پادفن البرز

APT چیست؟ داستان حملاتی که ممکن است ماه‌ها در شبکه شما پنهان بمانند

APT مخفف چیه؟

APT مخفف عبارت Advanced Persistent Threat هست که در فارسی معمولاً به «تهدید پیشرفته و ماندگار» ترجمه می‌شه.

اما بیایید هر کلمه رو دقیق‌تر بررسی کنیم.

کلمه Advanced به معنی پیشرفته است. یعنی مهاجم ممکنه از ترکیبی از ابزارهای اختصاصی، بدافزارها، آسیب‌پذیری‌ها، مهندسی اجتماعی و ابزارهای عادی سیستم‌عامل برای رسیدن به هدفش استفاده کنه. البته پیشرفته بودن همیشه به معنی استفاده از بدافزار پیچیده نیست؛ گاهی استفاده هوشمندانه از ابزارهای قانونی ویندوز هم می‌تونه بخشی از یک عملیات پیشرفته باشه.

کلمه Persistent به معنی ماندگار یا پیگیر است. مهاجم تلاش می‌کنه دسترسی خودش رو حفظ کنه و در صورت شناسایی یا قطع شدن یک مسیر، احتمالاً راه‌های دیگری برای ادامه عملیات پیدا کنه. این ماندگاری الزاماً به معنی حضور شبانه‌روزی در سیستم نیست؛ ممکنه فعالیت مهاجم متناوب و حساب‌شده باشه.

و در نهایت Threat، یعنی تهدید؛ عاملی که توانایی و قصد ایجاد آسیب یا دستیابی غیرمجاز به دارایی‌های سازمان رو داره.

وب سایت پادکست پادفن البرز

Hosted on SHENOTO

گروه تهدید مورد بررسی ما در چارچوب MITRE ATT&CK با شناسه G1028 و نام اصلی APT-C-23 شناخته می‌شود. این گروه با نام‌های مستعار متعددی نیز فعالیت می‌کند که عبارتند از: Mantis، Arid Viper، Desert Falcon، TAG-63، Grey Karkadann، Big Bang APT و Two-tailed Scorpion (عقرب دو دُم). در گزارش‌های فارسی‌زبان نیز از آن با عنوان «عقرب دو دُم» یاد می‌شود.

بر اساس ارزیابی‌های جامعه اطلاعاتی، APT-C-23 به سرزمین‌های فلسطینی نسبت داده می‌شود و به عنوان بازوی سایبری جنبش حماس شناخته می‌شود. این گروه از سال ۲۰۱۲ (و به روایتی از ۲۰۱۴) فعالیت خود را آغاز کرده و عملیات خود را عمدتاً بر منطقه خاورمیانه متمرکز کرده است. سایت اطلاعات تهدید Mjolnir Security نیز این گروه را با وابستگی به «سرزمین‌های فلسطینی» طبقه‌بندی کرده است.

لینک ها :

وب سایت پادفن البرز

گیت هاب پادزهر

کانال تلگرام

روزنامه لینکدین

Hosted on SHENOTO

یکی از شناخته‌شده‌ترین گروه‌های تهدید پیشرفته (APT) وابسته به دولت کره شمالی است که فعالیت آن از سال ۲۰۱۸ آغاز شده و به مجموعه مشهور Lazarus Group نسبت داده می‌شود.

🎯 مأموریت اصلی این گروه، سرقت دارایی‌های دیجیتال، پول‌شویی و تأمین منابع مالی دولت کره شمالی است. به همین دلیل، شرکت‌ها، صرافی‌ها و سازمان‌های فعال در حوزه رمزارزها مهم‌ترین اهداف آن هستند.

یکی از معروف‌ترین عملیات‌های AppleJeus، حمله زنجیره تأمین (Supply Chain Attack) به نرم‌افزار 3CX بود؛ حمله‌ای که هزاران سازمان را در سراسر جهان در معرض خطر قرار داد.

منابع دیگر :

• لینک کانال تلگرام
• لینک روزنامه لینکدین
• لینک گیت هاب پروژه ( بزودی ، در حال تست در لابراتوار هستم )
• لینک متن پادکست

Hosted on SHENOTO

اگر به تاریخچه این گروه نگاه کنیم، اولین نشانه‌های فعالیت Aoqin Dragon به سال ۲۰۱۳ برمی‌گردد! یعنی این گروه حداقل به مدت یک دهه توانسته بود کاملاً چراغ‌خاموش و بدون اینکه اسمش در سرتیتر اخبار امنیت بیاید، در تاریکی شبکه فعالیت کند.

اولین بار در سال ۲۰۲۲ بود که شرکت SentinelOne با انتشار یک گزارش جامع پژوهشی، از راز این اژدها پرده برداشت.

