجره Decompile، کد شبهC نمایش داده می‌شود که درک آن ساده‌تر است.
مرحله 6: شناسایی رمز عبور
بررسی منطق تأیید:
در کد دی‌کامپایل‌شده، به دنبال مقایسه‌هایی باشید که ورودی کاربر را با یک مقدار ثابت مقایسه می‌کنند.
اگر مقدار ثابت (رمز عبور) در کد مشخص باشد، میتوانید آن را استخراج کنید.
شناسایی الگوریتم‌های مبهم‌سازی:
در صورتی که رمز عبور به‌صورت مستقیم در کد نباشد، ممکن است از الگوریتم‌های رمزنگاری یا مبهم‌سازی استفاده شده باشد که نیاز به تحلیل دقیق‌تر دارد.
مرحله 7: آزمایش رمز عبور
اجرای برنامه:
برنامه CrackMe را اجرا کنید و رمز عبور استخراج‌شده را وارد کنید.
در صورت صحیح بودن تحلیل، باید پیام موفقیت را مشاهده کنید.
#آکادمی_روزبه
علیرغم تحریم ایران توسط ISACA ارائه سرفصل مدرک CCOAمطابق تصویر فوق امکان پذیر است
جهت ثبت نام سازمانی تماس از طریق واتس اپ 09902857290
#آکادمی_روزبه
سرفصل های رسمی و بین المللی
#من_آموزش_میدهم
جهت ثبت نام سازمانی تماس از طریق واتس اپ 09902857290
#آکادمی_روزبه
سرفصل های رسمی و بین المللی
#من_آموزش_میدهم
کشف دامپ با taskmanager
✍️روزبه نوروزی
در حمله ای مشاهده شده که هکر با دسترسی ادمینی که داشته بجای استفاده از Mimikatz از taskmanager اومده و دامپ lsass.exe رو گرفته تا بتونه کردنشیال رو دربیاره .
چرا از این روش که استفاده از LOLBins - ابزارهای ویندوز-نام داره استفاده کرده ؟
تا ابزارهای حساس به Mimikatz که ابزاری هکری هست فعال نشن.
واسه گرفتن این رفتار من از سیسمون استفاده میکنم. به شرح کانفیگ فایل زیر .
شما هم اگر نظری دارید بفرمایید .
<EventFiltering>
<ProcessAccess onmatch="include">
<TargetImage condition="contains">lsass.exe</TargetImage>
<SourceImage condition="contains">taskmgr.exe</SourceImage>
<GrantedAccess condition="contains">0x1410</GrantedAccess> <!-- Specific LSASS memory access -->
</ProcessAccess>
<ProcessCreate onmatch="include">
<Image condition="contains">taskmgr.exe</Image>
<CommandLine condition="contains">lsass</CommandLine> <!-- Task Manager dump triggers -->
</ProcessCreate>
<FileCreate onmatch="include">
<TargetFilename condition="ends with">.dmp</TargetFilename>
<TargetFilename condition="contains">\Windows\Temp\</TargetFilename>
<TargetFilename condition="contains">\CrashDumps\</TargetFilename>
</FileCreate>
</EventFiltering>
تایپ دسترسی (0x1410) تلاش برای خواندن رو لاگ میکنه اگر شما اینو که فیلتر GrantedAccess است در کانفیگ سیسمون نداشته باشید دچار FP میشین.
حتما باید ایجاد پراسس پایش بشه
خروجی دامپ با پسوند .dmp
#آکادمی_روزبه
✍️روزبه نوروزی
در حمله ای مشاهده شده که هکر با دسترسی ادمینی که داشته بجای استفاده از Mimikatz از taskmanager اومده و دامپ lsass.exe رو گرفته تا بتونه کردنشیال رو دربیاره .
چرا از این روش که استفاده از LOLBins - ابزارهای ویندوز-نام داره استفاده کرده ؟
تا ابزارهای حساس به Mimikatz که ابزاری هکری هست فعال نشن.
واسه گرفتن این رفتار من از سیسمون استفاده میکنم. به شرح کانفیگ فایل زیر .
شما هم اگر نظری دارید بفرمایید .
<EventFiltering>
<ProcessAccess onmatch="include">
<TargetImage condition="contains">lsass.exe</TargetImage>
<SourceImage condition="contains">taskmgr.exe</SourceImage>
<GrantedAccess condition="contains">0x1410</GrantedAccess> <!-- Specific LSASS memory access -->
</ProcessAccess>
<ProcessCreate onmatch="include">
<Image condition="contains">taskmgr.exe</Image>
<CommandLine condition="contains">lsass</CommandLine> <!-- Task Manager dump triggers -->
</ProcessCreate>
<FileCreate onmatch="include">
<TargetFilename condition="ends with">.dmp</TargetFilename>
<TargetFilename condition="contains">\Windows\Temp\</TargetFilename>
<TargetFilename condition="contains">\CrashDumps\</TargetFilename>
</FileCreate>
</EventFiltering>
تایپ دسترسی (0x1410) تلاش برای خواندن رو لاگ میکنه اگر شما اینو که فیلتر GrantedAccess است در کانفیگ سیسمون نداشته باشید دچار FP میشین.
