🔵 عنوان مقاله
OID-See: Giving Your OAuth Apps the Side-Eye (26 minute read)
🟢 خلاصه مقاله:
استفاده از OAuth در سرویس Microsoft Entra، ساختارهای پیچیده‌ای از برنامه‌ها، مجوزها و هویت‌ها ایجاد می‌کند که تحلیل آنها تنها با جداول ممکن نیست و معمولاً درک آنها دشوار است. در چنین محیطی، مدل‌سازی همه این عناصر به عنوان یک گراف، امکان شناسایی مسیرهای سوء‌استفاده مانند جعل هویت و دسترسی‌های بلندمدت را فراهم می‌کند که در غیر این صورت ممکن است پنهان بمانند. ابزار OID-See با استفاده از Microsoft Graph، عناصر مختلف مانند سرویس پرینسیپل‌ها، مجوزهای delegating، نقش‌های برنامه، مالکیت‌ها، انتساب‌ها و لینک‌های پاسخ را به صورت یک نمودار ساخته و تحلیل می‌کند، که این امر فرآیند شناسایی نقاط ضعف را تسهیل می‌نماید. سپس، این ابزار با افزودن امتیازدهی و غنی‌سازی داده‌ها، خطرناک بودن برنامه‌ها و اطلاعات نادرست مربوط به هویت‌ها را مشخص می‌کند و به مدیران و تیم امنیت کمک می‌کند تا سریع‌تر و دقیق‌تر ریسک‌های احتمالی را شناسایی کنند و اقدامات لازم را انجام دهند.
در نتیجه، استفاده از این فناوری نوین در مدیریت هویت و دسترسی، سطح امنیت سازمان‌ها را افزایش می‌دهد و امکان نظارت و کنترل دقیق‌تر روی برنامه‌های متصل به سیستم‌های حساس را فراهم می‌آورد. به این ترتیب، خلاءهایی که ممکن است بهره‌برداری‌های مخرب در آنها صورت گیرد، بسیار کاهش پیدا می‌کند و امنیت در سطحی بالاتر حفظ می‌شود.
#امنیت_سایبری #مدیریت_هویت #MicrosoftGraph #نظارت_امنیتی
🟣لینک مقاله:
https://cirriustech.co.uk/blog/oidsee/?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
OID-See: Giving Your OAuth Apps the Side-Eye (26 minute read)
🟢 خلاصه مقاله:
استفاده از OAuth در سرویس Microsoft Entra، ساختارهای پیچیده‌ای از برنامه‌ها، مجوزها و هویت‌ها ایجاد می‌کند که تحلیل آنها تنها با جداول ممکن نیست و معمولاً درک آنها دشوار است. در چنین محیطی، مدل‌سازی همه این عناصر به عنوان یک گراف، امکان شناسایی مسیرهای سوء‌استفاده مانند جعل هویت و دسترسی‌های بلندمدت را فراهم می‌کند که در غیر این صورت ممکن است پنهان بمانند. ابزار OID-See با استفاده از Microsoft Graph، عناصر مختلف مانند سرویس پرینسیپل‌ها، مجوزهای delegating، نقش‌های برنامه، مالکیت‌ها، انتساب‌ها و لینک‌های پاسخ را به صورت یک نمودار ساخته و تحلیل می‌کند، که این امر فرآیند شناسایی نقاط ضعف را تسهیل می‌نماید. سپس، این ابزار با افزودن امتیازدهی و غنی‌سازی داده‌ها، خطرناک بودن برنامه‌ها و اطلاعات نادرست مربوط به هویت‌ها را مشخص می‌کند و به مدیران و تیم امنیت کمک می‌کند تا سریع‌تر و دقیق‌تر ریسک‌های احتمالی را شناسایی کنند و اقدامات لازم را انجام دهند.
در نتیجه، استفاده از این فناوری نوین در مدیریت هویت و دسترسی، سطح امنیت سازمان‌ها را افزایش می‌دهد و امکان نظارت و کنترل دقیق‌تر روی برنامه‌های متصل به سیستم‌های حساس را فراهم می‌آورد. به این ترتیب، خلاءهایی که ممکن است بهره‌برداری‌های مخرب در آنها صورت گیرد، بسیار کاهش پیدا می‌کند و امنیت در سطحی بالاتر حفظ می‌شود.
#امنیت_سایبری #مدیریت_هویت #MicrosoftGraph #نظارت_امنیتی
🟣لینک مقاله:
https://cirriustech.co.uk/blog/oidsee/?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
CirriusTech | Serious About Tech
OID-See: Giving Your OAuth Apps the Side-Eye
OID-See or BloodHound for OAuth in Entra: mapping consent, scopes, assignments, and trust signals into a graph so you can spot impersonation risk and OAuth sprawl.
🔵 عنوان مقاله
Revoking the token didn't kill the backdoor (6 minute read)
🟢 خلاصه مقاله:
در این مقاله، به بررسی یک آسیب‌پذیری و حمله‌ی مخرب که هنوز پس از لغو توکن فعالیت می‌کند، پرداخته شده است. اولین نکته‌ای که باید بدانیم، این است که حذف توکن به تنهایی نمی‌تواند این درب پشتی (backdoor) را از بین ببرد.
