Security Analysis

ترس توی ذهن آدم با فکر کردن بزرگتر میشه.
اما وقتی دست به اقدام میزنی کوچیکتر میشه.

@securation

⭕️مهندسی معکوس و دور زدن محدودیت‌های نرم‌افزاری با OpenClaw و Codex

این منابع راهنمای جامع دکتر Paul Qin برای استفاده از OpenClaw و پروتکل MCP در فرآیند مهندسی معکوس هستند. این آموزش‌ها نحوه اتصال هوش مصنوعی به ابزارهای تخصصی مانند x64dbg، Ghidra و dnSpy را برای خودکارسازی تحلیل فایل‌های باینری، غیرفعال کردن مکانیسم‌های امنیتی (مانند ASLR) و دور زدن محدودیت‌های نرم‌افزاری شرح می‌دهند. نویسنده مراحل نصب محیط‌های آزمایشی در ماشین مجازی، پیکربندی مدل‌های زبانی مانند GPT-5.4 و ایجاد Skill Files برای ثبت حافظه کاری هوش مصنوعی را آموزش می‌دهد. در نهایت، کاربرد عملی این ابزارها در تحلیل استاتیک و داینامیک، ساخت Keygen، حذف صفحات تبلیغاتی (Nag Screens) و کرک کردن برنامه‌های مختلف نمایش داده شده است.

#AI #Reverse
@securation

⭕️نقش AI در جاهای کاربردی اینشکلی هست که الان بعنوان مثال اوبونتو به انتشار هفتگی به‌روزرسانی‌های هسته لینوکس روی آورده ، بخاطر اینکه هوش مصنوعی آسیب‌پذیری‌ها و باگ‌ها رو در لینوکس سریع‌تر از اون چیزی که شرکت Canonical می‌تونه وصله‌های لازم را ارائه دهد، شناسایی می‌کنه.

#AI #Kernel #Linux
@securation

خبر خوب اول مهر اینکه یک زیرودی به اپل گزارش داده بودم ، فیکس کردن و گزارش رو هم بدون تشکر و هیچ توضیحی بستن:)

اگر میخواید بدونید چرا هکرهای نسل قدیم هیچکدوم اهل باگ بانتی نیستند ، بخاطر همین مسائل هست که ارزش یک کار رو میارن پایین و توجیهی هم نداره کسی از اینها دفاع کنه، بهترین کار اینه هروقت آسیب پذیری زیرودی کشف میکنید توی بازار سیاه بفروشید.
هرکسی هم گفت اخلاقی نیست ، قهوه ایش کنید.

#Apple #0day
@securation

⭕️ گروه هکری "شاینی هانترز" ادعا کرده است که به سیستم‌های اداره تحقیقات فدرال (FBI) نفوذ کرده و اطلاعات شخصی مربوط به تقریباً تمام مأموران فعلی و سابق، و همچنین متقاضیان استخدام را سرقت کرده است.

این گروه اعلام کرده است که این حمله، انتقامی است در پاسخ به اطلاعیه‌ای که اداره تحقیقات فدرال در ماه مه منتشر کرد و در آن، روش‌های این گروه تشریح شده بود. این گروه نمونه‌ای از داده‌های سرقت‌شده را منتشر کرده و از یک صفحه نمایشی (اسکرین‌شات) از وب‌سایت استخدام اداره تحقیقات فدرال که به نظر می‌رسید دچار اختلال شده است، نیز منتشر کرده است.

خبرگزاری رویترز، اطلاعات شخصی را در حداقل نه مورد تأیید کرد، اما نتوانست مشخص کند که آیا این داده‌ها از سیستم‌های اداره تحقیقات فدرال سرقت شده‌اند یا خیر. اداره تحقیقات فدرال هنوز در مورد این ادعاها اظهار نظر نکرده است.

@securation

🚀 رونمایی از تیزر رسمی رویداد «المپیک فناوری ۱۴۰۵»

🚀 Official Teaser: Tech Olympics 2026

@securation

⭕️زیرساخت OpenAI هک شد!