حتما باید ایجاد پراسس پایش بشه
خروجی دامپ با پسوند .dmp
#آکادمی_روزبه
managing-cyber-risk-stakeholder-capitalism.pdf
1.6 MB
مقاله فوق: "مدیریت ریسک سایبری در عصر سرمایه‌داری ذینفع‌محور" ،
نشان می‌دهد که رویکردهای سنتی ارزیابی ریسک‌های سایبری ناکافی هستند و نیاز به یک چارچوب جامع‌تر وجود دارد. با استفاده از معیارهای اجتماعی و حکمرانی (SG)، سازمانها می‌توانند هزینه‌های واقعی ناشی از نقض امنیت سایبری را بهتر درک کنند و استراتژی‌های بهتری برای مدیریت این ریسک‌ها توسعه دهند.
بخشی از منبع درسISSMP مدیر ارشد امنیت سایبری
با سرفصل روز
این پنج شنبه جلسه ششم
نشان می‌دهد که رویکردهای سنتی ارزیابی ریسک‌های سایبری ناکافی هستند و نیاز به یک چارچوب جامع‌تر وجود دارد. با استفاده از معیارهای اجتماعی و حکمرانی (SG)، سازمانها می‌توانند هزینه‌های واقعی ناشی از نقض امنیت سایبری را بهتر درک کنند و استراتژی‌های بهتری برای مدیریت این ریسک‌ها توسعه دهند.
بخشی از منبع درسISSMP مدیر ارشد امنیت سایبری
با سرفصل روز
این پنج شنبه جلسه ششم
چرادوره CISSP عمومی را فعلا برگزار نمیکنم ؟
✍️روزبه نوروزی
پس از 3 ماه تبلیغات تنها 7 نفر برای دوره CISSP ثبت نام قطعی داشته ایم و این موضوع برای بنده هم ناامید کننده است و هم اینکه در پروژه های زیادی درگیر هستم و ترجیح میدهم در آنها مشغول باشم چون حس مفید بودن بیشتری دارم . این در شرایطی است که درایران فقط 6 دارنده این مدرک را داریم و در نسبت به رشد سایبری با کشورهای همطراز بسیار عقب هستیم. این مدرک یکی از عالی ترین مدارک دنیای IT است که در صحنه جهان نقش بسزایی در نقل انتقال استخدامی ایفا میکند و تعداد دارندگان مدرک نسبت مستقیمی با رشد سایبری کشورها دارد.
قبول دارم که بدلایل اقتصادی اخذ مدرک رسمی مشکل تر از خود آزمون ( که خودش غول عظیمی است ) شده است اما وجود افرادی با دانش کامل CISSP نیاز توسعه ای ایران میباشد.
به بیان دیگر همانطور که برای توسعه نیاز به دکتر ، مهندس و تکنسین داریم نیاز به متخصص در سطح CISSP هم برای مدیریت پروژه های کشور و هم برای ایفای کارشناسی ارشد وجود دارد .
این جمله نافی وجود متخصص با سواد همطراز CISSP در کشور نیست. اما بنا به دلیل اینکه آموزش مکفی و اخذ مدرک رسمی وجود ندارد امکان بررسی صلاحیت کسب کرسی های مدیریت و کارشناسی ارشد وجود ندارد و فقط از راههای معرفی امکان این هست و خب خطاهای خود را دارد .
در کل باید گفت هر فرد میتواند گستره ای وسیع از دانش ها را داشته باشد اما وقتی در چهارچوب هایی چون سنز و ISC2 درمیاید میتونیم مطمین شویم دانش ایشان یکنواخت است و بصورت اصولی آجرهای دانشی روی هم گذاشته شده اند. در این حال ما با شخص پخته ای در علم امنیت اطلاعات مواجه هستیم که میتوانیم امورات را با خیال راحت به او بسپریم.
بازهم تاکید میکنم نه CISSPمعجزه میکند و نه آنکه CISSPندارد الزاما کم سواداست بلکه ترویج مدارکی چون CISSP ساختار سازی جامعه و پشتیبانی از تلاش و پاداش دهی به خواستن و توانسن افراد است.
تا کنون در این سالها دوره های بسیاری از CISSP داشته ام ولی فقط 12 نفر را صلاح دیدم آزمون دهند و توصیه کردم آزمون دهند که همانها که حدس زدم قبول هم شدند. اما متاسفانه همگی مهاجرت کرده اند.
شاید این مشکلی که در تشکیل کلاس پیش آمده به مهاجرت نخبه های عالی که هدایتگر لایه پایین تر بودند برمیگردد.
ضمنا با توجه به کیفیت کلاس، مزایای جانبی و همچنین سطح و سابقه مورد نیاز برای شرکت در کلاس ، هزینه کلاس هم معقول و قابل پرداخت است.
