⭕️شرکت امنیتی سوفِس در گزارشی از کمپین یک #بدافزار اندرویدی علیه مشتریان چهار بانک ایرانی خبر داد. این چهار بانک عبارتند از بانکهای ملت، صادرات، رسالت و بانک مرکزی.
این بدافزار امکان سرقت نام کاربری و پسورد حسابهای بانکی و خواندن پیامک کاربران را دارد. نکته مهم دیگه درباره این بدافرار استفاده از یک گواهی دیجیتالی احتمالا بسرقت رفته از یک شرکت در مالزی است که برای قراردادن بدافزار در گوگل پلی استفاده شده است.
همچنین از اونجاییکه نام تعدادی اَپ کریپتو در سورس کد بدافزار قرار داره، احتمالا سازنده های این بدافزار اهداف بزرگتری در سر داشته اند.
https://news.sophos.com/en-us/2023/07/27/uncovering-an-iranian-mobile-malware-campaign/
https://github.com/sophoslabs/IoCs/blob/master/Iranian-banking-malware.csv
#malware #mobile #android
@securation
این بدافزار امکان سرقت نام کاربری و پسورد حسابهای بانکی و خواندن پیامک کاربران را دارد. نکته مهم دیگه درباره این بدافرار استفاده از یک گواهی دیجیتالی احتمالا بسرقت رفته از یک شرکت در مالزی است که برای قراردادن بدافزار در گوگل پلی استفاده شده است.
همچنین از اونجاییکه نام تعدادی اَپ کریپتو در سورس کد بدافزار قرار داره، احتمالا سازنده های این بدافزار اهداف بزرگتری در سر داشته اند.
https://news.sophos.com/en-us/2023/07/27/uncovering-an-iranian-mobile-malware-campaign/
https://github.com/sophoslabs/IoCs/blob/master/Iranian-banking-malware.csv
#malware #mobile #android
@securation
🔥15❤2😁2👍1🤩1
⭕️ موسسه HRF تعداد ۲۰ بیتکوین برای چندین پروژه بانتی قرار داده که علاقهمندان از هرجای دنیا میتونن این پروژههای اوپن سورس رو انجام بدن و بانتی رو بدست بیارن.
به عنوان نمونه یکی از پروژهها ساخت نرم افزار موبایل غیرحضانتی برای آدرسهای لایتنینگیه و ۲ بیتکوین بانتی براش تخصیص داده شده.
یکی دیگه از بانتی ها توسعهی روشی برای انجام payjoin بدون نیاز به سرور هم ۲ بیتکوین بانتی داره.
پورت کردن کیت توسعه UI بیتکوین از فیگما به پروژهی اوپن سورس Penpot هم ۲ بیتکوین بانتی داره
لیست بانتیها رو میتونید از بیتکوین مگزین مطالعه کنید:
https://bitcoinmagazine.com/business/human-rights-foundation-announces-20-btc-bounty-challenge-for-bitcoin-development
#bounty #develop
@securation
به عنوان نمونه یکی از پروژهها ساخت نرم افزار موبایل غیرحضانتی برای آدرسهای لایتنینگیه و ۲ بیتکوین بانتی براش تخصیص داده شده.
یکی دیگه از بانتی ها توسعهی روشی برای انجام payjoin بدون نیاز به سرور هم ۲ بیتکوین بانتی داره.
پورت کردن کیت توسعه UI بیتکوین از فیگما به پروژهی اوپن سورس Penpot هم ۲ بیتکوین بانتی داره
لیست بانتیها رو میتونید از بیتکوین مگزین مطالعه کنید:
https://bitcoinmagazine.com/business/human-rights-foundation-announces-20-btc-bounty-challenge-for-bitcoin-development
#bounty #develop
@securation
👍12👎3🔥1
⭕️دانشگاه MIT بودجه تحقیقات، برای توسعه سیستمهای تشخیص چهره، را از شرکتهای چینی وابسته به حزب کمونیست گرفته است.
نتایج این تحقیقات در سیستمهای رصد مردم، از طریق تشخیص چهره، در چین استفاده شده است.
این تحقیقات کمک مؤثری به حزب کمونیست، برای سرکوب و کنترل مردم اویغور، کرده است.