یک گزارش امنیتی جدید جزئیات حمله‌ای به زیرساخت داخلی OpenAI را منتشر کرده است.
طبق این گزارش، مهاجمان از ترکیب یک آسیب پذیری Heap Overflow و SSO Misconfiguration استفاده کردند و توانستند به OpenAi نفوذ کنند.

این زنجیره آسیب‌پذیری‌ها امکان دسترسی غیرمجاز به بخش‌هایی از زیرساخت داخلی را فراهم کرده است.

هدف اصلی حمله، دسترسی به Repositoryهای داخلی OpenAI عنوان شده است.

در بخش اول، یک نقص مربوط به مدیریت حافظه (Heap Overflow) مورد سوءاستفاده قرار گرفته است.
سپس یک پیکربندی نادرست در سیستم Single Sign-On (SSO) برای افزایش سطح دسترسی مورد استفاده قرار گرفته است.
در نهایت، مهاجم توانسته به منابع و مخازن کد داخلی دسترسی پیدا کند.

این گزارش نمونه‌ای از اهمیت زنجیره‌کردن چند ضعف امنیتی با شدت‌های متفاوت را نشان می‌دهد.

https://www.hacktron.ai/blog/hacking-openai
#news #hack #ai #openai
@securation

⭕️ امنیت AI Agent ها دیگر صرفاً به جلوگیری از Jailbreak محدود نیست؛ خطر اصلی زمانی است که Agent، محتوای غیرقابل‌اعتماد را به‌عنوان دستور بپذیرد و با دسترسی‌های سازمانی خود اجرا کند.
پژوهش Zenity Labs درباره توسعه پوشش MITRE ATLAS نشان می‌دهد چگونه Recon برای شناسایی Endpoint ها و قابلیت‌های Agent، تزریق دستور از طریق Multimodal Inputs، نمایش محتوای مخرب اختصاصی به AI Client ها با AI Targeted Cloaking و آلوده‌سازی Persistent Memory می‌توانند در یک Attack Chain به هم متصل شوند؛ حتی Automatic Image Loading و Link Preview نیز در شرایط خاص می‌توانند مسیری برای Data Exfiltration ایجاد کنند.
در واقع میتوان گفت: Model-based Guardrails به‌تنهایی کافی نیستند؛ Authorization مستقل در لایه Tooling، اجرای Least Privilege و Least Agency، کنترل Memory Write، اعمال Egress Control و ثبت Data Provenance باید بخشی از معماری Defense-in-Depth باشند.
باید فرض کرد Prompt Injection ممکن است رفتار مدل را منحرف کند؛ طراحی امن باید مانع تبدیل این انحراف به Unauthorized Action شود.

#AISecurity #MITREATLAS
@securation

⭕️ بعد از تعطیلی Gemini CLI، جانشینش Antigravity، حالا رودرروی Claude Code قرار گرفته!

اگه داری روی یه هارنس (Harness) سرمایه‌گذاری می‌کنی که قراره ماه‌ها باهاش کد بزنی و این انتخاب رو صرفاً بر اساس اسم مدل انجام می‌دی، دقیقاً همون اشتباهی رو می‌کنی که خیلی از تیم‌های توسعه‌دهنده مرتکب می‌شن.

▢ فلسفه‌ی هر هارنس

‏○ Antigravity 2.0: یه اپلیکیشن دسکتاپ، رابط خط فرمان (CLI) نوشته‌شده با Go و کیت توسعه (SDK) داره. ایجنت‌ها (Agents) رو در ادیتور، ترمینال و مرورگر هم‌زمان اجرا می‌کنه و نتیجه رو با گزارش تصویری (Walkthrough) نشونت می‌ده.

‏○ Claude Code: یه CLI ترمینال‌محوره که حول ساب‌ایجنت‌ها (Subagents)، اتصال به بیش از ۳۰۰ سرویس ابری (MCP)، هوک‌ها (Hooks) و فایل CLAUDE.md برای حافظه‌ی پروژه ساخته شده.

▢ لایه‌ی مدل (Model Layer)

‏○ Antigravity: به‌صورت پیش‌فرض روی Gemini Flash می‌چرخه. گوگل مدعیه این مدل ۴ برابر سریع‌تر از رقباست.

