شرکت Atlas Quantum که یک شرکت سرمایه گذاری در زمینه ارز دیجیتال است توسط هکرها مورد حمله قرار گرفت و اطلاعات تمامی کاربران آن شامل نام، شماره تلفن، آدرس ایمیل و صورتحساب به سرقت رفت.

@sec_nerd

CSS injection

xx به زبان ژاپنی اما قابل فهم هست xx

#xss
#css
#bugbounty

@sec_nerd

تشریح اقتصاد مجرمان سایبری
اغلب این مجرمان ایده های خلاقانه ای برای فرآیندهای پولشویی و cash out دارند.
به گفته کارشناس شرکت Trustwave دزدان کارتهای اعتباری زمان خیلی کمی برای سود بردن از دزدی خود دارند زیرا صاحب کارت به سرعت کارت را غیرفعال خواهد کرد.
روزانه ده ها هزار کارت اعتباری در فروشگاه های زیرزمینی اینترنتی بفروش میرسند و اغلب این کارتها پول زیادی در خود ندارند اما از آنها برای خرید اجناسی مانند گوشی ها و لپ تاپ های اپل استفاده میشود. این اجناس پس از خریداری مجددا به افراد دیگری فروخته میشوند.
عملیات خرید با تصادفی سازی پارامترهای مختلفی صورت میپذیرد تا از لو رفتن و مشکوک شدن سیستم های پرداخت جلوگیری شود، خریدها با کارتهای مختلف، در زمانهای مختلف و با استفاده از کامپیوترهای متفاوت صورت میپذیرد.
روش دیگر cash out استفاده از کارتهای هدیه آمازون و والمارت است. با این روش ابتدا با استفاده از کارت دزدی، کارتهای هدیه خریداری و سپس با تخفیف های چشمگیر به فروش گذاشته میشود.
البته خریدار این کارتهای هدیه باید ریسک نامعتبر شدن کارتها را نیز بپذیرد.
روش بعدی استفاده از رانندگان متخلف uber و شرکتهای مشابه اوبر است. در این روش راننده متخلف میتواند با ثبت سفرهای ساختگی و به تبع آن پرداختهای جعلی مقداری از پول را برداشته و از کارت دزدی اقدام به پولشویی کند.


ادامه مطلب:
https://www.bbc.co.uk/news/technology-44355153


#carding
#news
#cashout
#money_laundery

@sec_nerd

اینستاگرام در حال بهبود وضعیت امنیتی خود است.
سیاست های اینستاگرام برای جلوگیری از کلاهبرداری، با حمایت از حسابهای واقعی که دنبال کنندگان زیادی دارند و همزمان ارائه اطلاعات بیشتر از این حسابها به سایر کاربران، صورت میپذیرد.
این قابلیت در هفته های آتی در پروفایل های معتبر و در منوی About This Account قابل دسترسی خواهد بود.
اطلاعات ارائه شده شامل تاریخ ایجاد حساب، کشوری که این حساب به آن متعلق است و برخی اطلاعات نظیر تغییرات نام کاربری در سال گذشته است.
همچنین برچسب آبی حسابهای معتبر راهی برای تشخیص اعتبار آنهاست (البته برخی شایعات از این حکایت دارن که افرادی حتی در ایران هم هستن که با دریافت پول برای هرکسی میتونن تیک آبی رو بگیرن! باید دید این رانت اینستاگرامی اصلاح میشه یا نه)
افراد میتوانند بدون پرداخت هزینه ای ، درخواست تیک آبی کرده و پس از بررسی تیم اینستاگرام، حساب خود را معتبر کنند.
اما در تغییر دیگری،‌اینستاگرام قصد دارد برنامه های احراز هویت ثالث را در بخش Two-Factor Authentication به رسمیت بشناسد تا به کاربرانش کمک کند با دردسر کمتر و امنیت بیشتری ، ورودهای کاربری به حساب خود را مدیریت کنند.


منبع:
https://instagram-press.com/blog/2018/08/28/new-tools-to-help-keep-instagram-safe/


#instagram
#news

@sec_nerd

کشف دو آسیب پذیری در سرورهای Uber و دریافت ۱۰۰۰ دلار توسط کاشف آن

این دو آسیب پذیری از نوع حیاتی بوده اند :
۱- آسیب پذیری Vmware ESX و Vcenter که منجر به افشای پسورد یوزر روت شد
۲- نقاط ضعفی که منجر به اجرای بدافزار در سرور میشود



منبع:
https://medium.com/@mr.poche/uber-bug-bounty-1000-for-two-high-severity-issue-ca22e5ab52be