علیرغم وجود کمیتههای اخلاق در دانشگاهها، اساتید برای تهیه بودجه و فعال نشان دادن خود، دست به هر کار کثیفی میزنند.
https://freebeacon.com/national-security/how-mit-helped-develop-tech-for-a-chinese-company-that-surveils-uyghurs/
@securarion
نتایج این تحقیقات در سیستمهای رصد مردم، از طریق تشخیص چهره، در چین استفاده شده است.
این تحقیقات کمک مؤثری به حزب کمونیست، برای سرکوب و کنترل مردم اویغور، کرده است.
علیرغم وجود کمیتههای اخلاق در دانشگاهها، اساتید برای تهیه بودجه و فعال نشان دادن خود، دست به هر کار کثیفی میزنند.
https://freebeacon.com/national-security/how-mit-helped-develop-tech-for-a-chinese-company-that-surveils-uyghurs/
@securarion
The Washington Free Beacon
How MIT Helped Develop Tech for a Chinese Company That Surveils Uyghurs
The Massachusetts Institute of Technology used funding from a twice-sanctioned Chinese company to advance components of facial recognition technology, which its Chinese benefactor has reportedly used to track and imprison Uyghurs, a Washington Free Beacon…
😱12❤1👎1
⭕️ صدای تولید شده، از کلیکِ هر کلید صفحه کلید کامپیوتر، با دیگری اندکی تفاوت دارد؛ و با کمک هوش مصنوعی میتوان از روی صدا تشخیص داد که چه حرفی تایپ شده است.
اگر در هنگام تایپ کردن در کامپیوتر با فرد دیگری از طریق Zoom ارتباط برقرار کنید، طرف مقابل با بکارگیری ابزار هوش مصنوعی میتواند صدای هر کلید کامپیوتر شما را از دیگری تفکیک کند.
از آن به بعد «برای فهمیدن این که چه چیزی روی کامپیوتر خود تایپ میکنید؟» کافی است که به صدای محیط اتاق شما گوش دهند.
Link: https://thenationalpulse.com/2023/08/08/ai-can-hear-your-password-being-typed-with-near-100-accuracy/
Link:
https://www.theguardian.com/technology/2023/aug/08/ai-could-identify-passwords-by-sound-of-keys-being-pressed-study-suggests
@securation
اگر در هنگام تایپ کردن در کامپیوتر با فرد دیگری از طریق Zoom ارتباط برقرار کنید، طرف مقابل با بکارگیری ابزار هوش مصنوعی میتواند صدای هر کلید کامپیوتر شما را از دیگری تفکیک کند.
از آن به بعد «برای فهمیدن این که چه چیزی روی کامپیوتر خود تایپ میکنید؟» کافی است که به صدای محیط اتاق شما گوش دهند.
Link: https://thenationalpulse.com/2023/08/08/ai-can-hear-your-password-being-typed-with-near-100-accuracy/
Link:
https://www.theguardian.com/technology/2023/aug/08/ai-could-identify-passwords-by-sound-of-keys-being-pressed-study-suggests
@securation
The National Pulse
AI Can HEAR Your Password Being Typed With Near 100% Accuracy.
Artificial intelligence (AI) can identify computer passwords with almost 100 percent accuracy by listening to the sound of keyboard keys being pressed over conference call apps like Zoom, according to new research published by Cornell University.Researchers…
😱15👍2🔥2
⭕️دوستانی که با تکنیک های افزایش سطح دسترسی از نوع Potato آشنایی دارند خواهند دانست که این نوع تکنیک ها از سری تکنیک های تبدیل دسترسی سرویس به ارتقای سطح دسترسی لوکال هستند.
در هر سناریویی که یک ماشین به یک دامنه متصل میشود، تا زمانی که بتوانید کد را تحت یک حساب سرویس Windows یا یک حساب مجازی مایکروسافت اجرا کنید، میتوانید از تکنیکهای فوقالذکر برای افزایش امتیاز محلی استفاده کنید، مشروط بر اینکه اکتیو دایرکتوری امن سازی نشده باشد.
در ساختار دامین، حسابهای SYSTEM، NT AUTHORITY\NETWORK SERVICE و مایکروسافت مجازی برای احراز هویت توسط system computer account ها که به دامنه متصل شدهاند استفاده میشوند. درک این موضوع بسیار مهم است زیرا در نسخه های مدرن ویندوز، اکثر سرویس های ویندوز به طور پیش فرض با استفاده از حساب های مجازی مایکروسافت اجرا می شوند. قابل ذکر است، IIS و MSSQL از این حسابهای مجازی استفاده میکنند.
