ViperNułł

https://t.me/ModernLAN

سرقت اطلاعات ۱۲۰۰ نفر در میوه و تره‌بار رئیس #پلیس_فتا تهران از شناسایی و انهدام یک باند حرفه‌ای #کلاهبرداری با استفاده از دستگاه‌های اسکیمر خبر داده و می‌گوید که اطلاعات بانکی یک‌هزار و ۲۰۰ نفر از شهروندان در یکی از غرفه‌های میدان میوه و تره‌بار شهرداری تهران کپی و افشا شده بود. مجرمان اسکیمری در پوشش مشاغل مختلف در قالب پیک رستوران، متصدی جایگاه سوخت، فروشندگان سیار، کارگران غرفه‌های میادین میوه و تره‌بار و سایر مشاغل خدماتی با در اختیار گرفتن کارت بانکی مشتریان، اطلاعات آن را کپی کرده و سپس کارت را خالی می‌کنند. پ.ن: ظاهراً این روزها خرید چند کیلو میوه هم بدون احراز هویت دومرحله‌ای ریسک داره! https://t.me/ViperNull

https://start.me/p/wMrA5z/cyber-threat-intelligence تمام سایت هایی که برای هک و امنیت به درد میخورن رو اینجا نوشته شده https://t.me/ViperNull

The Telegram Malware Ecosystem A 9,898-row intelligence collection built from Telegram bot tokens and chat IDs leaking out of malware on VirusTotal, enriched, clustered, and mined for attribution. https://ransom-isac.org/blog/the-telegram-malware-ecosystem/ https://t.me/ViperNull

دوستان سلام یکم اومدیم درباره dhcp بگیم در اصل DHCP برای اختصاص آیپی 4 مرحله داره: discover: کلاینت هنوز Ip نداره پس میاد یه broadcast میزنه: Source IP: 0.0.0.0 Destination: 255.255.255.255 که میگه ایا DHCP سرور موجود هست یا نه. مرحله دوم DHCP offer هستش: dhcp answer -> ip پیشنهاد میده -> less time -> network setting مرحله سوم: DHCP Request: کلاینت میگه من این آیپی انتخاب کردم Option 50: 192.168.1.100 مرحله 4 : ack سرور تایید میکنه که میگه ip برای اون کلاینت هستش و تمام yiaddr = 192.168.1.100 در اینجا dhcp ما یه سری options داره که پایین میزارم: 53: DHCP Offer 54: DHCP Server Identifier (IP server) 51: Lease Time 1 : Subnet Mask 3 : Router (Gateway) 6 : DNS Server 15: Domain Name 58: Renewal Time 59: Rebinding Time فلو خلاصه شده کار : DISCOVER → OFFER → REQUEST → ACK

اگر خاطرتون باشه یه چالش در حوزه ی Forensics قرار داده بودم ( فایل ویدیویی که اطلاعاتی داخل اون پنهان شده بود ) ؛ یک نفر تنها تونستن با خطای ۱۰ بایت اطلاعات رو استخراج کنن ( با دریافت راهنمایی در خصوص فرمت اطلاعات ) ولی موفق به رمزگشایی یا حتی شناسایی الگوی رمزنگاری نشدن ، کد برنامه رو داخل گیت هاب گذاشتم ، به این روش ساده میتونید اطلاعات حتی "حجیم" رو داخل یک فیلم با حجم 1.5 گیگابایتی پنهان کنید ؛ چون رمزنگاری استاندارد نبود و الگوی خاصی تولید نمیکرد حتی MCP ها هم متوجه نوع داده و آنومالی نمیشدن. کاربرد این ابزار : در صورت بدخواهانه بدافزارها میتونن اطلاعات رو رمزنگاری و با ارسال ویدیو داخل شبکه حساسیت کمتری ایجاد کنن و در صورت خیرخواهانه ، اگر شما اطلاعاتی دارید که تمایل ندارید کسی حتی با اجبار و دریافت رمز به اونها دسترسی پیدا کنه میتونید اونها رو تکه تکه کرده و داخل چند فیلم با رمز عبورهای متفاوت ذخیره کنید ؛ اینطوری اطلاعات امن خواهد بود و کسی هم متوجه حضور آنها نخواهد شد ( فکر کنم منظورم رو گرفتید ! ). پ.ن : این ابزار علاوه بر PDF هر فایلی رو میتونه در ورودی قبول کنه ، محدودیتی وجود نداره ولی چون من اولین بار برای پنهان سازی PDF کد رو نوشتم دیگه تغییرات ندادم و اسامی همونها باقی موندن مهمتر اینکه در صورت استفاده حتما" مکانیزم رمزنگاری رو تغییر بدید ( مقادیر ماتریکس ) و فقط به پسورد اتکا نکنید. ⭐️ اگر به دردتون خورد و براتون جالب بود یه ستاره به پروژه ( داخل گیت هاب ) منو مهمون کنید :) https://github.com/NIKJOO/ShadowBox