خداروشکر ، بنده هم شغل خود را دارم هم فان مربوطه که مطالعه و تحقیق است که در پست هایم میبینید که هم از خوانده ها میگویم هم از تجربیات.
خواستم با برگزاری این کلاس عمومی ،پیرو یادگاری های قبلی بازهم از خود چیزی برای این کشور داشته باشم که این بار نشد.
حالا باز اگر دوستان خواستند امکان برگزاری در بهار خواهد بود. اما خداروشکر هنوز در برخی مجموعه ها افراد باسواد و دلسوز وجود دارند لذا برای ایشان بصورت درون سازمانی وقت میگذارم و حس خوبی دارم .
✍️روزبه نوروزی
پس از 3 ماه تبلیغات تنها 7 نفر برای دوره CISSP ثبت نام قطعی داشته ایم و این موضوع برای بنده هم ناامید کننده است و هم اینکه در پروژه های زیادی درگیر هستم و ترجیح میدهم در آنها مشغول باشم چون حس مفید بودن بیشتری دارم . این در شرایطی است که درایران فقط 6 دارنده این مدرک را داریم و در نسبت به رشد سایبری با کشورهای همطراز بسیار عقب هستیم. این مدرک یکی از عالی ترین مدارک دنیای IT است که در صحنه جهان نقش بسزایی در نقل انتقال استخدامی ایفا میکند و تعداد دارندگان مدرک نسبت مستقیمی با رشد سایبری کشورها دارد.
قبول دارم که بدلایل اقتصادی اخذ مدرک رسمی مشکل تر از خود آزمون ( که خودش غول عظیمی است ) شده است اما وجود افرادی با دانش کامل CISSP نیاز توسعه ای ایران میباشد.
به بیان دیگر همانطور که برای توسعه نیاز به دکتر ، مهندس و تکنسین داریم نیاز به متخصص در سطح CISSP هم برای مدیریت پروژه های کشور و هم برای ایفای کارشناسی ارشد وجود دارد .
این جمله نافی وجود متخصص با سواد همطراز CISSP در کشور نیست. اما بنا به دلیل اینکه آموزش مکفی و اخذ مدرک رسمی وجود ندارد امکان بررسی صلاحیت کسب کرسی های مدیریت و کارشناسی ارشد وجود ندارد و فقط از راههای معرفی امکان این هست و خب خطاهای خود را دارد .
در کل باید گفت هر فرد میتواند گستره ای وسیع از دانش ها را داشته باشد اما وقتی در چهارچوب هایی چون سنز و ISC2 درمیاید میتونیم مطمین شویم دانش ایشان یکنواخت است و بصورت اصولی آجرهای دانشی روی هم گذاشته شده اند. در این حال ما با شخص پخته ای در علم امنیت اطلاعات مواجه هستیم که میتوانیم امورات را با خیال راحت به او بسپریم.
بازهم تاکید میکنم نه CISSPمعجزه میکند و نه آنکه CISSPندارد الزاما کم سواداست بلکه ترویج مدارکی چون CISSP ساختار سازی جامعه و پشتیبانی از تلاش و پاداش دهی به خواستن و توانسن افراد است.
تا کنون در این سالها دوره های بسیاری از CISSP داشته ام ولی فقط 12 نفر را صلاح دیدم آزمون دهند و توصیه کردم آزمون دهند که همانها که حدس زدم قبول هم شدند. اما متاسفانه همگی مهاجرت کرده اند.
شاید این مشکلی که در تشکیل کلاس پیش آمده به مهاجرت نخبه های عالی که هدایتگر لایه پایین تر بودند برمیگردد.
ضمنا با توجه به کیفیت کلاس، مزایای جانبی و همچنین سطح و سابقه مورد نیاز برای شرکت در کلاس ، هزینه کلاس هم معقول و قابل پرداخت است.
خداروشکر ، بنده هم شغل خود را دارم هم فان مربوطه که مطالعه و تحقیق است که در پست هایم میبینید که هم از خوانده ها میگویم هم از تجربیات.
خواستم با برگزاری این کلاس عمومی ،پیرو یادگاری های قبلی بازهم از خود چیزی برای این کشور داشته باشم که این بار نشد.
حالا باز اگر دوستان خواستند امکان برگزاری در بهار خواهد بود. اما خداروشکر هنوز در برخی مجموعه ها افراد باسواد و دلسوز وجود دارند لذا برای ایشان بصورت درون سازمانی وقت میگذارم و حس خوبی دارم .
🔴مهم برای SOC
پراسس هالویینگ با آخرین به روز رسانی ویندوز ۱۱ دیگر ممکن نیست !
اما لینک زیر چیز دیگر می‌گوید
پس به فکر کشف باشید که دیر نشود
#آکادمی_روزبه
#من_آموزش_میدهم
https://hshrzd.wordpress.com/2025/01/27/process-hollowing-on-windows-11-24h2/
پراسس هالویینگ با آخرین به روز رسانی ویندوز ۱۱ دیگر ممکن نیست !