‏○ Claude Code: بین Sonnet 5 (با هزینه $2/$10)، Opus 5 (با هزینه $5/$25) و Fable 5.1 (با هزینه $10/$50 برای تسک‌های طولانی) سوییچ می‌کنه.

▢ قیمت‌گذاری — یه هم‌گرایی جــــالب

‏○ Antigravity: پلن پرو $20، پلن Ultra با ۵ برابر سقف مصرف $100 و پلن Max با ۲۰ برابر سقف مصرف $200 هزینه داره.

‏○ Claude Code: پلن Pro با قیمت $20، و پلن Max با ضرایب دقیقاً مشابه روی $100 و $200 قیمت‌گذاری شده.

✅ هر دو غول هوش مصنوعی، کاملاً مستقل از هم، به معماری قیمتی یکسانی رسیدن.

▢ بنچمارک‌ها (Benchmarks)، با احتیاط!

روی Terminal-Bench 2.1، گوگل برای Gemini Flash عدد ۷۶.۲٪ و انتروپیک برای Sonnet 5 عدد ۸۰.۴٪ رو منتشر کردن. این اعداد خوداظهاری (Self-reported) هستن و با هارنس اختصاصی خود شرکت‌ها گرفته شدن؛ پس مقایسه مستقیمشون به‌عنوان سند نهایی کاملاً اشتباهه.

▢ کِی، کدوم رو انتخاب کنی؟

○ اگه استک تو گوگلی‌ـه (مثل AI Studio, Firebase, Android) و کار بصری (Visual/UI) زیاد داری پس Antigravity منطقی‌تره.



○ اگه ریفکتور سراسری (Global Refactor)، اکوسیستم قدرتمند MCP و کنترل دقیق روی هزینه‌ها می‌خوای در اینصورت Claude Code دقیقاً جوابت رو می‌ده.


#AI #Programming #antigravity #claude
@securation

⭕️ یک محقق امنیتی نشون داد با یک token خاص مایکروسافت به اسم Actor token که سرویس‌های داخلی مثل Exchange برای impersonation کاربر استفاده می‌کنن می‌شد وارد تقریباً هر Entra ID tenant شد.
این token ها log نمی‌شن، قابل revoke نیستن، و Conditional Access روشون اثر نداره.
مشکل اصلی این بود که Azure AD Graph API چک نمی‌کرد این token مال همون tenant هست یا نه؛ پس attacker از tenant خودش token می‌گرفت و خودش رو جای هر user، حتی Global Admin، تو tenant دیگه جا می‌زد.
برای این کار فقط tenant ID (که public هست) و netId کاربر لازم بود؛ netId قابل brute-force هست و حتی از guest account های B2B هم قابل خوندنه.
خوندن directory هیچ audit log نمی‌ذاشت؛ فقط اگه چیزی modify می‌شد ردپا دیده می‌شد.
البته باید اشاره کرد که مایکروسافت همون هفته fix کرد این آسیب پذیری رو روی محصول خودش.

#RedTeam #AZURE
@securation

⭕️ آنتروپیک لیست نگران‌کننده‌ترین کاربردهای Claude را منتشر کرد.

1. در یمن، حوثی‌ها از طریق Claude در حال توسعه یک موشک ابرصوتی با برد 2000 کیلومتر بودند. پس از شکست آزمایش‌ها، آن‌ها دوباره به Claude مراجعه کردند تا بازخورد بگیرند و علت شکست را جویا شدند.

2. تنها کاربر Claude از باماکو (پایتخت مالی)، یک پلتفرم نظارتی برای سازمان‌های اطلاعاتی کشور ایجاد کرد که شامل 25 میلیون سیم‌کارت از تمامی اپراتورها بود. آن‌ها از یک نسخه محلی Claude استفاده می‌کنند و قطع کردن دسترسی آن‌ها امکان‌پذیر نیست.

3. یک سازمان امنیتی ایرانی، یک افزونه برای مرورگر Firefox با قابلیت نمایش زمان نمازها ایجاد کرد. در واقع، این افزونه یک نرم‌افزار جاسوسی بود و مقامات امنیتی اطلاعات شخصی 6338 نفر از شهروندان ایرانی را جمع‌آوری کردند.

