https://portswigger.net/research/trace-desync-attack

توصیه میشود مطالعه کنید

⭕️ یک مطالعه فنی در مورد یک کمپین APT با هدف قرار دادن نهادهای فرانسوی در صنایع ساخت و ساز، املاک و صنایع دولتی در مارس 2022، یک ماه قبل از انتخابات ریاست جمهوری فرانسه

🔬 https://github.com/VirtualSamuraii/serpent_group

🌐 https://www.proofpoint.com/us/blog/threat-insight/serpent-no-swiping-new-backdoor-targets-french-entities-unique-attack-chain

#APT
#C2
#Anaconda
#Macro
#initial_access (MITRE T1566.001)

@iDeFense

🔴 بروز رسانی امنیتی CVE-2024-38812

🔺 VMware Releases vCenter Server Update to Fix Critical RCE Vulnerability

💢 CVE-2024-38812 (CVSS score: 9.8)

♨ این آسیب‌پذیری به مهاجمان با دسترسی به شبکه امکان می‌دهد که با ارسال بسته‌های شبکه‌ای خاص، سرور vCenter را هدف قرار داده و کدهای دلخواه خود را روی آن اجرا کنند. در این نوع حملات با دسترسی به سیستم قربانی، مهاجم می‌تواند کنترل کامل سرور را به‌دست بگیرد و اقدامات مخربی مانند سرقت داده‌ها یا غیرفعال کردن سیستم‌ها را انجام دهد.

🔘 مشکل اصلی در این آسیب پذیری مربوط به مدیریت نادرست حافظه در پروتکل DCE/RPC است
سرریز بافر در این پروتکل به مهاجمان اجازه می‌دهد که حافظه سرور را با داده‌های نادرست پر کرده و به این ترتیب از اجرای کد سوءاستفاده کنند.

❗آسیب‌پذیری CVE-2024-38812 شباهت زیادی با دو آسیب‌پذیری دیگر به نام‌های CVE-2024-37079 و CVE-2024-37080 دارد که در ژوئن 2024 شناسایی و رفع شده بودند.
هر دو این آسیب‌پذیری‌ها نیز امتیاز 9.8 در CVSS داشتند و به مهاجمان اجازه اجرای کد از راه دور را می‌دادند.

🔰vCenter Server 8.0 (fixed in 8.0 U3b);
🔰vCenter Server 7.0 (fixed in 7.0 U3s);
🔰VMware Cloud Foundation 5.x (fix available for 8.0 U3b);
🔰VMware Cloud Foundation 4.x (fixed in 7.0 U3s).

♨ https://thehackernews.com/2024/10/vmware-releases-vcenter-server-update.html

@iDeFense

♨ شرکت Fortinet یک آسیب‌پذیری بحرانی را بیش از یک هفته مخفی نگه داشته است!

🔻 در حالی که گزارش‌هایی وجود دارد مبنی بر اینکه مهاجمان از این آسیب‌پذیری برای اجرای کدهای مخرب روی سرورهای مورد استفاده سازمان‌های حساس استفاده می‌کنند، نمایندگان Fortinet به سوالات ارسال شده از طریق ایمیل پاسخ نداده‌اند و هنوز هیچ اطلاعیه عمومی درباره جزئیات این آسیب‌پذیری یا نرم‌افزار خاصی که تحت تأثیر قرار گرفته است منتشر نکرده‌اند!

🔴 طبق یک پست در Reddit، آسیب‌پذیری مربوط به FortiManager است و اعلام کرده که نسخه‌های خاص آسیب‌پذیر شامل FortiManager نسخه‌های زیر هستند:
• 7.6.0 and below
• 7.4.4 and below
• 7.2.7 and below
• 7.0.12 and below
• 6.4.14 and below

🔻 تاکنون Fortigate هیچ‌گونه اطلاعیه عمومی یا شماره CVE برای ردیابی این آسیب‌پذیری zero-day منتشر نکرده است.