سلام دوستان حالتون چطوره یکی از روشای پرسیستنس توی لینوکس استفاده از فایلای socket , service هستش حقیقتا یک service unit با پسوند .sservice مشخص میکنه که یه پردازش باید چطوری اجرا بشه و مدیریتش چطور باشه و ... مثلا: [Unit] Description=System Update Monitor [Service] ExecStart=/usr/local/bin/updater Restart=always [Install] WantedBy=multi-user.target باید این فایل داخل مسیر /etc/systemd/system/ باشه و برای فعال سازیش میتونیم از دستور : systemctl enable updater.service برای اجراش شدنش اجرا کنیم. یکی از روش پیشرفته ترش socket activation هستش که از فایل .socket به systemd اجازه میده به جای سرویس خودش روی یه سوکت listen کنه تا وقتی اتفاقی افتاد سرویس مربوطه اجرا کنه مثلا: [Socket] ListenStream=5555 Accept=no [Install] WantedBy=sockets.target و بعدش یه سرویس میسازیم برای اجرا شدن اون وقتی سوکت فعال میشه: [Unit] Description=Healthcheck Service [Service] ExecStart=/usr/local/bin/healthcheck.sh StandardInput=socket StandardOutput=socket StandardError=socket اگه اسم هایی که براشون انتخاب میکنیم هم نام باشن مثل mmd.socket , mmd.service بهتره چون systemd به صورت پیش فرض هم نام هارو pair میکنه systemctl enable mmd.socket systemctl start mmd.socket

سلام دوستان حالتون چطوره DTP پروتوکلی هستش که به سویچ ها اجاره میده بدون نیاز به پیکربندی های استاتیک وضعیت سویچ پورت ها رو Negotiate کنن تا به یکی از حالت های زیر تبدیل بشه:ACCESS PORTS و TRUNK PORTS پروتوکل DTP به ضورت دیفالت روی تمام اینترفیس های سویچ…

سلام دوستان حالتون چطوره DTP پروتوکلی هستش که به سویچ ها اجاره میده بدون نیاز به پیکربندی های استاتیک وضعیت سویچ پورت ها رو Negotiate کنن تا به یکی از حالت های زیر تبدیل بشه:ACCESS PORTS و TRUNK PORTS پروتوکل DTP به ضورت دیفالت روی تمام اینترفیس های سویچ های سیسکو enable هستش . ما تا الان سویچ ها رو با صورت استاتیک با استفاده از دستورات switchport mode trunk یا mode access پیکربندی میکردیم (یه نکته ریز بگم بریم ادامش دوستان با دستور show interfaces < > switchport تنظیمات مربوطه بهشو به ما نشون میده) قبل از رفتن سراغ بقیه بحث بگم trunk چیه تا توی حاله ای از ابهامات نیوفتیم . داش ترانک یعنی اینکه این پورت معمولا برای اتصال دو تا سویچ به یکدیگه یا اتصال به روتر استفاده میشه. پورت ترانک میتونه تمام ترافیک vlan ها رو از طریق یه کابل عبور بده بریم برای ادامه حالت DTP DYNAMIC DESIRABLE : توی این حالت به صورت مستمر تلاش میکنه که با سویچ ها یه لینک ترانک تشکیل بده.اگه اینترفیس مقابل روی حالت static access ست شده باشه لینک ترانک تشکیل نمیشه و به عنوان access port کار میکنه . حالت DTP DYNAMIC AUTO: زمانی کار میکنه که سویچ متصل به اون به صورت مستمر درحال تلاش برای ترانک کردن باشه یه جورایی میشه گفت اگه قبلی به این وصل باشه با هم میتونن ترانک بشن برن سر خونه زندگیشون و سویچ جدید متولد بشه. پروتوکل DTP با تجهیزاتی مثل router , pc , ... یه ترانک تشکیل نمیده و تو این حالت فقط سویچ در حالت access قرار میگیره. 〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️ Join channel