بنابراین، ما می توانیم از ابزار S4U برای دریافت TGS برای ادمین دامین یوزر"Administrator" در لوکال سیستم سوء استفاده کنیم.
که با این کار از طریق ایجاد یک سیستم سرویس، دسترسی سیستم را خواهیم داشت.
که البته قبل از این، باید یک TGT برای local machine account دریافت کنیم. به دلیل محدودیتهای اعمال شده توسط مجوزهای service account، این کار آسانی نیست، و ما را از دریافت کلید بلندمدت رایانه باز میدارد و بنابراین نمیتوانیم درخواست KRB_AS_REQ ایجاد کنیم. برای دستیابی به هدف فوق، از سه تکنیک این ابزار استفاده خواهد کرد:
Resource-based Constrained Delegation, Shadow Credentials, and Tgtdeleg
https://github.com/wh0amitz/S4UTomato
#RedTeam #PE
@securation
در هر سناریویی که یک ماشین به یک دامنه متصل میشود، تا زمانی که بتوانید کد را تحت یک حساب سرویس Windows یا یک حساب مجازی مایکروسافت اجرا کنید، میتوانید از تکنیکهای فوقالذکر برای افزایش امتیاز محلی استفاده کنید، مشروط بر اینکه اکتیو دایرکتوری امن سازی نشده باشد.
در ساختار دامین، حسابهای SYSTEM، NT AUTHORITY\NETWORK SERVICE و مایکروسافت مجازی برای احراز هویت توسط system computer account ها که به دامنه متصل شدهاند استفاده میشوند. درک این موضوع بسیار مهم است زیرا در نسخه های مدرن ویندوز، اکثر سرویس های ویندوز به طور پیش فرض با استفاده از حساب های مجازی مایکروسافت اجرا می شوند. قابل ذکر است، IIS و MSSQL از این حسابهای مجازی استفاده میکنند.
بنابراین، ما می توانیم از ابزار S4U برای دریافت TGS برای ادمین دامین یوزر"Administrator" در لوکال سیستم سوء استفاده کنیم.
که با این کار از طریق ایجاد یک سیستم سرویس، دسترسی سیستم را خواهیم داشت.
که البته قبل از این، باید یک TGT برای local machine account دریافت کنیم. به دلیل محدودیتهای اعمال شده توسط مجوزهای service account، این کار آسانی نیست، و ما را از دریافت کلید بلندمدت رایانه باز میدارد و بنابراین نمیتوانیم درخواست KRB_AS_REQ ایجاد کنیم. برای دستیابی به هدف فوق، از سه تکنیک این ابزار استفاده خواهد کرد:
Resource-based Constrained Delegation, Shadow Credentials, and Tgtdeleg
https://github.com/wh0amitz/S4UTomato
#RedTeam #PE
@securation
GitHub
GitHub - wh0amitz/S4UTomato: Escalate Service Account To LocalSystem via Kerberos
Escalate Service Account To LocalSystem via Kerberos - wh0amitz/S4UTomato
🔥6👍1
⭕️ تکیک های ریکان کاربردی برای باگ بانتی
در این مقاله هکر تکنیک هایی برای ریکان خوب و به نتیجه مطلوب رسیدن ارائه میدهد، که در باگ بانتی اهمیت بسیار زیادی دارد.
خلاصه تکنیک های مهم معرفی شده در مقاله:
- پیدا کردن زیر دامنه های به صورت عمیق (زیر دامنه های لول پایین)
این بخش بسیار مهم است چرا که ممکن است شما باگ ارزشمندی را در لول پایین تر از دست بدهید، برای مثال
- رنج ایپی و ASN هدف
این بخش به شما کمک میکند که ایپی اصلی دامنه هایی که زیر کلادفلر یا CDN های دیگر هستند را پیدا کنید که بسیار در پروسه تست نفوذ به شما کمک میکند. همچنین با این تکنیک میتوانید ایپی و زیر دامنه هایی دیگری که به هدف شما ربط دارند را پیدا کنید.
- ریکان و تست نفوذ سرویس های مانند AWS و GCP استفاده شده توسط هدف
اهمیت سرویس هایی مانند AWS, یا GCP این است که در موقعیت های بسیاری اشتباه پیکربندی میشوند که باعث ایجاد مشکلات امنیتی متفاوتی میشود.