#bugbounty
#uber
#vmware

@sec_nerd

Unpatched ALPC Priv Esc Bug in Windows 10 x64 PoC


#windows
#privesc
#exploit
#poc


@sec_nerd

Traversing Path to RCE

https://hawkinsecurity.com/2018/08/27/traversing-the-path-to-rce/


#exploit
#web
#pentest
#writeup
#rce
#burpsuite


@sec_nerd

انتشار نسخه جدید لینوکس کالی با بروزرسانی کرنل، اضافه شدن ابزار و فیکس شدن مشکل باگهای Spectre و Meltdown

https://bit.ly/2PMJFxO

#kali
#Pentest


@sec_nerd

انتشار نسخه جدید جوملا به همراه سه وصله برای سه آسیب پذیری امنیتی

#joomla
#web

@sec_nerd

NATO OSINT handbook

#osint
#nato
#ebook

@sec_nerd

وبسایتی که ادعا میکند بهترین و واقعی ترین صداهای انسان را تولید میکند!

https://lyrebird.ai/

(فکر کنم اولین چیزی که به ذهن شما هم رسیده، استفاده از این سرویس برای مهندسی اجتماعی تلفنی هست!)


#social_engineering


@sec_nerd

اختلال در اینترنت کشور از ساعاتی پیش

#outage
#iran

@sec_nerd

جرج گاروفانو که پیش از این اقدام به نفوذ به حسابهای iCloud بیش از ۲۰۰ ستاره هالیوود از جمله جنیفر لارنس کرده بود، به هشت ماه زندان و سه سال آزادی مشروط و ۶۰ ساعت خدمات اجتماعی محکوم شد.
او با ارسال ایمیلهای فیشینگی که بنظر میرسید از سوی اپل باشند، درخواست نام کاربری و پسورد از افراد میکرد.
جنیفر لارنس به مجله Vanity Fair گفت : من پذیرفته ام که قربانی جنایت جنسی شده ام.

منبع:
https://news.sky.com/story/jennifer-lawrence-nude-photo-hacker-jailed-for-eight-months-11485374


#news
#icloud
#hollywood
#usa


@sec_nerd

قوانین انطباق و جایگزینی در burpsuite

https://matthewsetter.com/write-burp-suite-match-and-replace-rules/?platform=hootsuite

#burpsuite
#pentest
#tamper
#web

@sec_nerd

هفت نکته برای آغاز کار با موتور جستجوی اینترنت اشیاء shodan:

۱- درک bannerها:‌ باید بدانید که هر پورت که نماینده یک سرویس است، اغلب اطلاعاتی را از سرویس مربوطه نمایش میدهد، این اطلاعات میتواند شامل نسخه سرویس و پلتفرم باشد. صاحبان سرورها میتوانند برای گول زدن هکرها و موتورهای جستجو اطلاعات نادرستی نیز به آنها ارائه دهند.

۲- مطالعه کتاب «راهنمای shodan» که در این لینک موجود است :https://leanpub.com/shodan

۳- تهیه اکانت در این وبسایت. اکانتهای وبسایت shodan از رایگان تا چندصد دلار در ماه در دسترس هستند و میتوانید با توجه به نیاز خود، اقدام به ساخت حساب نمایید. پلن های پولی این وبسایت امکانات زیاد، فیلترهای متنوع و دیتاست های کاملتری را در اختیار شما میگذارند. حتی فیلتر vuln در پلن ۲۹۹ دلاری قابلیت جستجوی اکسپلویتهای ثبت شده برای هر سرویس را نیز دارا میباشد که این سرویس فقط در اختیار دانشگاه ها یا بیزینس های معتبر قرار میگیرد.

۴- استفاده از api این موتور جستجو، قابلیت ها و خروجی های بهتری را در اختیار شما میگذارد. این خروجی ها میتواند بصورت مستقیم در سیستم های مدیریت امنیت و آنالیزورها بکارگرفته شود.

۵-جستجوهای هدفمند و استفاده درست از فیلترها قدرت بیشتری به شما میدهد. با تهیه حساب ۴۹ دلاری و مادام العمر، میتوانید از فیلترهای مفید زیادی بهره ببرید. نمونه کوچکی از فیلترها را در لینک زیر ببینید:
https://github.com/coreb1t/awesome-pentest-cheat-sheets/blob/master/docs/shodan.md


۶- استفاده از shodan به تنهایی کارساز نیست. زمانی که شما دستگاه هدف خود را در این موتور پیدا میکنید، برای شناخت بهتر این دستگاه و دانستن جزییات آن، نیاز به گوگل و موتورهای جستجوی دیگر دارید و در این زمینه shodan نمیتواند به شما کمک کند و نام کاربری و پسورد پیش فرض دستگاه را به شما نشان دهد!