در بخش نخست، نحوه کار این حمله توضیح داده می‌شود. گروه چینی Webworm، که به عنوان منبع اصلی این حمله شناخته می‌شود، از یک ابزار مخرب به نام GraphWorm استفاده می‌کند. این ابزار به یک حساب کاربری واقعی در سرویس OneDrive متصل است و از طریق Microsoft Graph به عنوان یک محل مخفی برای انتقال داده‌ها بهره می‌برد. مهم‌ترین ویژگی این حمله، فرآیند "ارتقاء" است که با یک فرمان ساده، تمامی پنج مجوز OAuth سخت‌کد شده را جایگزین حساب جایگزین می‌کند، به نوعی که تنها با یک درخواست ساده، مجوزها آپدیت می‌شوند و هشدارهای معمول در مورد توکن منقضی شده بی‌اثر می‌شوند. بنابراین، فقط لغو توکن، این آسیب‌پذیری را برطرف نمی‌کند و فعالیت مخرب همچنان ادامه می‌یابد.
در ادامه، این مهاجمین با شناسایی قربانیان، اطلاعات سیستم مانند MAC، سریال هارد، و پردازنده را هَش (hash) می‌کنند تا تشخیص آنها سخت‌تر شود. این روش به آنها اجازه می‌دهد بدون توجه به تغییر نام یا جابجایی سیستم، هویت دستگاه را پیگیری کنند. از این رو، تنها راه مقابله، مستقیماً جداسازی یا بلوک کردن شناسه برنامه (App ID) در حساب کاربری خودتان است، دقیقا در همان لحظه که قصد لغو دسترسی‌ها دارید. سپس باید کوشش کنید که وارد سامانه نشوید و فعالیت‌های مربوط به ورود را تحت نظر بگیرید، چرا که مهاجمین می‌کوشند با استفاده از این روش‌ها فعالیت‌های خود را بی‌صدای ادامه دهند.
در مجموع، این مقاله نشان می‌دهد که مدیریت مجوزها و توکن‌ها تنها بخشی از راهکارها است و باید استراتژی‌های جامع‌تری برای جلوگیری از دسترسی‌های مخرب در نظر گرفته شود. خاموش کردن یا لغو توکن، کافی نیست؛ بلکه باید اقدامات جامع و چند مرحله‌ای انجام داد تا دارایی‌های دیجیتالمان را در مقابل این نوع حملات محافظت کنیم.
#امنیت_اطلاعات #حملات_سایبری #پیشگیری_امنیتی #MicrosoftGraph
🟣لینک مقاله:
https://www.csoonline.com/article/4223975/revoking-the-token-didnt-kill-the-backdoor.html?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Revoking the token didn't kill the backdoor (6 minute read)
🟢 خلاصه مقاله:
در این مقاله، به بررسی یک آسیب‌پذیری و حمله‌ی مخرب که هنوز پس از لغو توکن فعالیت می‌کند، پرداخته شده است. اولین نکته‌ای که باید بدانیم، این است که حذف توکن به تنهایی نمی‌تواند این درب پشتی (backdoor) را از بین ببرد.
در بخش نخست، نحوه کار این حمله توضیح داده می‌شود. گروه چینی Webworm، که به عنوان منبع اصلی این حمله شناخته می‌شود، از یک ابزار مخرب به نام GraphWorm استفاده می‌کند. این ابزار به یک حساب کاربری واقعی در سرویس OneDrive متصل است و از طریق Microsoft Graph به عنوان یک محل مخفی برای انتقال داده‌ها بهره می‌برد. مهم‌ترین ویژگی این حمله، فرآیند "ارتقاء" است که با یک فرمان ساده، تمامی پنج مجوز OAuth سخت‌کد شده را جایگزین حساب جایگزین می‌کند، به نوعی که تنها با یک درخواست ساده، مجوزها آپدیت می‌شوند و هشدارهای معمول در مورد توکن منقضی شده بی‌اثر می‌شوند. بنابراین، فقط لغو توکن، این آسیب‌پذیری را برطرف نمی‌کند و فعالیت مخرب همچنان ادامه می‌یابد.
در ادامه، این مهاجمین با شناسایی قربانیان، اطلاعات سیستم مانند MAC، سریال هارد، و پردازنده را هَش (hash) می‌کنند تا تشخیص آنها سخت‌تر شود. این روش به آنها اجازه می‌دهد بدون توجه به تغییر نام یا جابجایی سیستم، هویت دستگاه را پیگیری کنند. از این رو، تنها راه مقابله، مستقیماً جداسازی یا بلوک کردن شناسه برنامه (App ID) در حساب کاربری خودتان است، دقیقا در همان لحظه که قصد لغو دسترسی‌ها دارید. سپس باید کوشش کنید که وارد سامانه نشوید و فعالیت‌های مربوط به ورود را تحت نظر بگیرید، چرا که مهاجمین می‌کوشند با استفاده از این روش‌ها فعالیت‌های خود را بی‌صدای ادامه دهند.
در مجموع، این مقاله نشان می‌دهد که مدیریت مجوزها و توکن‌ها تنها بخشی از راهکارها است و باید استراتژی‌های جامع‌تری برای جلوگیری از دسترسی‌های مخرب در نظر گرفته شود. خاموش کردن یا لغو توکن، کافی نیست؛ بلکه باید اقدامات جامع و چند مرحله‌ای انجام داد تا دارایی‌های دیجیتالمان را در مقابل این نوع حملات محافظت کنیم.
#امنیت_اطلاعات #حملات_سایبری #پیشگیری_امنیتی #MicrosoftGraph
🟣لینک مقاله:
https://www.csoonline.com/article/4223975/revoking-the-token-didnt-kill-the-backdoor.html?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
CSO Online
Revoking the token didn't kill the backdoor
I reverse-engineered an implant that runs C2 via a real OneDrive account and can remotely replace every stolen credential. Revocation isn't containment.