شرکت امنیتی FireEye هک شد!
طبق بیانیه رسمی فایرآی، این شرکت مورد حمله هکرها قرار گرفته است.

قسمتی از بیانیه ی منتشر شده از سوی CEO:
طبق تجربه 25 ساله در امنیت سایبری به این نتیجه رسیدم ما شاهد حمله ای بودیم که توسط هکرهایی با توانمندی بسیار بالا صورت گرفته است. این حمله از هزاران حمله دیگر متفاوت است و هکرها توانمندی های سطح جهانی خود را برای حمله به ما بهبود بخشیدند. آنها بسیار آموزش دیده و در نظم و تمرکز فعالیت کردند. استفاده از روش های ضد ابزارهای امنیتی و فارنزیک جزیی از این حمله بوده است و ما تا بحال شاهد چنین تکنیک هایی نبوده ایم.
با همکاری FBI و برخی شرکایمان مثل مایکروسافت فهمیدیم هکرها توانستند برخی ابزارهای تیم های قرمز ما را که برای تست امنیت مشتریانمان مورد استفاده قرار میگرفتند بدست آورند. این ابزارها حاوی اکسپلویت های زیرودی نیستند.
تا این لحظه هیچ نشانه ای از استفاده از ابزارهایمان توسط هکرها مشاهده نشده است.


ادامه:
https://www.fireeye.com/blog/products-and-services/2020/12/fireeye-shares-details-of-recent-cyber-attack-actions-to-protect-community.html


#fireeye
#news
#breach
#usa

@sec_nerd

https://github.com/Damian89/simple-oob-scanner

https://github.com/Damian89/extended-ssrf-search



python3 simple-oob-scanner.py -b https://burpcollaborator.net -u listdomain.txt -t 25 -to 10 -m POST

#SSRF #bugbounty #web #pentest

@sec_nerd

How I Hacked Scammers with whole windows server takeover by RDP


https://basu-banakar.medium.com/how-i-hacked-scammers-with-whole-windows-server-takeover-by-rdp-42f95b05387f


#writeup
#pentest

@sec_nerd

حمله بزرگ سایبری به شرکتهای اسراییلی

این حمله که به گفته ی اسرائیلی ها در ماه اخیر رخ داده است سرورهای شرکت amital را هدف قرار داده که این سرورها حداقل 40 عدد میباشند.
تحقیقات نشان میدهد این حمله محدود به amital نیست و بیش از ۲۰ شرکت دیگر نیز مورد نفوذ هکرها قرار گرفته اند.
گفته میشود هکرهای ایرانی عامل این حملات هستند.

https://www.timesofisrael.com/israels-supply-chain-targeted-in-massive-cyberattack/


#breach
#news
#IRAN
#israel


@sec_nerd

هکرها با حمله به Solarwinds موفق شدند با آلوده کردن پکیج آپدیت سرویس Orion این شرکت، شبکه های دولتی و کمپانی های امریکایی را هک کنند.
نهادهای دولتی امریکایی شامل وزارت خزانه داری و اداره ی مخابرات و اطلاعات ملی (NTIA) از اهداف این حمله بوده اند.
فایرآی در گزارش خود اعلام کرد که نفوذ به زنجیره تامین solarwinds باعث هک شدن این شرکت شده است.

واشنگتن پست به منابعی اشاره میکند که مدعی اند آژانس های دولت های مختلفی در این عملیات ضربه خورده اند.
برخی نیز این عملیات را به گروه هکرهای APT29 نسبت میدهند. این گروه وابسته به سازمان اطلاعات خارجی روسیه می باشد. اما فایرآی این انتساب را تایید نمیکند و کد UNC2452 را برای این گروه در نظر گرفته است.
این هکرها با نفوذ به solarwinds در برنامه ی Orion که یک پلتفرم برای مدیریت منابع شبکه و دستگاه های متصل به آن در شبکه های بزرگ است، بدافزاری قرار دادند که نام آن توسط فایرآی SUNBURST گذاشته شده و مایکروسافت آن را Solorigate می نامد.