اما لینک زیر چیز دیگر می‌گوید
پس به فکر کشف باشید که دیر نشود
#آکادمی_روزبه
#من_آموزش_میدهم
https://hshrzd.wordpress.com/2025/01/27/process-hollowing-on-windows-11-24h2/
hasherezade's 1001 nights
Process Hollowing on Windows 11 24H2
Process Hollowing (a.k.a. RunPE) is probably the oldest, and the most popular process impersonation technique (it allows to run a malicious executable under the cover of a benign process). It is us…
مقاله تحلیلی DFIR
#من_آموزش_میدهم
#آموزش_میدهم
https://thedfirreport.com/2025/01/27/cobalt-strike-and-a-pair-of-socks-lead-to-lockbit-ransomware/
#من_آموزش_میدهم
#آموزش_میدهم
https://thedfirreport.com/2025/01/27/cobalt-strike-and-a-pair-of-socks-lead-to-lockbit-ransomware/
The DFIR Report
Cobalt Strike and a Pair of SOCKS Lead to LockBit Ransomware
Key Takeaways This intrusion began with the download and execution of a Cobalt Strike beacon that impersonated a Windows Media Configuration Utility. The threat actor used Rclone to exfiltrate data…
آکادمی آموزش روزبه 📚
🔴مهم برای SOC پراسس هالویینگ با آخرین به روز رسانی ویندوز ۱۱ دیگر ممکن نیست ! اما لینک زیر چیز دیگر می‌گوید پس به فکر کشف باشید که دیر نشود #آکادمی_روزبه #من_آموزش_میدهم https://hshrzd.wordpress.com/2025/01/27/process-hollowing-on-windows-11-24h2/
Process Hollowing on Windows 11 24H2.wav
37.4 MB
این پادکست رو در خصوص پست پراسس هالوینگ با NotebookLM ساختم .
جالب شده .
#آکادمی_روزبه
#من_آموزش_میدهم
جالب شده .
#آکادمی_روزبه
#من_آموزش_میدهم
ران بوک های مدیریت حادثه
با تشک از اشتراک مطلب توسط جناب دکتر میثم اصلاحی
#آکادمی_روزبه
https://github.com/securitytemplates/sectemplates/blob/main/incident-response/v1/Incident_response_runbook.md
با تشک از اشتراک مطلب توسط جناب دکتر میثم اصلاحی
#آکادمی_روزبه
https://github.com/securitytemplates/sectemplates/blob/main/incident-response/v1/Incident_response_runbook.md
GitHub
sectemplates/incident-response/v1/Incident_response_runbook.md at main · securitytemplates/sectemplates
Open source templates you can use to bootstrap your security programs - securitytemplates/sectemplates
ISSMP-Exam-Outline-November-2023-English.pdf
466 KB
❤️ایران ما به نظرم امروزه بیشتر از آنکه متخصص فنی امنیت بخواهد ، متخصص مدیریت و رهبری امنیت لازم دارد .
لذا این سرفصل از سازمان ISC2 را بخوانید
🟢اگر مشکل در مدیریت و رهبری امنیت دارید میتوانید بیایید در یک جمع خودمانی عید نوروز دوره ISSMP داشته باشیم .
در این دوره فضاهای خالی در مدیریت امنیت را در ذهنمان پر میکنیم و استراتژی های امنیت را مرور میکنیم تا بتوانیم یک حامی باشیم برای طرح ها و متخصصان امنیت .
✅اگر علاقمند بودید پیام دهید به واتس اپ زیر و فقط اسم بدهید. 09902857290 اگر تعداد 15 نفر شد یک کمپ فشرده 6 روزه در نوروز 1404 روزی 4 ساعت خواهیم داشت تا سال آینده با قدرتی دو چندان طرح های امنیت را ارایه و مدیریت کنید.
🌹لطفا با تفکر ثبت نام کنید چون در کلاس باید باانگیزه حاضر شوید
لذا این سرفصل از سازمان ISC2 را بخوانید
🟢اگر مشکل در مدیریت و رهبری امنیت دارید میتوانید بیایید در یک جمع خودمانی عید نوروز دوره ISSMP داشته باشیم .
در این دوره فضاهای خالی در مدیریت امنیت را در ذهنمان پر میکنیم و استراتژی های امنیت را مرور میکنیم تا بتوانیم یک حامی باشیم برای طرح ها و متخصصان امنیت .
✅اگر علاقمند بودید پیام دهید به واتس اپ زیر و فقط اسم بدهید. 09902857290 اگر تعداد 15 نفر شد یک کمپ فشرده 6 روزه در نوروز 1404 روزی 4 ساعت خواهیم داشت تا سال آینده با قدرتی دو چندان طرح های امنیت را ارایه و مدیریت کنید.
🌹لطفا با تفکر ثبت نام کنید چون در کلاس باید باانگیزه حاضر شوید
ضمنا دوستان بسیاری ابراز لطف کردند و درخواست دوره CISSP داشتند🌷🙏.