🔗 https://medium.com/@nimmughal799/recon-like-a-boss-9a0065648d10
#Recon #BugBounty
@securation
در این مقاله هکر تکنیک هایی برای ریکان خوب و به نتیجه مطلوب رسیدن ارائه میدهد، که در باگ بانتی اهمیت بسیار زیادی دارد.
خلاصه تکنیک های مهم معرفی شده در مقاله:
- پیدا کردن زیر دامنه های به صورت عمیق (زیر دامنه های لول پایین)
این بخش بسیار مهم است چرا که ممکن است شما باگ ارزشمندی را در لول پایین تر از دست بدهید، برای مثال
aws.corp.dev-api.dev.google.com
یک زیردامنه لول پایین بحساب می آید که با ابزاری هایی مانند AltDNS و dnsgen پیدا میشود.- رنج ایپی و ASN هدف
این بخش به شما کمک میکند که ایپی اصلی دامنه هایی که زیر کلادفلر یا CDN های دیگر هستند را پیدا کنید که بسیار در پروسه تست نفوذ به شما کمک میکند. همچنین با این تکنیک میتوانید ایپی و زیر دامنه هایی دیگری که به هدف شما ربط دارند را پیدا کنید.
- ریکان و تست نفوذ سرویس های مانند AWS و GCP استفاده شده توسط هدف
اهمیت سرویس هایی مانند AWS, یا GCP این است که در موقعیت های بسیاری اشتباه پیکربندی میشوند که باعث ایجاد مشکلات امنیتی متفاوتی میشود.
🔗 https://medium.com/@nimmughal799/recon-like-a-boss-9a0065648d10
#Recon #BugBounty
@securation
Medium
Recon Like A Boss
Reconnaissance, or recon for short, is the process of gathering information about a target with the goal of identifying vulnerabilities and…
🔥9👍7👎4
⭕️ چگونه هکرهای FBI یا تیم های فارنزیک تصاویر فیک را تشخیص میدهند؟
سازنده های تصاویر فیک معمولا اشتباهاتی میکنند که با استفاده از اونها میشه تصاویر جعلی و فیک رو تشخیص داد، برای مثال وقتی سازنده شیئ جدید رو به تصویر اضافه میکنه، فراموش میکنه که سایه اون رو هم در تصویر جعل کنه.
در این مقاله 10 تکنیک معرفی میشه:
1. روی گوشه اجزای تصویر زوم کنید.
2. دنبال متون برعکس شده بگردید.
3. اشیا بدون سایه پیدا کنید.
4. اجزای بدون انعکاس پیدا کنید.
و ...
لینک مقاله:
🔗 https://infosecwriteups.com/how-fbi-hackers-or-forensics-team-identify-fake-images-5574109ba959
#OSINT
@securation
سازنده های تصاویر فیک معمولا اشتباهاتی میکنند که با استفاده از اونها میشه تصاویر جعلی و فیک رو تشخیص داد، برای مثال وقتی سازنده شیئ جدید رو به تصویر اضافه میکنه، فراموش میکنه که سایه اون رو هم در تصویر جعل کنه.
در این مقاله 10 تکنیک معرفی میشه:
1. روی گوشه اجزای تصویر زوم کنید.
2. دنبال متون برعکس شده بگردید.
3. اشیا بدون سایه پیدا کنید.
4. اجزای بدون انعکاس پیدا کنید.
و ...
لینک مقاله:
🔗 https://infosecwriteups.com/how-fbi-hackers-or-forensics-team-identify-fake-images-5574109ba959
#OSINT
@securation
🔥17👎7👍5❤1😁1
⭕️ Bypassing 403 endpoints using automated Trickest workflows
تکنیک های دور زدن مسیر های 403 در وب سرور و API ها:
1. فاز تو در تو
اگر به مسیری مثل log/ درخواست زدید و 403 گرفتید ادامه این مسیر رو به شکل /log/FUZZ/ میتونید فاز کنید
2. هدر های HTTP
بعضی از هدر های خاص HTTP مثل X-Forwarded-For میتونه در این زمینه کمکتون کنه
3. استفاده از کاراکتر های خاص
برای مثال اگر به info.php/ درخواست زدید و 403 گرفتید میتونید
مسیر */info.php/ رو هم تست کنید
4. تغییر HTTP Method
این موضوع که تحت عنوان verb tampering هم شناخته میشه بررسی کردن متد های مختلف HTTP نظیر GET POST PUT PATCH در مسیر ها و اندپوینت های مختلف هست.