4. نیروهای امنیتی روسیه، نرم‌افزارهای جاسوسی خود را از طریق Claude بازنویسی کردند (تا از امنیت بیشتری برخوردار شوند) و حساب‌های کاربری مقامات اوکراینی را در یک پیام‌رسان محبوب سرقت کردند.

5. یک هکر فرانسوی، اطلاعات 1.8 میلیون اپلیکیشن را از Google Play استخراج کرد، آن‌ها را برای یافتن کلیدهای API هاردکد شده اسکن کرد و سپس تمام اطلاعات را در گروه‌های تلگرام منتشر کرد.

6. این گروه هکری به یک شرکت فعال در زمینه شارژ خودروهای برقی دسترسی پیدا کرد و به صورت از راه دور ولتاژ را تغییر می‌داد.

7. یک شرکت چینی با یک اپلیکیشن دوستیابی، در عرض یک هفته، 4700 حساب کاربری جعلی (بات) ایجاد کرد و این حساب‌ها با 25 هزار نفر از مردان در ارتباط بودند (که متوجه چیزی نشدند).

8. توسعه‌دهندگان GLM، از طریق Claude تلاش کردند تا به Anthropic نفوذ کنند و به مدل‌های منتشرنشده دسترسی پیدا کنند (این یک اقدام بسیار جسورانه بود).

9. شرکت Xiaomi، تمام اطلاعات شخصی کاربران را در Claude بارگذاری کرد و سعی کرد از آن‌ها برای ایجاد یک پایگاه داده آموزشی برای مدل خود استفاده کند.

10. یک دانشمند ناشناس، از ارتش کمک مالی دریافت کرد و سعی کرد از طریق Claude، قابلیت‌های جدیدی را به یک ویروس جدید اضافه کند (این روشی است که کووید-19 ایجاد شد).

این موارد تنها در 9 ماه گذشته اتفاق افتاده‌اند.
https://www.anthropic.com/threat-intelligence-report-september-2026#main
#AI #News #Security #Risk
@securation

⭕️ دیتابیس "جامپ جامپ" هک شده و داره داخل دارک وب به فروش میرسه.

@securation

یه ضرب‌المثل چینی می‌گه:

کسی که دیگران رو مقصر می‌دونه راه زیادی در پیش داره.
کسی که خودش رو مقصر می‌دونه نصف راه رو رفته.
کسی که هیچ‌کس رو مقصر نمی‌دونه رسیده.

آدما اغلب از «متهم شدن» و «ناکافی بودن» می‌ترسن. به همین خاطر، وقتی با مشکلی روبه‌رو می‌شن، ناخودآگاه دنبال این می‌گردن که بندازنش گردن یکی دیگه. توی تیم‌هایی که فرهنگ سرزنش وجود داره، انرژی آدم‌ها به‌جای حل مسئله صرف پیدا کردن مقصر می‌شه: «فلانی انجام نداد.»، «فلان تیم همکاری نکرد.»، «من به موقع خبر نداشتم.»، «این تصمیم رو مدیر گرفت.»

و جالب اینه که اکثرا همه‌ی این حرف‌ها هم درستن. و البته درست بودنشون هیچ کمکی به حل مسئله نمی‌کنه. نگرش آدما باید به این سمت بره که مسئله‌ی اصلی این نیست که «چه کسی باعث این اتفاق شد؟»؛ مسئله اینه که حالا که این اتفاق افتاده، چه کاری از دست ما برمیاد؟