انشاالله دوره بعدی در اردیبهشت 1404است. میتوانید اسم خود را به واتس اپ زیر بدهید 09902857290 تا درصورتی که به حد نصاب برسد تشکیل گردد.
انشاالله دوره بعدی در اردیبهشت 1404است. میتوانید اسم خود را به واتس اپ زیر بدهید 09902857290 تا درصورتی که به حد نصاب برسد تشکیل گردد.
joint-guidance-closing-the-software-understanding-gap-508c.pdf
944.9 KB
نگاهی به امنیت نرم افزار از زاویه ای دیگر
مستندی جدید در سال 2025
مقاله ای از سازمان‌هایCISA, DARPA, OUSD R&E, and NSA
#آکادمی_روزبه
مستندی جدید در سال 2025
مقاله ای از سازمان‌هایCISA, DARPA, OUSD R&E, and NSA
#آکادمی_روزبه
یه تحلیل
بخونین بعد بخوابین خوبه
فوری نیست ولی آموزنده است
#آکادمی_روزبه
https://www.fortinet.com/blog/threat-research/coyote-banking-trojan-a-stealthy-attack-via-lnk-files
بخونین بعد بخوابین خوبه
فوری نیست ولی آموزنده است
#آکادمی_روزبه
https://www.fortinet.com/blog/threat-research/coyote-banking-trojan-a-stealthy-attack-via-lnk-files
Fortinet Blog
Coyote Banking Trojan: A Stealthy Attack via LNK Files
FortiGuard Labs observes a threat actor using a LNK file to deploy Coyote attacks, unleashing malicious payloads and escalating the risk to financial cybersecurity.…
⭕️ شاید خطر مهم برای ما !!
یک فناوری مایکروسافت برای کمک به آنتی ویروس ؛ EDR و XDR
این پست را پیرو ابهام برخی دوستان در مورد پست قبلی ام در خصوص Bypass محصولات امنیتی میگذارم. فناوری PPL
✅️فناوری Protected Process Light (PPL)یک مکانیسم امنیتی در ویندوز است که با استفاده از آن، مایکروسافت سطح محافظتی ویژه‌ای برای پردازش‌های حساس، مانند آنتی‌ویروس‌ها و EDRها، فراهم میکند. این مکانیسم چندین مزیت مهم برای این ابزارهای امنیتی دارد:
۱. جلوگیری از حملات تزریق کد و دستکاری پردازش
بدافزارها معمولاً سعی می‌کنند با تزریق کد به پردازش‌های امنیتی یا تغییر حافظه آنها، فعالیتشان را غیرفعال کنند.
مکانیسم PPL اجازه نمی‌دهد که پردازش‌های غیرمجاز (حتی با سطح دسترسی بالا) به پردازش‌های محافظت‌شده دسترسی داشته باشند، مگر اینکه خودشان هم سطح محافظت مشابهی داشته باشند.
۲. محافظت از سرویس‌های آنتی‌ویروس و EDR
بسیاری از آنتی‌ویروس‌ها و EDRها پردازش‌های اصلی خود را در حالت PPL اجرا می‌کنند، به این معنی که حتی با دسترسی SYSTEM نیز امکان متوقف کردن یا دستکاری آنها وجود ندارد.
این ویژگی مانع از غیرفعال‌سازی خودکار توسط بدافزارها می‌شود.
۳. محافظت از درایورهای کرنل
برخی راه‌حل‌های امنیتی علاوه بر پردازش‌های کاربری، از درایورهای کرنل هم استفاده می‌کنند.
این PPL میتواند از درایورهای مرتبط با این ابزارها نیز محافظت کند، به‌خصوص در برابر rootkitهایی که سعی در غیر فعال‌سازی درایورهای امنیتی دارند.
۴. افزایش سختی دور زدن مکانیزم‌های امنیتی
بدافزارهایی مانند KillAV معمولاً سعی می‌کنند سرویس‌های آنتی‌ویروس را متوقف کنند. اما PPL باعث می‌شود حتی اگر بدافزار دسترسی مدیریتی (Admin) هم داشته باشد، نتواند پردازش‌های آنتی‌ویروس یا EDR را متوقف کند.
۵. ارتباط امن با سایر سرویس‌های ویندوز
پردازش‌هایی که در حالت PPL اجرا می‌شوند، فقط می‌توانند با سایر پردازش‌های PPL یا پردازش‌های سیستمی خاص ارتباط داشته باشند.
این موضوع امنیت ارتباطات آنتی‌ویروس یا EDR با سرویس‌هایی مثل Windows Defender یا Credential Guard را افزایش می‌دهد.
🔴چالش‌های PPL
برخی بدافزارهای پیشرفته (مثل ابزارهای کرنل-level) سعی می‌کنند این مکانیزم را دور بزنند.