دوستان سلام یه مقداری داشتم کار میکردم این ابزارو دیدم چیز جالبی بود یه ریسرچ ریزی کردم و جالب بودش و امیدوارم برت شماهم جالب باشه 〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️ Join channel

https://hacktricks.wiki/

دوستان سلام موقع بوت شدن سیستم کرنل سخت افزار ها شناسایی میکنه و راه اندازیشون میکنه . از اونجایی که کرنل لینوکس رابط های شبکه فیزیکی و به طور خودکار اسم های عمومی بعشون میده که بعدا systemd تغییرشون میده.برای اینترفیسا چیزایی هستش که پایینه: eth0: Ethernet wlan0: WiFi wwan0: Cellular/Mobile ppp0: point-to-point protocol br0: Bridge vmnet0 :Virtual machines در حالت عادی کرنل اسمای کوچیک مثل eth0 , wlan0 و ... درست میکنه ولی systemd میاد اونا رو دقیق میکنه مثل wwp0s20f0u2i12 . ول جدیدا اینطور شده برای اترنت از همون en (enp031f4)استفاده میشه یا برای wlan ها از wl استفاده میشه و .... میتونیم en ها و wl هایی که هستن رو اسلات هاشون و عملکرد pci اونا رو با دستور lspci ببینیم: $ lspci ... 00:1f.6 Ethernet controller: Intel Corporation Ethernet Connection (4) I219-LM (rev 21) 02:00.0 Network controller: Intel Corporation Wireless 8265 / 8275 (rev 78) ... معمولا اسم هایی که اول دارن یه مقدار طولانی هستش چون خودکار صورت میگیره مثلا wwp0s20f0u2i12 ولی داشمون systemd میاد تغییر میده و ... : Feb 16 19:20:22 pc1 kernel: e1000e 0000:00:1f.6 enp0s31f6: renamed from eth0 Feb 16 19:20:23 pc1 kernel: iwlwifi 0000:02:00.0 wlp2s0: renamed from wlan0 Feb 16 19:20:23 pc1 kernel: cdc_mbim 2-2:1.12 wwp0s20f0u2i12: renamed from wwan0 بحث اینجاست systemd چطور اسم جدیدو میسازه؟ برای حل این مشکل ساب سیستم systemd به کمک systemd-udevd میاد . این دیمون به جای نام گذاری رندوم میاد موقعیت فیزیکی . کارت روی مادربورد نگته میکنه و فرمولش اینطور هست: دو حرف اول خب برای نوع تکنولوژی استفاده شده هستش: wireless => wl wwan = ww ethernet => en حروف بعدی که داره اینطور هست: pX => pci bus sY => slot fY => function مثلا enp0s31f6 روی اترنت هست و p0 روی pci شماره 0 قرار داره و s31 در اسلات 31 مادربورد هست و f6 فانکشن شماره 6 قرار داره بالا بهش اشاره کردیم وقتی اسم اون اینترفیس rename میشه چطور هست و توی فارنزیک میتونه کمکمون کنه . اگه بخوایم interface name هایی که داریم کوتاه و سنتی مثل eth0 , ... باشه میتونیم توی بوت لود net.iframe = = 0 بزاریم و غیر فعالش کنیم 〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️ Join channel

مخفف ldap در اصل lightweight directory access protocol پروتوکلیه برای ذخیره جست و جو و مدیریت و بیشتر برای کاربران و گروه ها و سیستم ها و احراز هویت استفاده میشه ساده ترین تعریف براش مثل یک تلفن سازمانی هستش که برای دیتابیس هویتی عمل میکنه مثلا اسم و پسورد ایمیل و ... داخل ldap نگهداری میشن ldap مهم ترین پیاده سازیش داخل اکتیو دایرکتوری هستش! اکتیو دایرکتوری در اصل از ldap , kerberos , dns ترکیب شده است. دیتایی که داخل ldap قرار داره تشکیل شده از object هستش که نام های اونا user m group , computer , printer , ou هستش مفاهیم اصلی ldap : # 1. DN (Distinguished Name) ادرس کامل یک object رو به ما میده برای مثال: cn=Ali,ou=Users,dc=company,dc=local CN => name object OU => دسته بندی سازمانی DC => قسمت های دامنه company.local or dc=company,dc=local`w در واقع روی پورت های 389 , 636 کار میکنه اطلاعاتی که میشه از ldap گرفت => - user list - groups - computers - domain admins - password policy - SPN accounts - service accounts 〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️〰️ Join channel

نسخه جدید #کتاب Blue team Handbook Incident Response از دان مورداک

http://Cybermap.kaspersky.com https://t.me/ViperNull

http://Cybermap.kaspersky.com https://t.me/ViperNull

How to Detect PowerShell Encoded Commands in Microsoft Sentinel (KQL) A working SOC analyst's guide to detecting PowerShell -EncodedCommand abuse using KQL in Microsoft Sentinel. Production-ready detection rules with tuning notes. http://socauthority.com/blog/how-to-detect-powershell-encoded-commands-sentinel-kql/ 🎖https://t.me/ViperNull

سلام و درود شب بخیر یه کم دیگه قطع بمونیم، احتمالا expire میشیم: AI Threat Intelligence: https://promptintel.novahunting.ai/ با تشکر از مهدی میرسلطانی عزیز ❤️🌹

https://t.me/ViperNull

https://t.me/ViperNull