Security Analysis

⭕️ جنگ الکترونیک و ایجاد پارازیت GPS گسترده در منطقه غرب آسیا به مرکزیت الشارجه امارات

@securation

لینک کانال در مسنجر بله رو داشته باشید عضو بشید :

ble.ir/join/C2vvPXSTV5

پاینده باد ایران من
به امید روزهای خوب برای ایران و ایرانیان ❤️

⭕️ افتا: هشدار باش سایبری

۱۴۰۴/۱۲/۹

🔴 با توجه به شرایط فعلی کشور ضروری است اقدامات زیر انجام و هرگونه رخداد سایبری مشکوک، سریعا به مرکز افتا اعلام شود:

🔻 1. در دسترس بودن متولیان فنی سایبری و پیمانکاران سامانه‌های حیاتی برای مقابله با حوادث احتمالی

🔻 2.قطع فیزیکی تمامی پورت‌های مدیریتی از جمله ILO و IPMI و مدیریت ذخیره‌ساز‌ها (Storage)

🔻 3.حصول اطمینان از جداسازی فیزیکی شبکه مدیریتی تجهیزات (OOB) از سایر شبکه‌ها

🔻 4.قطع هرگونه دسترسی از راه دور و دسترسی‌های غیر ضروری به سامانه‌ها، تجهیزات و سرویس‌های حیاتی

🔻 5.حصول اطمینان از جداسازی شبکه های OT از سایر شبکه‌ها

🔻 6.ممنوعیت نصب هر نوع سامانه یا تجهیز جدید و یا هرگونه اقدام نگهداری و به‌روزرسانی بر روی سامانه‌ها و تجهیزات موجود

🔻 7.حصول اطمینان از تغییر رمز عبور کاربران در سطح مدیریتی برای سامانه‌ها و تجهیزات فناوری و صنعتی

🔻 8.شناسایی و حذف حساب‌های کاربری غیرضروری در سامانه‌ها، تجهیزات و سرویس‌های حیاتی

🔻 9.بروز بودن، صحت و اطمینان از نگهداری نسخه‌های پشتیبان در خارج از سازمان

🔻 10.حصول اطمینان از ذخیره مطمئن و متمرکز انواع لاگ‌های امنیتی

🔻 11.هر گونه تماس یا ارسال پیامک از سرشماره‌های ناشناس، No Number و یا Private برای اقدام بر روی سامانه‌ها و زیرساخت مورد تایید نیست و نیاز به اخذ تاییدیه از مرکز افتاست.

@securation

عزیزان لطفا مراقب خودتون و خانواده هاتون باشید.

⭕️ برای دور زدن Elastic EDR در فرآیند Lateral Movement، مهاجم باید زنجیره‌ای از تکنیک‌های پنهان‌سازی را به کار بگیرد. ابتدا برای انتقال فایل از طریق SMB، باید Magic Bytes لودر تغییر یابد و فایل با پسوند غیرحساسی مانند .png منتقل شود تا هشدارهای اولیه صادر نگردد. در مرحله بعد، به جای تغییر نام به .exe که مشکوک است، از پسوند .scr (فایل اسکرین‌سیور) استفاده می‌شود که در ویندوز ماهیت اجرایی دارد اما اغلب قوانین شناسایی را دور می‌زند. همچنین، به جای پروتکل WMI که به شدت مانیتور می‌شود، تکنیک scshell برای اجرای راه دور از طریق سرویس‌های ویندوز به کار گرفته می‌شود تا از شناسایی فعالیت‌های مشکوک جلوگیری شود.

علاوه بر این، استفاده از مسیرهای استثنا شده (Exclusion) مانند C:\ProgramData\Microsoft\Search نقشی حیاتی دارد، زیرا اجرای فایل از این پوشه‌ها باعث می‌شود EDR هشداری صادر نکند. برای نهایی کردن حمله و تغییر پسوند در سیستم مقصد نیز، به جای روش‌های معمول که باعث ایجاد فرآیندهای مشکوک می‌شوند، از یک Unmanaged PowerShell Runspace در داخل فرآیند قانونی msiexec.exe استفاده می‌شود. این رویکرد باعث می‌شود بارگذاری DLL های اتوماسیون کاملا عادی به نظر برسد و در نهایت اتصال Beacon بدون فعال شدن هشدارهای امنیتی برقرار گردد.


#RedTeam #Evasion
@securation