گزارش کامل فایرآی را اینجا بخوانید:
https://www.fireeye.com/blog/threat-research/2020/12/evasive-attacker-leverages-solarwinds-supply-chain-compromises-with-sunburst-backdoor.html

گزارش مایکروسافت از جزییات بدافزار:
https://www.microsoft.com/en-us/wdsi/threats/malware-encyclopedia-description?Name=Behavior:Win32/Solorigate.C!dha&ThreatID=2147771132

گزارش solarwinds:
https://www.solarwinds.com/securityadvisory

خلاصه خبر:
https://www.zdnet.com/article/microsoft-fireeye-confirm-solarwinds-supply-chain-attack/


#news
#usa
#fireeye
#solarwinds
#malware
#breach


@sec_nerd

Solaris SunSSH 11.0 x86 - libpam Remote Root

A trivial to reach stack-based buffer overflow is present in libpam on
Solaris. The vulnerable code exists in pamframework.c parseusername() which allocates a fixed size buffer of 512 bytes on the stack and parses usernames into the buffer via modules (authtokget) without bounds checks. This issue can be reached remotely pre-authentication via SunSSH when "keyboard-interactive" is enabled to use PAM based authentication. The vulnerability was discovered being actively exploited by FireEye in the wild and is part of an APT toolkit called "EVILSUN".

Download Exploit

باورش سخته ولی پسورد ftp سرور solarwinds که در یک ریپازیتوری گیت هاب لو رفته بود SolarWinds123 بوده و یک سال قبل توسط یک بانتی هانتر بهشون هشدار داده شده بود!


#news
#solarwinds
#fireeye
#usa


@sec_nerd

گزارشات نشان میدهد وزارت خارجه و homeland security و نیز بخش هایی از پنتاگون نیز مورد حمله قرار گرفته اند.
هنوز مشخص نیست که چرا هکرها NTIA را مورد نفوذ قرار داده اند اما به نظر میرسد یکی از دلایل این کار میتواند دسترسی NTIA به آخرین تکنولوژی هایی باشد که بصورت عمومی منتشر و یا به کشورهایی که علیه امریکا فعالیت میکنند ارائه نمیشوند.
در حال حاضر تقریبا تمامی ۵۰۰ شرکت اول وبسایت fortune از محصولات solarwinds برای مانیتور کردن شبکه استفاده میکنند که از جمله این شرکتها میتوان به نیویورک تایمز (ارائه دهنده ی این گزارش) اشاره کرد. همچنین لابراتوار ملی Los Alamos که سلاح های اتمی تولید میکند و حتی برخی پیمانکاران بزرگ نظامی مانند بوئینگ که تا کنون از ارائه توضیح در این مورد خودداری کرده اند.

https://www.nytimes.com/2020/12/14/us/politics/russia-hack-nsa-homeland-security-pentagon.html


#news
#solarwinds
#usa


@sec_nerd

مدیرعامل solarwinds مدتی قبل از فاجعه ی اخیر بازنشسته شده بود و جایگزین وی مدیرعامل فعلی Pulse secure بود که خودش در حال دست و پنجه نرم کردن با اکسپلویت ها و باج افزارهای سرویس های VPN شرکت pulse secure است!