لینک ها :

• روزنامه لینکدین
• گیت هاب
• کانال تلگرام
• متن پادکست
• وب سایت شخصی

Hosted on SHENOTO

وقتی مهاجمان Andariel وارد یک شبکه شرکتی یا زیرساخت مالی می‌شوند، از بدافزار اختصاصی خود یعنی DTrack رونمایی می‌کنند. اما نکته اینجاست:

آن‌ها برای اجرای کدهای جاسوسی خود، یک فایل جدید در Program Files ایجاد نمی‌کنند تا آنتی‌ویروس به آن مشکوک شود؛ بلکه به سراغ پردازش‌های بومی، معتبر و مورد اعتماد خودِ ویندوز سرور (مانند مفسرهای خط فرمان cmd.exe یا powershell.exe) می‌روند و کدهای مخرب خود را مستقیماً به درون مغز این پردازش‌ها یعنی حافظه RAM تزریق می‌کنند.

اطلاعات مفید و تکمیلی :

• روزنامه لینکدین این اپیزود
• گیتهاب این اپیزود

کانال تلگرام : https://t.me/PodFanAlborz

Hosted on SHENOTO

این اپیزود پنجم از فصل دوم پادکست پادفن البرز، یعنی «پادزهر» است. جایی که ما از خطاهای ساده می‌گذریم و به تاریک‌ترین نقاط شبکه‌های سازمانی نور می‌تابانیم.

شرح حمله سازمان یافته ALLANITE :

تصور کنید یک نفر کلید طلایی خانه شما را دارد. درِ خانه را نمی‌شکند، شیشه‌ها را خرد نمی‌کند و دزدگیر هم به صدا در نمی‌آید. او فقط در سکوت وارد می‌شود، نقشه خانه را می‌کشد و می‌رود تا برای روز مبادا آماده باشد. این دقیقاً کاری است که گروه هکری ALLANITE با زیرساخت‌های حیاتی، به‌ویژه شبکه‌های توزیع برق و انرژی انجام می‌دهد.آن‌ها نیامده‌اند تا باج‌افزار اجرا کنند و از شما بیت‌کوین بخواهند؛ هدف آن‌ها جاسوسی، جمع‌آوری اطلاعات و ایجاد یک دسترسی پایدار در حساس‌ترین بخش‌های صنعتی کشور است. امروز قرار است این شبحِ بی‌صدا را در آزمایشگاه پادزهر به دام بیندازیم.

کانفیگهای شناسایی این APT بزودی در گیتهاب و تلگرام و مقاله فنی آن در روزنامه لینکدین منشتر میشود :

تلگرام : https://t.me/PodFanAlborz

گیت هاب : https://github.com/moqaniyani/Podzahr-Threat-Hunting

روزنامه لینکدین :  https://www.linkedin.com/build-relation/newsletter-follow?entityUrn=7432019483445256192

Hosted on SHENOTO

بیایید بدافزار Akira را ببریم توی آزمایشگاه پادزهر و کدهای آن را باز کنیم. آکیرا یک باج‌افزار عادی نیست؛ این بدافزار به زبان C++ نوشته شده و به شدت روی سرعت انکریپت کردن تمرکز دارد. برای این کار از الگوریتم ترکیبی ChaCha20 و RSA استفاده می‌کند. اما هکرها می‌دانند که اگر همین‌طوری شروع به رمزگذاری کنند، ویندوز اجازه نمی‌دهد فایل‌های بازِ دیتابیس رمز شوند و ادمین هم می‌تواند از طریق بخش Shadow Copies ویندوز، همه‌چیز را به چند ساعت قبل برگرداند.

پس آکیرا چه می‌کند؟ اینجاست که تکنیک‌های مایتر اتک (MITRE ATT&CK) خودش را نشان می‌دهد. بدافزار ابتدا پروسس‌های دیتابیسی بزرگ مثل sqlservr.exe را با دستورات سیستمی می‌کشد (Taskkill) تا قفل فایل‌ها باز شود. سپس برای اینکه راه فرار را کاملاً ببندد، تکنیک T1490 یعنی Inhibit System Recovery را اجرا می‌کند. هکر خط فرمان (CMD) را باز می‌کند و این دستور مخوف را می‌زند: vssadmin delete shadows /all /quiet. در یک چشم به هم زدن، تمام بکاپ‌های لحظه‌ای ویندوز نابود می‌شوند. بعد از آن، آکیرا به سراغ آنتی‌ویروس می‌رود. اگر قابلیت Tamper Protection فعال نباشد، سرویس ویندوز دیفندر را با دستور net stop WinDefend متوقف می‌کند. حالا زمین بازی کاملاً خالی است و شروع به رمزگذاری می‌کند.