#FortiManager
#fortigate
#CVE
#APT

@iDeFense

♨ طبق یک نظر حذف‌شده در Reddit که بیان کرده بود این آسیب‌پذیری zero-day به مهاجمان این امکان را می‌دهد تا یک گواهینامه Fortigate را از هر دستگاه Fortigate سرقت کنند، و با آن در FortiManager ثبت‌نام کرده و به آن دسترسی پیدا کنند

🔺 به نظر میرسد مشکل این آسیب‌پذیری از یک تنظیم پیش‌فرض در FortiManager ناشی می‌شود که به دستگاه‌هایی با شماره سریال ناشناس یا غیرمجاز اجازه می‌دهد تا در داشبورد FortiManager ثبت‌نام کنند

⭕مراحل حمله
1. سرقت گواهینامه دیجیتال: مهاجمان از این آسیب‌پذیری برای دزدیدن گواهینامه دیجیتال استفاده می‌کنند. این گواهینامه‌ها اساساً نقش یک "تأیید هویت" را ایفا می‌کنند که دستگاه‌ها را به عنوان اعضای معتبر شبکه تأیید می‌کند

2. بارگذاری روی دستگاه خود: مهاجمان پس از سرقت گواهینامه، آن را روی دستگاه خودشان بارگذاری می‌کنند

3. ثبت در شبکه قربانی: سپس دستگاه خود را با استفاده از گواهینامه سرقت شده در شبکه قربانی ثبت می‌کنند، به‌گونه‌ای که دستگاه آن‌ها به عنوان یک دستگاه معتبر شناخته می‌شود

🔴 استفاده مجدد از گواهینامه‌ها: مهاجم می‌تواند یک گواهینامه از یک دستگاه FortiGate واقعی سرقت کند و از آن بارها برای ثبت‌نام دستگاه جعلی خود در هر FortiManager استفاده کند

🔻 آسیب‌پذیری در FortiManager:
پس از ثبت‌نام دستگاه جعلی، آسیب‌پذیری به مهاجم اجازه می‌دهد کد مخرب را به‌صورت راه دور بر روی خود FortiManager اجرا کند.

از FortiManager، مهاجم می‌تواند دستگاه‌های FortiGate واقعی را که تحت مدیریت FortiManager هستند، کنترل کند.
این شامل مشاهده فایل‌های پیکربندی، دزدیدن اطلاعات احراز هویت و تغییر تنظیمات میشود.

💢 در حملات گزارش شده مهاجمان از نام "localhost" برای دستگاه‌های جعلی خود استفاده می‌کنند تا به نظر برسد که این دستگاه بخشی از شبکه محلی است

🔘 بر اساس گزارش ها و شواهد موجود به‌نظر می‌رسد، هکرهای وابسته به دولت چین از اوایل سال جاری از این آسیب‌پذیری برای نفوذ به شبکه‌های داخلی استفاده کرده‌اند
#FortiManager
#fortigate
#CVE
#APT

@iDeFense

🔴 بر اساس گزارش ها،یک آسیب‌پذیری در پروتکل ارتباطی بین FortiGate و FortiManager نهفته است.

🔘 این پروتکل، که به نام FGFM شناخته می‌شود، زبانی است که اجازه می‌دهد دستگاه‌های فایروال FortiGate با FortiManager از طریق پورت 541 ارتباط برقرار کنند.

👁‍🗨 طراحی FGFM: پروتکل FGFM (FortiGate to FortiManager protocol) به‌گونه‌ای طراحی شده است که اجازه می‌دهد در شرایط NAT هم اتصال برقرار شود.
🔻 این ویژگی باعث می‌شود که اگر مهاجم به یک دستگاه FortiGate مدیریت‌شده دسترسی پیدا کند، بتواند به FortiManager متصل شده و سپس به دیگر دستگاه‌های فایروال و شبکه‌هاپایین‌دست برود، که این یک زنجیره آسیب‌پذیری خطرناک ایجاد می‌کند.

🦠موتور جستجوی Shodan بیش از 60,000 ارتباط از این نوع را که به اینترنت متصل هستند، شناسایی کرده است.

