iDeFense

💢 گروه Sandworm (معروف به APT44)، در حال اجرای یک کمپین سایبری علیه کاربران ویندوز در اوکراین است. این گروه با استفاده از ابزارهای فعال‌سازی KMS مایکروسافت دستکاری‌شده و به‌روزرسانی‌های جعلی ویندوز، نسخه‌ای جدید از بارگذار BACKORDER را توزیع می‌کند که در نهایت به استقرار تروجان دسترسی از راه دور Dark Crystal RAT (DcRAT) منجر می‌شود (این بدافزار به مهاجمان امکان سرقت داده‌های حساس و جاسوسی سایبری را می‌دهد) 🔬 شواهد متعددی این کمپین را به Sandworm مرتبط می‌کند، از جمله استفاده مکرر از حساب‌های ProtonMail در سوابق WHOIS، زیرساخت‌های یکسان، و تکنیک‌ها و روش‌های تاکتیکی (TTPs) مشابه. علاوه بر این، استفاده مجدد از BACKORDER، DcRAT، و مکانیزم‌های شبکه TOR، همراه با نشانه‌هایی که به محیط ساخت ابزار به زبان روسی اشاره دارند، این ارتباط را تقویت می‌کنند. 🦠 استفاده گسترده از نرم‌افزارهای کرک‌شده در اوکراین، حتی در نهادهای دولتی، سطح حمله بزرگی را ایجاد کرده است. بر اساس گزارش‌ها، مایکروسافت تخمین زده است که 70٪ از نرم‌افزارهای بخش دولتی اوکراین بدون مجوز هستند، که این روند احتمالاً به دلیل مشکلات اقتصادی ناشی از جنگ تشدید شده است. بسیاری از کاربران، از جمله کسب‌وکارها و نهادهای حیاتی، به نرم‌افزارهای کرک شده از منابع نامعتبر روی آورده‌اند، که به مهاجمانی مانند Sandworm فرصت می‌دهد بدافزار را در برنامه‌های پرکاربرد جاسازی کنند. این تاکتیک امکان جاسوسی گسترده، سرقت داده‌ها، و نفوذ به شبکه‌ها را فراهم می‌کند، که مستقیماً امنیت ملی، زیرساخت‌های حیاتی، و مقاومت بخش خصوصی اوکراین را تهدید می‌کند. ⚠️ در یکی از این حملات، فایل فشرده‌ای با عنوان "KMSAuto++x64_v1.8.4.zip" در تورنت منتشر شد که حاوی BACKORDER بود. مهاجمان این فایل را به‌عنوان ابزاری برای فعال‌سازی KMS معرفی کردند تا کاربرانی را که قصد دور زدن نیازهای مجوز ویندوز را دارند، هدف قرار دهند. این ابزار پس از اجرا، یک رابط جعلی فعال‌سازی ویندوز را نمایش می‌دهد، در حالی که در پس‌زمینه، بارگذار BACKORDER را اجرا می‌کند که در نهایت به استقرار DcRAT منجر می‌شود. 🌐 https://blog.eclecticiq.com/sandworm-apt-targets-ukrainian-users-with-trojanized-microsoft-kms-activation-tools-in-cyber-espionage-campaigns 🔗 https://nsarchive.gwu.e

⭕ در سال‌های اخیر، مهاجمان سایبری به‌منظور دور زدن مکانیزم‌های شناسایی نرم‌افزارهای امنیتی، به استفاده از زبان‌های برنامه‌نویسی کمتر متداول روی آورده‌اند. این زبان‌ها به‌دلیل عدم آشنایی کامل ابزارهای امنیتی با آن‌ها، می‌توانند به‌عنوان روشی برای مخفی‌سازی بدافزارها مورد استفاده قرار گیرند 🔻 در اینجا روشی برای دور زدن Microsoft Defender از طریق ترکیب زبان‌های برنامه‌نویسی Lua و Rust رو بررسی میکنیم با استفاده از این دو زبان، یک لودر شل‌کد میتوان ایجاد کرد که توسط Microsoft Defender شناسایی نمی‌شود ⚙  https://blog.shellntel.com/p/evading-microsoft-defender 👁‍🗨 مراحل: با استفاده از ابزار msfvenom، یک شل‌کد Meterpreter تولید می‌شود سپس شل‌کد تولید شده با استفاده از یک کلید XOR می‌شود تا از شناسایی آن توسط آنتی‌ویروس‌ها جلوگیری کند 🦠 سپس شل‌کد رمزگذاری‌شده در یک برنامه Rust تعبیه می‌شود که از کتابخانه mlua برای اجرای کد Lua استفاده می‌کند در نهایت کد Lua شل‌کد را رمزگشایی کرده و آن را در حافظه اجرا می‌کند 🔗 https://www.darkreading.com/threat-intelligence/attackers-use-of-uncommon-programming-languages-continues-to-grow?utm_source=blog.shellntel.com&utm_medium=referral&utm_campaign=evading-microsoft-defender #MalwareDevelopment #AV_Evasion #UncommonLanguages #MalwareAnalysis @iDeFense