مثال بارز از چاله در اومدن و به چاه افتادن شد... 😂😂

#news
#solarwinds


@sec_nerd

برخی تنظیمات نادرست nginx که میتواند سرور را در معرض حمله هکرها قرار دهد:

https://blog.detectify.com/2020/11/10/common-nginx-misconfigurations/


#nginx
#web
#pentest


@sec_nerd

رایت کردن وب شل در حملات تزریق PostgreSQL

https://www.onsecurity.io/blog/pentesting-postgresql-with-sql-injections/


#postgresql
#sqli
#web
#pentest


@sec_nerd

دیکد کردن دامنه های مربوط به بدافزار sunburst منجر به کشف برخی قربانیان حمله اخیر به solarwinds شده است:
https://github.com/bambenek/research/blob/main/sunburst/uniq-hostnames.txt

دیکدر:
https://github.com/RedDrip7/SunBurst_DGA_Decode

#sunburst
#solarwinds
#usa


@sec_nerd

این روزها همه ی کانالها پر شده از اخبار آخرین جاهایی که در حمله به زنجیره تامین solarwinds هک شدن.
ما هم به همین دلیل همه ی این موارد رو پوشش نمیدیم. فقط بدونید که تا الان به گفته ی brad smith بیش از ۴۰ سازمان و نهاد هک شدن که حدود ۸۰ درصد از اونها امریکایی هستن.
Los Alamos
sandia national lab
richland field office (dep. of energy)
office of secure transportation
federal energy regulatory comission

https://www.hackread.com/russian-hackers-40-agencies-us-nuclear-agency/

#news
#sunburst


@sec_nerd

🤔🤔

گود


@sec_nerd

ادامه:
https://github.com/5u3e10px/Suburst-DGA-Domains-Decoded

برخی دامنه ها قابل تشخیص و بعضی ها کدهای اختصاری هستن



#solarwinds
#sunburst


@sec_nerd

آخرین آپدیت از وضعیت حمله اخیر به زنجیره ی تامین solarwinds:
شرکت های fireeye، مایکروسافت و vmware جزو شاخص ترین ها هستند که مورد نفوذ قرار گرفته اند.
به گفته ی solarwind تقریبا ۱۸ هزار مشتری، آپدیت آلوده را نصب کرده اند ولی هکرها فقط سازمانهای مهم را در مرحله ی دوم حمله ی خود در اولویت قرار داده اند.

لیست نهادهای دولتی امریکا که هک شده اند:
وزارت خزانه داری
NTIA
وزارت خارجه
انستیتوی ملی سلامت
دپارتمان امنیت ملی
دپارتمان انرژی
مدیریت امنیت هسته ای
برخی ایالت ها

تحقیقات بر روی دامنه های مورد استفاده ی sunburst نشان میدهد که هکرها فقط اقدام به بکدور کردن سیستم های قربانی نکرده و احتمالا در برخی موارد دسترسی را گسترش داده و شبکه داخلی را مورد نفوذ قرار داده اند.
اطلاعات بیشتر در ماه های آتی منتشر خواهد شد اما احتمالا گستره ی کامل این سرقت اطلاعات هرگز بصورت عمومی اعلان نخواهد شد و این اطلاع رسانی فقط برای نهادهای اطلاعاتی انجام میشود.
برخی کمپانی های هک شده در این حمله:
کالج قانون و تجارت اسراییل
mediatek
ankcom
Cisco GGSG
itps.uk.net
Kansas City Power and Light Company
Hamilton Company
Deloitte
....

تاکنون هیچ نشانه ای از هکرها و منشاء این حمله یافت نشده و به نظر میرسد اتهام زنی مقامات امریکایی و رسانه ها به روسیه و چین بیشتر در بعد سیاسی و در اختلافات داخلی امریکا قابل تعریف باشد.
استفاده ی هکرها از زیرساخت های ابری در سرورهای c2 و اجرای عملیات از طریق این سرویس ها کار ردیابی حمله را بسیار دشوار کرده است.
(منبع تحلیل چینی این حمله و گزارش بکدور وبی مورد استفاده در آپدیت orion و زیرساخت های مورد استفاده برای بارگذاری بکدور
https://www.anquanke.com/post/id/226029#0-twi-1-67021-7250227817ecdff034dc9540e6c76667
)

https://www.bleepingcomputer.com/news/security/solarwinds-victims-revealed-after-cracking-the-sunburst-malware-dga/


#news
#sunburst
#usa

@sec_nerd