#FortiManager
#fortigate
#CVE
#APT

@iDeFense

🔰راهکارهای مقابله

🔺غیرفعال‌سازی FGFM:
توصیه میشود پروتکل FGFM (ارتباط FortiGate با FortiManager) را در صورت استفاده از نسخه‌های آسیب‌پذیر غیرفعال کنید

🔺توصیه میشود که FGFM را به اینترنت معرفی نکنید
این به معنای محدود کردن دسترسی به پروتکل از منابع خارجی است تا از اتصالات غیرمجاز جلوگیری شود

🔺پیشنهاد می‌شود شبکه خود را برای شناسایی هر نوع ترافیک غیرعادی در FGFM (پورت 541 برای IPv4 و 542 برای IPv6) به هر دو دستگاه FortiGate و FortiManager بررسی کنید

🔺ممانعت از ثبت دستگاه‌های غیرمجاز،شماره‌های سریال ناشناس و حتی دستگاه‌ها دارای گواهینامه معتبر در FortiManager

#FortiManager
#fortigate
#CVE
#APT

@iDeFense

🦠 Hexon Stealer
20[.]19.32[.]198

♨ IOC Connection to the C&C server

Sha256: 326c21e845863ea6ebe7d09ec3915d99e18f95e575e97aac2f71ae41160327e1

#IOC
#APT

@iDeFense

بزرگترین مرکز جاسوسی دنیا 🎩

https://www.youtube.com/watch?v=PpRA9kEKrDE&list=PLRZhe7EKTBo0EEmi8wxog_ivxY_bL86We&index=1

یک پلی لیست خوب برای مرور مفاهیم اولیه

‼️ هشدار : باز هم کشف آسیب پذیری بحرانی روی ریموت دسکتاپ ویندوز !!!

▪️ یک آسیب‌پذیری بحرانی در Remote Desktop(RDP) ویندوز های کلاینتی و سروری با امتیاز 8.1 با کد CVE-2024-43582 شناسائی شده است که به مهاجمان امکان اجرای کد دلخواه از راه دور و نفوذ آسان را خواهد داد.
👁‍🗨 https://github.com/sinsinology/CVE-2024-4358

#CVE
#CVE_2024
#POC
🔰 توصیه های امنیتی :

🔺 کلیه ویندوز های سرور و کلاینت ها را بروزرسانی نمائید.
🔺 دسترسی RDP را روی IPهای مشخص محدود کنید!
🔺 به هیچ عنوان دسترسی RDP را حتی روی پورت های 5 رقمی روی اینترنت بدون محدودیت باز نکنید !!!

🔗 منبع و دانلود وصله ها:  Microsoft

@iDeFense

♨️ در این مطلب به توضیح یک روش ساده برای مبهم‌سازی (obfuscation) فورکی از ابزار Mimikatz با نام BetterSafetyKatz می‌پردازیم...

👁‍🗨 برای انجام این کار از ابزاری به نام InvisibilityCloak استفاده می‌شود (یک مبهم‌کننده به زبان #C ) که کدها را طوری تغییر دهد که آنتی‌ویروس‌ها یا ابزارهای امنیتی نتوانند به راحتی آن‌ها را شناسایی کنند

❓اما نویسنده اشاره می‌کند که با وجود استفاده از این روش، payload ها همچنان توسط ابزارهای امنیتی شناسایی می‌شود. به این ترتیب، این سوال مطرح می‌شود که چرا این اتفاق رخ می‌دهد و چگونه می‌توان این مشکل را حل کرد؟!🧐

🔬 برای درک بهتر دلیل شناسایی و حل مشکل، نویسنده پیشنهاد می‌کند که به صورت دقیق‌تری payload ها را تحلیل کنیم و آن را از طریق ابزار DefenderCheck دیباگ کنیم

📚 کار ابزار DefenderCheck به این شکل است که کد شما را به قسمت‌های مختلف تقسیم می‌کند و هر بخش را جداگانه آزمایش می‌کند تا مشخص کند که دقیقاً کدام بخش از کد باعث شناسایی توسط آنتی‌ویروس می‌شود.