آنتی‌ویروس‌ها برای اجرای کامل در حالت PPL نیاز به امضای خاصی از مایکروسافت دارند
🔵نتیجه‌گیری
مکانیسم PPL یک سد امنیتی مهم برای جلوگیری از غیرفعال شدن یا دستکاری ابزارهای امنیتی مثل آنتی‌ویروس‌ها و EDR و XDR ها است. با این حال، سازمانها باید این مکانیسم را در کنار سایر اقدامات امنیتی، مثل کنترل دسترسی‌ها و بررسی تهدیدات در سطح کرنل، به کار ببرند تا اثربخشی بالایی داشته باشد.
✴️ خطر : با توجه به متن فوق ؛ درحال حاضر محصولات بومی در این زمینه ضعف دارند و می‌توانند Bypass شوند، چون نمی‌توانند مورد تایید مایکروسافت قرار گیرند پس در PPL نیستند لذا بازی شروع نشده ، یک بر صفر در مقابله با نفوذ و بدافزار عقب هستیم.
راه حلی نیز بعنوان راهکار جایگزین بصورت عملی توسط محصولات بومی ارائه نشده است .
💥این متن مخالفت با تولید بومی نیست و فقط دغدغه ای در حوزه امنیت سازمانها و امنیت ملی را مطرح میکند انشالله که حل شود.
#آکادمی_روزبه
لینک توضیح فناوری
https://learn.microsoft.com/en-us/windows/win32/services/protecting-anti-malware-services-
یک فناوری مایکروسافت برای کمک به آنتی ویروس ؛ EDR و XDR
این پست را پیرو ابهام برخی دوستان در مورد پست قبلی ام در خصوص Bypass محصولات امنیتی میگذارم. فناوری PPL
✅️فناوری Protected Process Light (PPL)یک مکانیسم امنیتی در ویندوز است که با استفاده از آن، مایکروسافت سطح محافظتی ویژه‌ای برای پردازش‌های حساس، مانند آنتی‌ویروس‌ها و EDRها، فراهم میکند. این مکانیسم چندین مزیت مهم برای این ابزارهای امنیتی دارد:
۱. جلوگیری از حملات تزریق کد و دستکاری پردازش
بدافزارها معمولاً سعی می‌کنند با تزریق کد به پردازش‌های امنیتی یا تغییر حافظه آنها، فعالیتشان را غیرفعال کنند.
مکانیسم PPL اجازه نمی‌دهد که پردازش‌های غیرمجاز (حتی با سطح دسترسی بالا) به پردازش‌های محافظت‌شده دسترسی داشته باشند، مگر اینکه خودشان هم سطح محافظت مشابهی داشته باشند.
۲. محافظت از سرویس‌های آنتی‌ویروس و EDR
بسیاری از آنتی‌ویروس‌ها و EDRها پردازش‌های اصلی خود را در حالت PPL اجرا می‌کنند، به این معنی که حتی با دسترسی SYSTEM نیز امکان متوقف کردن یا دستکاری آنها وجود ندارد.
این ویژگی مانع از غیرفعال‌سازی خودکار توسط بدافزارها می‌شود.
۳. محافظت از درایورهای کرنل
برخی راه‌حل‌های امنیتی علاوه بر پردازش‌های کاربری، از درایورهای کرنل هم استفاده می‌کنند.
این PPL میتواند از درایورهای مرتبط با این ابزارها نیز محافظت کند، به‌خصوص در برابر rootkitهایی که سعی در غیر فعال‌سازی درایورهای امنیتی دارند.
۴. افزایش سختی دور زدن مکانیزم‌های امنیتی
بدافزارهایی مانند KillAV معمولاً سعی می‌کنند سرویس‌های آنتی‌ویروس را متوقف کنند. اما PPL باعث می‌شود حتی اگر بدافزار دسترسی مدیریتی (Admin) هم داشته باشد، نتواند پردازش‌های آنتی‌ویروس یا EDR را متوقف کند.
۵. ارتباط امن با سایر سرویس‌های ویندوز
پردازش‌هایی که در حالت PPL اجرا می‌شوند، فقط می‌توانند با سایر پردازش‌های PPL یا پردازش‌های سیستمی خاص ارتباط داشته باشند.
این موضوع امنیت ارتباطات آنتی‌ویروس یا EDR با سرویس‌هایی مثل Windows Defender یا Credential Guard را افزایش می‌دهد.
🔴چالش‌های PPL
برخی بدافزارهای پیشرفته (مثل ابزارهای کرنل-level) سعی می‌کنند این مکانیزم را دور بزنند.
آنتی‌ویروس‌ها برای اجرای کامل در حالت PPL نیاز به امضای خاصی از مایکروسافت دارند
🔵نتیجه‌گیری
مکانیسم PPL یک سد امنیتی مهم برای جلوگیری از غیرفعال شدن یا دستکاری ابزارهای امنیتی مثل آنتی‌ویروس‌ها و EDR و XDR ها است. با این حال، سازمانها باید این مکانیسم را در کنار سایر اقدامات امنیتی، مثل کنترل دسترسی‌ها و بررسی تهدیدات در سطح کرنل، به کار ببرند تا اثربخشی بالایی داشته باشد.