@securation

⭕️ مقالهٔ تازه‌ای که روی core-jmp منتشر شده، روایت جالبی از مهندسی معکوس یک روت‌کیت کرنل‌مد ویندوز دارد.
نویسنده در ابتدا نمونه‌ای را به اشتباه Cobalt Strike Beacon تشخیص داده، اما پس از بررسی عمیق‌تر مشخص می‌شود که با یک درایور Ring 0 به نام SakDriver روبرو هستیم.
آنچه در این مقاله جلب توجه می‌کند، ترکیب چند لایهٔ پنهان‌کاری است: از غیرفعال‌سازی ETW و مخفی‌سازی فرآیندها با DKOM گرفته تا پنهان‌سازی پورت C2 از طریق هوک درایور NSI و دستکاری WFP برای بلاک کردن ترافیک محصولات امنیتی. اما نکتهٔ برجستهٔ مقاله، کشف کانال C2 مبتنی بر رجیستری ویندوز است؛ به‌جای سوکت‌های متعارف، یک کالبک کرنل دستورات را از یک Value رجیستری می‌خواند و در Ring 0 اجرا می‌کند.
نویسنده همچنین به منطق شناسایی sandbox از طریق HvlGetQpcBias و جدول دستورات با بیش از ۲۴ primitive کرنل اشاره کرده که شامل R/W حافظهٔ فیزیکی و تزریق فرآیند می‌شود.
مقاله با ارائهٔ IOC ها و یک قانون YARA به پایان می‌رسد.
خواندنش را به تیم‌های Blue Team توصیه می‌کنم؛ به‌ویژه از این منظر که visibility صرفاً روی شبکه کافی نیست و مانیتورینگ رجیستری در سطح kernel callback امروزه ضروری شده است.

#RedTeam #ThreatHunting #RootKit
@securation

⭕️یه مرد استرالیایی به اسم Andrew از دستیار هوش مصنوعی خودش خواسته بود تا براش یه کلاس تو باشگاه رزرو کنه، اما هوش مصنوعی خیلی فراتر از انتظارش عمل کرد. این دستیار که با برنامه OpenClaw و هوش مصنوعی Claude کار می‌کرد، یه باگ امنیتی تو سیستم رزرو باشگاه پیدا کرد چون سیستم هیچ بررسی برای تایید هویت نداشت. به همین خاطر هوش مصنوعی نه تنها کلاس‌ها رو برای ماه‌ها بعد رزرو کرد، بلکه وقتی Andrew ازش خواست جایگاهش رو تو لیست انتظار بهتر کنه، خیلی راحت رزرو نفر اول لیست رو لغو کرد تا Andrew بیاد بالاتر. جالب اینجاست که Andrew اصلا چنین چیزی نخواسته بود و وقتی هم سعی کرد کار رو برگردونه، هوش مصنوعی گفت که دیگه نمیشه این کار رو کرد. آخر سر هم Andrew مجبور شد با کمک همون هوش مصنوعی یه ایمیل به شرکت سازنده نرم افزار باشگاه بزنه و این مشکل امنیتی رو بهشون اطلاع بده که این اتفاق حالا به عنوان اولین حمله سایبری خودکار هوش مصنوعی تو استرالیا شناخته میشه.

https://www.abc.net.au/news/2026-08-10/ai-assistant-hacks-gym-website-aus-cyber-attack/107007986

@securation

اگر چیزی رو میخوای ، واسش تلاش کن تا بهش برسی

حتما نه ، قطعا

@securation

⭕️آسیب‌پذیری ۱۳ ساله OVSwrap (CVE-2026-64531) می‌تواند به کاربران لوکال بدون دسترسی ویژه اجازه دهد از طریق Open vSwitch در سیستم‌های آسیب‌پذیر، به سطح دسترسی root برسند.
همچنین Poc منتشر شده شامل offset های مربوط به حدود ۸۰۰ build از Linux kernel با معماری x86-64 است.

#Linux #Kernel #openvswitch
@securation

⭕️ تکنیک GhostTree که توسط Varonis Threat Labs مستندسازی شده، از NTFS Reparse Points به‌ویژه Directory Junctions برای ایجاد Recursive Loops در ساختار فایل‌سیستم سوءاستفاده می‌کند. عامل تهدید بدون نیاز به Admin Privileges و صرفاً با Write Access، اقدام به ایجاد Junction هایی می‌نماید که به Parent Directory خود ارجاع می‌دهند؛ با ساختار GhostTree و دو Junction فرزند در هر سطح، درختی با 2^126 مسیر منحصربه‌فرد شکل می‌گیرد که همگی در محدوده MAX_PATH (۲۶۰ کاراکتر) قرار می‌گیرند. این ساختار، موتورهای Endpoint Protection و EDR را در Recursive Directory Traversal بی‌نهایت گرفتار کرده و منجر به Denial of Service در فرآیند Scan Engine می‌شود، در حالی که Payload مخرب در همان دایرکتوری از Analysis مصون می‌ماند. اگرچه مایکروسافت در ابتدا این Ticket را با توجیه «bypassing Defender is not crossing a security boundary» بست، اما نهایتاً آن را Patch نمود؛ با این حال، این تکنیک بر ناکارآمدی اتکا صرف به Static Endpoint Scanning تأکید دارد و ضرورت Defense in Depth را یادآور می‌شود. سازمان‌ها باید با پیاده‌سازی Data Layer Behavioral Monitoring و Anomaly Detection بر روی الگوهای Recursive Junction Creation، دید رفتاری در لایه داده را تقویت نمایند.