🌀 پس از شناسایی بخشی از کد که باعث شناسایی می‌شود، می‌توانیم آن بخش را تغییر دهیم. این فرآیند تکرار می‌شود تا زمانی که دیگر هیچ بخشی از کد توسط ابزارهای امنیتی شناسایی نشود

🌐 https://medium.com/@luisgerardomoret_69654/obfuscating-a-mimikatz-downloader-to-evade-defender-2024-b3a9098f0ae7

#post_exploitation
#RedTeam
#Tools
#Mimikatz_Downloader
#Evade_Defender (2024)

@iDeFense

⭕ 100 پروژه Red Team برای نفوذگران و مدیران شبکه
🔴 https://github.com/kurogai/100-redteam-projects

#RedTeam

@iDeFense

یک منبع و چیت خوب برای URL validation bypass

https://portswigger.net/web-security/ssrf/url-validation-bypass-cheat-sheet

🛠 مجموعه ای از ابزارها برای جمع آوری اطلاعات (Argus):

👁‍🗨 https://github.com/jasonxtn/Argus

#Information_Gathering
#Tools

@iDeFense

⭕ Windows kernel exploitation, beginners introduction

🔺Part 1: mdanilor.github.io/posts/hevd-0/
🔺Part 2: mdanilor.github.io/posts/hevd-1/
🔺Part 3: mdanilor.github.io/posts/hevd-2/
🔺Part 4: mdanilor.github.io/posts/hevd-3/
🔺Part 5: mdanilor.github.io/posts/hevd-4/

#windows
#beginners
#RedTeam

@iDeFense

🔍 The Art Of Linux Persistence

🛠 https://hadess.io/the-art-of-linux-persistence

#linux
#persistence
#RedTeam

@iDeFense

🚩 به دنبال کشف آسیب‌پذیری‌های XSS و SSRF هستید؟

⚙️ ابزار تست XSS و SSRF خودتان را به‌صورت رایگان راه‌اندازی و میزبانی کنید...

🔹 بدون نیاز به سرور اختصاصی: با استفاده از Firebase و Netlify

🔹 دریافت گزارش در لحظه: به محض فعال شدن payloadها، از حملات XSS و SSRF مطلع شوید

🔹 ایده‌آل برای محققین امنیتی و توسعه‌دهندگان: راهکاری ساده، سریع و امن برای شناسایی و رفع آسیب‌پذیری‌ها

🌐 https://github.com/Rahim7X/Argus

#XSS
#SSRF
#Web

@iDeFense

♨️ پروژه CVE2CAPEC با هدف ارتباط دادن شناسه‌های آسیب‌پذیری‌های امنیتی (CVE) با شناسه‌های الگوهای حمله (CAPEC) جهت کمک به تحلیلگران تهدیدات، توسعه داده شده تا به طور موثر درک بهتری از تکنیک‌ها و روش‌های حملاتی که امکان بهره‌برداری از آسیب‌پذیری‌ها وجود دارند، پیدا کنند

⚒️ پایگاه داده CVE یک فهرست جامع از آسیب‌پذیری‌های امنیتی هستند که به هر آسیب پذیری شناسه‌ای منحصر به فرد اختصاص می‌دهد. اما این پایگاه اطلاعاتی درباره چگونگی بهره‌برداری یا حملات ممکن را ارائه نمی‌دهد، از طرف دیگر، CAPEC الگوهای رایج حملات و نحوه‌ی بهره‌برداری از آن‌ها را توصیف می‌کند.

🔗 ابزار CVE2CAPEC این دو منبع را به هم متصل می‌کند تا مشخص کند که چه الگوهای حمله‌ای می‌توانند از هر آسیب‌پذیری استفاده کنند

🔰 این ابزار به تیم‌های امنیتی کمک می‌کند تا با مشاهده CAPEC مرتبط با یک CVE خاص، بهتر متوجه شوند که چگونه مهاجمان ممکن است از یک آسیب‌پذیری بهره‌برداری کنند و بدین ترتیب بتوانند تصمیمات امنیتی بهتری بگیرند و اقدامات پیشگیرانه مناسب‌تری داشته باشند

🌐 https://github.com/Galeax/CVE2CAPEC
⚙️ galeax.github.io/CVE2CAPEC/

#Tools

@iDeFense