✴️ خطر : با توجه به متن فوق ؛ درحال حاضر محصولات بومی در این زمینه ضعف دارند و می‌توانند Bypass شوند، چون نمی‌توانند مورد تایید مایکروسافت قرار گیرند پس در PPL نیستند لذا بازی شروع نشده ، یک بر صفر در مقابله با نفوذ و بدافزار عقب هستیم.
راه حلی نیز بعنوان راهکار جایگزین بصورت عملی توسط محصولات بومی ارائه نشده است .
💥این متن مخالفت با تولید بومی نیست و فقط دغدغه ای در حوزه امنیت سازمانها و امنیت ملی را مطرح میکند انشالله که حل شود.
#آکادمی_روزبه
لینک توضیح فناوری
https://learn.microsoft.com/en-us/windows/win32/services/protecting-anti-malware-services-
Docs
Protecting anti-malware services - Win32 apps
Learn about protecting anti-malware (AM) user mode services and how you can opt to include this feature in your anti-malware service.
اسکنر داده های حساس در ریپو ها ( نمایشگر و اسکنر )
#آکادمی_روزبه
https://github.com/GONZOsint/trufflehog-explorer
#آکادمی_روزبه
https://github.com/GONZOsint/trufflehog-explorer
GitHub
GitHub - GONZOsint/trufflehog-explorer: TruffleHog Explorer, a user-friendly web-based tool to visualize and analyze data extracted…
TruffleHog Explorer, a user-friendly web-based tool to visualize and analyze data extracted using TruffleHog. - GONZOsint/trufflehog-explorer
دیباگینگ (Debugging) چیست؟
اصولا دیباگینگ فرایند یافتن و رفع اشکالات (باگ‌ها) در نرم‌افزار یا سیستم‌های کامپیوتری است. این کار معمولاً با استفاده از دیباگر (Debugger) انجام می‌شود که به برنامه‌نویس یا تحلیل‌گر اجازه می‌دهد کد را خط به خط اجرا کرده، متغیرها را بررسی کند و رفتار برنامه را تحلیل کند.
اما در تحلیل بدافزار از این متد برای شناسایی رفتار برنامه مخرب استفاده می‌شود. در این روش مرحله به مرحله برنامه اجرا می‌شود و نتیجه ملاحظه میگردد.
چطور هکرها دیباگینگ را دور می‌زنند؟
برنامه‌های مخرب (مانند بدافزارها) معمولاً مکانیزم‌هایی دارند که تلاش برای دیباگ کردن آنها را تشخیص داده و از آن جلوگیری می‌کنند.
روش‌های رایج برای دور زدن دیباگینگ شامل موارد زیر است:
۱-شناسایی حضور دیباگر
بدافزارها با استفاده از APIهای سیستمی مانند IsDebuggerPresent در ویندوز یا خواندن رجیسترهای خاص (مثلاً DR0-DR7 در CPU) بررسی می‌کنند که آیا در حال اجرا در یک محیط دیباگ است.
اگر دیباگر شناسایی شود، برنامه ممکن است خود را متوقف کند یا رفتاری متفاوت نشان دهد.
۲-استفاده از ضد دیباگینگ مبتنی بر زمان
اجرای یک تابع Sleepبا مقدار زمانی مشخص و مقایسه زمان واقعی سپری‌شده، برای بررسی اینکه آیا دیباگر باعث کندی اجرا شده است.
استفاده از شمارنده‌های پردازنده مانند RDTSC برای تشخیص تغییر در سرعت اجرا.
۳-پنهان کردن کدهای اصلی (Code Obfuscation)
تکنیک‌هایی مانند Packing و Encryption استفاده می‌شود تا کدهای اصلی در زمان اجرا رمزگشایی شوند، و در حالت دیباگ غیرقابل دسترسی باشند.
۴-استفاده از تکنیک‌های Anti-Attach
بستن دیباگر با استفاده از APIهایی مانند NtSetInformationThread(ThreadHideFromDebugger) که باعث می‌شود دیباگر نتواند پروسس را متصل کند.
۵-انجام Hooking API و تغییر رفتار دیباگر
برخی بدافزارها APIهای دیباگر را Hook کرده و اطلاعات غلط به دیباگر می‌دهند، مثلاً مقدار متغیرها را تغییر می‌دهند تا تحلیل‌گران را گمراه کنند.
۶-خراب کردن حافظه دیباگر
تغییر مقادیر در حافظه‌ای که دیباگر برای خود استفاده میکند (مثلاً نوشتن روی بخش‌هایی از PEB در ویندوز)، که میتواند باعث کرش کردن دیباگر شود.
۷-اجرای کد در سطح کرنل
برخی بدافزارها در سطح کرنل اجرا می‌شوند (مثلاً درایورهای مخرب) که این باعث می‌شود بسیاری از دیباگرهای سطح کاربر نتوانند آنها را بررسی کنند.