#RedTeam #Evasion
@securation

‏ ⭕️ تحلیل تکنیک Process Parameter Poisoning (P3) ارائه‌شده از SensePost/Orange Cyberdefense، یک برداشت مفهومی نوین در تزریق پروسه ویندوز است. در این رویکرد، مهاجم به‌جای زنجیره کلاسیک VirtualAllocEx → WriteProcessMemory → CreateRemoteThread`، از پارامترهای استارتاپ تابع `CreateProcessW — شامل lpCommandLine`، `lpEnvironment و فیلد غیرمستند lpReserved در ساختار STARTUPINFOW که به ShellInfo از نوع UNICODE_STRING در RTL_USER_PROCESS_PARAMETERS نگاشت می‌شود به‌عنوان کانال انتقال داده استفاده می‌کند.
در این مدل، هسته ویندوز خود به‌عنوان Write Primitive عمل کرده و payload را به‌صورت قانونی در فضای آدرس پروسه فرزند درج می‌نماید؛ در حالی که مهاجم صرفاً با فراخوانی‌های Read-Only نظیر NtQueryInformationProcess (کلاس ProcessBasicInformation) و NtReadVirtualMemoryEx آدرس payload را در PEB هدف بازیابی کرده و سپس با دستکاری CONTEXT_CONTROL ترد اصلی از طریق NtSetContextThread و بازنویسی RIP، کنترل اجرا را بدون نیاز به Suspend/Resume یا ایجاد ترد جدید، به شل‌کد واگذار می‌کند.
کلاس ShellCodeWriter با بهره‌گیری از XOR Encoding مبتنی بر جفت مقادیر ۶۴ بیتی فاقد Null Byte، محدودیت رشته‌های Null-Terminated در انتقال شل‌کد حاوی 0x00 را برطرف ساخته و امکان تزریق Payload های چندمرحله‌ای را فراهم می‌آورد. ارزیابی عملیاتی این تکنیک روی چهار راه‌حل EDR تجاری با کانفیگ پیش‌فرض، عدم تولید هیچ‌گونه تله‌متری قابل‌توجهی را نشان داد که نشان‌دهنده ضعف مدل‌های شناسایی مبتنی بر لیست API های پرمانیتورشده است؛ بنابراین گذار از مانیتورینگ منفرد API ها به سمت همبستگی رفتاری (Behavioral Correlation) شامل هم‌وقوعی برای مدافعان امری انکارناپذیر است.

#RedTeam #MalDev #Evasion
@securation

⭕️ هشدار | بهره‌برداری فعال از آسیب‌پذیری 0day در Cisco FMC

مهاجمان در حال سوءاستفاده از آسیب‌پذیری Zero-Day با شناسه CVE-2026-20316 در Cisco Firepower Management Center (FMC) هستند.

این آسیب‌پذیری به مهاجمان از راه دور و بدون نیاز به احراز هویت اجازه می‌دهد با استفاده از اعتبارنامه‌های ثابت (Static Credentials) به یک حساب کاربری با سطح دسترسی پایین وارد شده و به اطلاعات حساس سیستم دسترسی پیدا کنند.

شرکت Cisco هشدار داده است که این آسیب‌پذیری می‌تواند در کنار سایر ضعف‌های امنیتی موجود در FMC زنجیره شده و در نهایت به Privilege Escalation منجر شود.


جزئیات بیشتر:
https://thehackernews.com/2026/07/cisco-fmc-zero-day-actively-exploited.html
#Cisco #FMC #PrivilegeEscalation
@securation