۷- استفاده از دو سرویس map و images این موتور جستجو به شما کمک میکند تا از متن های طولانی و گیج کننده خلاص شوید و زمانی که به دنبال کشف آسیب پذیری ها یا توزیع دستگاهها در گستره جهانی هستید، با تصاویر و نقشه ها درک بهتری از وضعیت بدست آورید.


🌺🌺 کپی برداری فقط با ذکر منبع 🌺🌺


اطلاعات بیشتر:
ubm.io/2Cg2uXF


#shodan
#iot
#pentest
#sec_nerd

@sec_nerd

چگونگی تاثیرگذاری بات های توییتری تحت کنترل روسها و ارائه اطلاعات غلط توسط آنها

#twitter
#russia
#bot
#election


@sec_nerd

Every consequence. Every key stroke. Everything has lead to this. The final season of #MrRobot arrives in 2019.

#news

@sec_nerd

اطلاعات ۲۰ هزار کاربر اپلیکیشن موبایلی Air Canada توسط هکرها مورد نفوذ قرار گرفت.
این رقم در حال زیاد شدن بود و هکر ناشناس قصد داشت وارد حسابهای بیشتری شود که با مشاهده لاگین های مشکوک، کارشناسان ایر کانادا حسابها را قفل و روند پیشرفت این هکر یا هکرها را متوقف کرده اند.

https://www.bleepingcomputer.com/news/security/air-canada-mobile-app-users-affected-by-data-breach/

#news
#breach
#canada


@sec_nerd

Out of Band Exploitation (OOB) CheatSheet

https://www.notsosecure.com/oob-exploitation-cheatsheet/


#oob
#web
#pentest
#must_read

@sec_nerd

لیستی از آسیب پذیری های وب اپلیکیشن ها و روش های اکسپلویت کردن و دور زدن محدودیت ها

https://github.com/swisskyrepo/PayloadsAllTheThings


#web
#pentest
#exploit

@sec_nerd

معرفی گروه هکرهای زیرزمینی Cobalt

این گروه برای نخستین بار در سال ۲۰۱۶ با سرقت پول نقد از دستگاه های خودپرداز با روش jackpotting شناسایی شد.
روش jackpotting با آلوده سازی دستگاه خودپرداز به بدافزار صورت میپذیرد.
گروه کبالت بصورت تخصصی سیستم های پرداخت، بانکها و سازمانهای تجاری را هدف قرار میدهد و این اهداف تاکنون در ۱۵ کشور قرار داشته اند.
در سال ۲۰۱۶ این هکرها تعداد زیادی ATM را در اروپا بصورت ریموت آلوده کردند. کشورهایی نظیر انگلیس، روسیه،رومانی، هلند، اسپانیا و ... از قربانیان این حمله بودند.
این بدافزار که بنظر میرسد ساخت گروه Buhtrap ATM gang باشد تنها از بانکهای روسیه، طی سالهای ۲۰۱۵ و ۲۰۱۶ مبلغ ۲۸ میلیون دلار سرقت کرد!
سال گذشته هکرهای کبالت با استفاده از آسیب پذیری CVE-2017-11882 که مربوط به آفیس بود و در تمامی نسخه های ویندوز کار میکرد، اقدام به ارسال ایمیل های فیشینگ و الصاق داکیومنتهای آلوده RTF و آلوده سازی اهداف خود کردند.
آنها در سال ۲۰۱۷ یک زنجیره تامین را در روسیه آلوده کردند. آنها همچنین از نسخه دستکاری شده باج افزار #petya برای پاک کردن ردپاهای خود استفاده میکردند.
در سال ۲۰۱۸ این هکرها بیکار نبودند و بازهم با هدف قراردادن کارمندان بانکها با حملات فیشینگ، سیستم های بانکی را آلوده کردند. آنها در طی یک عملیات دو ماهه موفق شدند مبلغ ۶۰۰ هزار دلار از بانکهای قزاقستان سرقت کنند.
در ماه آگوست نیز کبالت، دو بانک را در روسیه و رومانی مورد هدف قرار داد. در این حمله آنها از بکدورهای جاوا اسکریپتی استفاده کردند. در گامهای بعدی این بکدور اقدام به اتصال به دامینهای مختلف و دانلود فایلهای آپدیت و بدافزارهای دیگر میکند.



https://securityaffairs.co/wordpress/75793/cyber-crime/cobalt-campaign-russia-romania.html


#cobalt
#banking
#malware
#russia
#usa
#jackpotting

@sec_nerd