۸-دیباگ کردن خود برنامه
بدافزار ممکن است یک نسخه از خود را اجرا کند و تلاش کند تا پروسس اصلی را دیباگ کند، که باعث می‌شود سیستم از اتصال هر دیباگر خارجی جلوگیری کند.
چطور این تکنیک‌ها را دور بزنیم؟
استفاده از پچ کردن کد برای غیرفعال کردن توابع ضد دیباگ.
استفاده از ماشین مجازی یا Sandbox برای اجرای بدافزار در محیط کنترل‌شده.
استفاده از دیباگرهای مخصوص مانند x64dbg، OllyDbg، WinDbg همراه با افزونه‌های ضد-دیباگ.
تغییر مقدار PEB.BeingDebugged در حافظه برای دور زدن چک‌های ساده‌ی ضد دیباگ.
#من_آموزش_میدهم
#آکادمی_روزبه
اصولا دیباگینگ فرایند یافتن و رفع اشکالات (باگ‌ها) در نرم‌افزار یا سیستم‌های کامپیوتری است. این کار معمولاً با استفاده از دیباگر (Debugger) انجام می‌شود که به برنامه‌نویس یا تحلیل‌گر اجازه می‌دهد کد را خط به خط اجرا کرده، متغیرها را بررسی کند و رفتار برنامه را تحلیل کند.
اما در تحلیل بدافزار از این متد برای شناسایی رفتار برنامه مخرب استفاده می‌شود. در این روش مرحله به مرحله برنامه اجرا می‌شود و نتیجه ملاحظه میگردد.
چطور هکرها دیباگینگ را دور می‌زنند؟
برنامه‌های مخرب (مانند بدافزارها) معمولاً مکانیزم‌هایی دارند که تلاش برای دیباگ کردن آنها را تشخیص داده و از آن جلوگیری می‌کنند.
روش‌های رایج برای دور زدن دیباگینگ شامل موارد زیر است:
۱-شناسایی حضور دیباگر
بدافزارها با استفاده از APIهای سیستمی مانند IsDebuggerPresent در ویندوز یا خواندن رجیسترهای خاص (مثلاً DR0-DR7 در CPU) بررسی می‌کنند که آیا در حال اجرا در یک محیط دیباگ است.
اگر دیباگر شناسایی شود، برنامه ممکن است خود را متوقف کند یا رفتاری متفاوت نشان دهد.
۲-استفاده از ضد دیباگینگ مبتنی بر زمان
اجرای یک تابع Sleepبا مقدار زمانی مشخص و مقایسه زمان واقعی سپری‌شده، برای بررسی اینکه آیا دیباگر باعث کندی اجرا شده است.
استفاده از شمارنده‌های پردازنده مانند RDTSC برای تشخیص تغییر در سرعت اجرا.
۳-پنهان کردن کدهای اصلی (Code Obfuscation)
تکنیک‌هایی مانند Packing و Encryption استفاده می‌شود تا کدهای اصلی در زمان اجرا رمزگشایی شوند، و در حالت دیباگ غیرقابل دسترسی باشند.
۴-استفاده از تکنیک‌های Anti-Attach
بستن دیباگر با استفاده از APIهایی مانند NtSetInformationThread(ThreadHideFromDebugger) که باعث می‌شود دیباگر نتواند پروسس را متصل کند.
۵-انجام Hooking API و تغییر رفتار دیباگر
برخی بدافزارها APIهای دیباگر را Hook کرده و اطلاعات غلط به دیباگر می‌دهند، مثلاً مقدار متغیرها را تغییر می‌دهند تا تحلیل‌گران را گمراه کنند.
۶-خراب کردن حافظه دیباگر
تغییر مقادیر در حافظه‌ای که دیباگر برای خود استفاده میکند (مثلاً نوشتن روی بخش‌هایی از PEB در ویندوز)، که میتواند باعث کرش کردن دیباگر شود.
۷-اجرای کد در سطح کرنل
برخی بدافزارها در سطح کرنل اجرا می‌شوند (مثلاً درایورهای مخرب) که این باعث می‌شود بسیاری از دیباگرهای سطح کاربر نتوانند آنها را بررسی کنند.
۸-دیباگ کردن خود برنامه
بدافزار ممکن است یک نسخه از خود را اجرا کند و تلاش کند تا پروسس اصلی را دیباگ کند، که باعث می‌شود سیستم از اتصال هر دیباگر خارجی جلوگیری کند.
چطور این تکنیک‌ها را دور بزنیم؟
استفاده از پچ کردن کد برای غیرفعال کردن توابع ضد دیباگ.
استفاده از ماشین مجازی یا Sandbox برای اجرای بدافزار در محیط کنترل‌شده.
استفاده از دیباگرهای مخصوص مانند x64dbg، OllyDbg، WinDbg همراه با افزونه‌های ضد-دیباگ.
تغییر مقدار PEB.BeingDebugged در حافظه برای دور زدن چک‌های ساده‌ی ضد دیباگ.
#من_آموزش_میدهم
#آکادمی_روزبه