5. تغییر extension فایل
برای مثال تغییر config.php/ به .config.php/ ( به نقطه آخرش توجه کنید)
6. تغییر ورژن پروتکل HTTP
شما می تونید نسخه های مختلف این پروتکل رو بررسی کنید مثلا HTTP/1.0 و HTTP/1.1 و ...
منبع
https://trickest.com/blog/bypass-403-endpoints-with-trickest/
#bypass403
@securation
تکنیک های دور زدن مسیر های 403 در وب سرور و API ها:
1. فاز تو در تو
اگر به مسیری مثل log/ درخواست زدید و 403 گرفتید ادامه این مسیر رو به شکل /log/FUZZ/ میتونید فاز کنید
2. هدر های HTTP
بعضی از هدر های خاص HTTP مثل X-Forwarded-For میتونه در این زمینه کمکتون کنه
3. استفاده از کاراکتر های خاص
برای مثال اگر به info.php/ درخواست زدید و 403 گرفتید میتونید
مسیر */info.php/ رو هم تست کنید
4. تغییر HTTP Method
این موضوع که تحت عنوان verb tampering هم شناخته میشه بررسی کردن متد های مختلف HTTP نظیر GET POST PUT PATCH در مسیر ها و اندپوینت های مختلف هست.
5. تغییر extension فایل
برای مثال تغییر config.php/ به .config.php/ ( به نقطه آخرش توجه کنید)
6. تغییر ورژن پروتکل HTTP
شما می تونید نسخه های مختلف این پروتکل رو بررسی کنید مثلا HTTP/1.0 و HTTP/1.1 و ...
منبع
https://trickest.com/blog/bypass-403-endpoints-with-trickest/
#bypass403
@securation
👍20👎7🔥2
⭕️ با هوش مصنوعی تمپلیت های nuclei بسازید!
با استفاده از این ابزار شما میتونید با وارد کردن یک توضیح متنی راجع به تمپلیت مورد نظرتون اون رو بسازید.
🔗 https://bit.ly/nuclei-ai-powered
#Nuclei #BugBounty
@securation
با استفاده از این ابزار شما میتونید با وارد کردن یک توضیح متنی راجع به تمپلیت مورد نظرتون اون رو بسازید.
🔗 https://bit.ly/nuclei-ai-powered
#Nuclei #BugBounty
@securation
👍16👎6❤3😁2🔥1
⭕️
#فکت
میگن رونالدو و نیمار و بنزما قراره بیان ایران بابت مسابقات آسیایی، براتون رفتم به استقبال همشون:)
@securation
#فکت
میگن رونالدو و نیمار و بنزما قراره بیان ایران بابت مسابقات آسیایی، براتون رفتم به استقبال همشون:)
@securation
😁50👎10❤1👍1🤩1
⭕️Attention all computer students, hackers, enthusiasts, and cybersecurity lovers!
We are thrilled to announce the upcoming UCTF (Urmia CTF), an exhilarating cybersecurity competition specifically designed for computer students.
Join us on September 2nd at 12:00 GMT for an unforgettable experience filled with mind-bending challenges, intense problem-solving, and friendly competition.
Here are some key details about UCTF:
- Date: 2 September 2023 till 4 September 2023
- Time: 12:00 GMT
- Registration: https://uctf.ir
We look forward to seeing you at UCTF. Get ready to hack, learn, and conquer!
UCTF Organizing Committee
@u_ctf
Got questions? Contact us on Telegram @uctf_support_bot
@securation
We are thrilled to announce the upcoming UCTF (Urmia CTF), an exhilarating cybersecurity competition specifically designed for computer students.
Join us on September 2nd at 12:00 GMT for an unforgettable experience filled with mind-bending challenges, intense problem-solving, and friendly competition.
Here are some key details about UCTF:
- Date: 2 September 2023 till 4 September 2023
- Time: 12:00 GMT
- Registration: https://uctf.ir
We look forward to seeing you at UCTF. Get ready to hack, learn, and conquer!
UCTF Organizing Committee
@u_ctf
Got questions? Contact us on Telegram @uctf_support_bot
@securation
👎10👍9❤1