تکمیلی :

گیت هاب : کدهای مربوط به sysmon و Wazuh برای شناسایی Akira

تلگرام : اول از همه ، هرچیزی از قسمت های پادکست اینجا منتشر میشود

روزنامه لینکدین : مباحث فنی و تخصصی هر اپ

Hosted on SHENOTO

درباره APT با نام Ajax Security Team :

این گروه در ابتدا تمرکز خود را بر روی Defacement (دیسفیس و تغییر ظاهر وب‌سایت‌ها) گذاشته بود و اعضای آن در فروم‌های هکری مشهور آن زمان (مانند آشیانه و شبگرد) فعالیت داشتند. اما از اواخر سال ۲۰۱۳ و اوایل ۲۰۱۴، با یک چرخش استراتژیک، به سمت جاسوسی سایبری (Cyber Espionage)، حملات هدفمند مالوربیس و جمع‌آوری اطلاعات حرکت کردند. اهداف اصلی آن‌ها صنایع دفاعی ایالات متحده (DIB) و کاربران داخلی استفاده‌کننده از ابزارهای دور زدن فیلترینگ بوده‌اند.

داستان کشف Ajax Security Team :

کشف بزرگ این گروه در مارس ۲۰۱۴ توسط شرکت امنیتی معروف FireEye (که اکنون بخشی از شرکت Mandiant/Google Cloud است) تحت عنوان گزارش مشهور "Operation Saffron Rose" (عملیات رز زعفرانی) رسماً به جهان اعلام شد.

در این فصل به بررسی تمام حملات سازمان یافته جهان خواهیم پرداخت ، لیست حملات بر اساس لیست وبسایت MITRE ATT&CK میباشد.

تلگرام و روزنامه در لینکدین

Hosted on SHENOTO

حمله سازمان یافته با نام Agrius :

دنیای امنیت سایبری در می ۲۰۲۱ با گزارش جامع تیم تحقیقاتی *SentinelLabs (بخش تحقیقاتی شرکت SentinelOne) با بازیگر جدیدی به نام Agrius آشنا شد. این گروه که فعالیت‌های آن به ایران نسبت داده می‌شود، از نظر فنی و استراتژیک ویژگی‌های منحصربه‌فردی دارد که بررسی آن برای علاقه‌مندان به تحلیل بدافزار و امنیت دفاعی بسیار آموزنده است.در ادامه، جزئیات فنی و داستان کشف این گروه را با هم مرور می‌کنیم :

جرقه اول: کشف بدافزار Apostle

همه چیز از شناسایی مجموعه‌ای از حملات مخرب در فلسطین اشغالی (اسرائیل) و امارات متحده عربی شروع شد. محققان متوجه شدند که مهاجمان از یک وایپر (Wiper) جدید به نام Apostle استفاده می‌کنند. هدف اولیه این بدافزار، پاک کردن کامل داده‌ها و تخریب سیستم بود.

در این فصل به بررسی تمام حملات سازمان یافته جهان خواهیم پرداخت ، لیست حملات بر اساس لیست وبسایت MITRE ATT&CK میباشد.

تلگرام : https://t.me/PodFanAlborz و روزنامه در لینکدین

Hosted on SHENOTO

حمله سازمان یافته admin@338 :

1. نام APT: این گروه با نام admin@338 شناخته می‌شود.
2. کشور یا سازمان حامی: این یک گروه تهدید سایبری مستقر در چین است.
3. میزان موفقیت: این گروه در هدف قرار دادن سازمان‌های دخیل در سیاست‌های مالی، اقتصادی و تجاری بسیار موثر عمل کرده است. یکی از عملیات‌های برجسته آن‌ها هدف قرار دادن رسانه‌های هنگ‌کنگی با استفاده از زیرساخت‌های ابری عمومی (مانند Dropbox) بوده است.
4. وضعیت فعالیت: بر اساس آخرین به‌روزرسانی‌ها (آوریل ۲۰۲۵)، این گروه همچنان در لیست گروه‌های تحت نظر قرار دارد و تاریخچه فعالیت‌های آن نشان‌دهنده استمرار در حملات است.

زنجیره حمله (Attack Chain):

• دسترسی اولیه: استفاده از ایمیل‌های فیشینگ (Spearphishing) با پیوست‌های مخرب.
• اجرا: فریب کاربر برای باز کردن فایل‌های Word آلوده که از آسیب‌پذیری‌هایی نظیر CVE-2012-0158 بهره‌برداری می‌کنند.
•  تثبیت حضور: نصب درپشتی‌هایی (Backdoors) مانند LOWBALL.
• فرماندهی و کنترل (C2): استفاده از سرویس‌های قانونی مانند Dropbox برای ارتباط با سرور مهاجم جهت دور زدن سیستم‌های امنیتی.

آغاز فصل دوم :

در این فصل به بررسی تمام حملات سازمان یافته جهان خواهیم پرداخت ، لیست حملات بر اساس لیست وبسایت MITRE ATT&CK میباشد.

تلگرام : https://t.me/PodFanAlborz و روزنامه در لینکدین

Hosted on SHENOTO