🔝دوستان علاقه مند به امنیت هم میتونند رزومه ارسال کنند 🙏

⚔ در فرایند تیم قرمز برای دسترسی راحتتر به قربانی، از ابزارهای ریموت دسکتاپ استفاده میشه. معمولا برای این کار هم از ابزارهای قانونی استفاده میکنن، تا بتونن محصولات امنیتی رو هم دور بزنن. ⭕ یکی از این ابزارهای قانونی Chrome Remote Desktop هستش که با عنوان Google Remote Desktop هم شناخته میشه. ⚙ برای استفاده از این ابزار نیاز به یک اکانت جیمیل و نصب نرم افزار مربوطه دارید. 🔺 این ابزار از پروتکل اختصاصی گوگل با عنوان Chromoting استفاده میکنه که از طریق HTTPS ارتباط برقرار میکنه و از طریق WebRTC داده انتقال میده. 🔻 https://trustedsec.com/blog/abusing-chrome-remote-desktop-on-red-team-operations-a-practical-guide #RedTeam #Tools @iDeFense

📚 کتاب بخونی یا سیستم آلوده کنی؟ مراقب Flibusta[.]su باش! امروز با یه کمپین مخرب و حرفه‌ای مواجه شدم که مخصوص عاشقان کتاب طراحی شده. یه سایت تقلبی به نام Flibusta[.]su درست شده که خودش رو جای نسخه‌ی اصلی و محبوب Flibusta[.]is جا زده. ❗️همه‌ی کتاب‌هایی که از این سایت دانلود می‌کنید، بدون توجه به فرمت، فقط یک فایل zip هستند به حجم 89.3 مگابایت. داخل این فایل دو مورد مشکوک هست: 🔸 <book_name>.pdf - Archive.exe 🔸 SbieDll.dll 📌 بعد از اجرا و گرفتن دسترسی UAC، این اقدامات انجام می‌شن: 1️⃣ توقف سرویس‌های امنیتی و آپدیت ویندوز: UsoSvc WaaSMedicSvc wuauserv bits dosvc eventlog 2️⃣ اضافه کردن مسیرها و پسوندهای مهم به لیست استثنای آنتی‌ویروس (Defender): Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData, $env:windir) ` -ExclusionExtension @('.exe','.dll') -Force 3️⃣ حذف ابزار امنیتی معروف KB890830 (ابزار حذف بدافزار مایکروسافت) 4️⃣ افزودن به رجیستری برای اجرای خودکار بدافزار در هر بار روشن شدن ویندوز: C:\Users\<USER>\AppData\Roaming\Sandboxie\sandboxie.exe 5️⃣ ایجاد یک سرویس جعلی با ظاهر قانونی برای اجرای مداوم بدافزار: Service name: GoogleUpdateTaskMachineQC Executable: C:\ProgramData\Google\Chrome\updater.exe 🧪 فایل SbieDll.dll احتمالاً برای اجرای تکنیک DLL Hijacking استفاده میشه. 🧾 تحلیل AnyRun پ.ن: مالک اصلی Flibusta ظاهراً در سال ۲۰۲۴ فوت کرده، و بعد از اون دامنه توسط هکرها تصاحب شده. #DLLHijacking #malware #SE #Flibusta @iDeFense