😈WogRAT Malware Exploits aNotepad (Windows, Linux)
/ بدافزار WogRAT از یک Notepad (ویندوز، لینوکس) سوء استفاده می کند

این مقاله در مورد بدافزاری به نام WogRAT است. روش های توزیع WogRAT و نحوه آلوده کردن سیستم های ویندوز و لینوکس را مورد بحث قرار می دهد. این بدافزار خود را به عنوان برنامه های کاربردی قانونی پنهان می کند. پس از دانلود، WogRAT اطلاعات را از سیستم آلوده جمع آوری کرده و به سرور فرمان و کنترل (C&C) ارسال می کند. سپس سرور C&C می تواند دستورات را به سیستم آلوده ارسال کند.

🔗 https://asec.ahnlab.com/en/62446/

#windows #linux #malware
تیم سورین

🔎Malware Analysis + Docuemtn_Analysis_+ Threat_Hunting_Malware_Bundle

#malware
تیم سورین

🇺🇸Windows Malware in C# — Using Github as C2:

🔻https://itnext.io/windows-malware-in-c-using-github-as-c2-7ae95dfe37bd

#windows #malware
تیم سورین

⭐️ Malware Analysis and Incident Response Tools and Tricks

⭐️ https://ashemery.github.io/malware-tools/

#malware #IR
تیم سورین

🎖Top 10 Standard IOC and TTPs for SOC

Here is standard top ten common Indicators of Compromise (IOCs) and Tactics, Techniques, and Procedures (TTPs) that SOC analysts often encounter over the period.

✅A: Indicators of Compromise (IOCs):

1.#Malicious IP Addresses: IP addresses associated with known command and control (C2) servers or malicious activities.
2. #Malware Hashes: Hashes of malicious files used in attacks, such as viruses or Trojans.
3. #Domain Names: Suspicious or typo-squatting domains used for phishing or C2 communication.
4. #URLs: Links to malicious websites or payloads, often delivered through phishing emails.
5. #Email Addresses: Addresses used in phishing campaigns or to receive stolen data.
6. #File Paths: Unusual or suspicious file paths on systems or servers.
7. #Registry Keys: Unauthorized or malicious registry keys that may indicate compromise.
8. #User-Agent Strings: Uncommon or malicious user-agent strings in HTTP requests.
9. #YARA Signatures: Custom rules used to detect specific patterns or characteristics in files.
10. #Behavioral Anomalies: Unusual behavior, like excessive data exfiltration or unusual system activities.

✅B: Tactics, Techniques, and Procedures (TTPs):

1. #Phishing: Attackers use deceptive emails to trick users into revealing sensitive information or executing malicious code.
2. #Malware Delivery: Sending malicious files via email attachments, compromised websites, or other means.
3. #Command and Control (C2): Communication between malware and attacker-controlled servers for remote control and data exfiltration.
4. #Credential Theft: Techniques like keylogging or credential dumping to steal login credentials.
5. #Lateral Movement: Moving laterally within a network to explore and compromise other systems.
6. #Privilege Escalation: Gaining higher-level access to systems by exploiting vulnerabilities or misconfigurations.
7. #Data Exfiltration: Stealing sensitive data and sending it to the attacker-controlled infrastructure.
8. #Denial of Service (DoS): Overwhelming a system or network to disrupt availability.
9. #Ransomware: Encrypting data and demanding a ransom for decryption.
10. #Fileless Attacks: Exploiting legitimate system tools and processes to carry out attacks without leaving traces on disk.

These IOCs and TTPs are just a starting point, as the threat landscape is constantly evolving.

Effective SOC analysts should continuously update their knowledge and adapt their detection strategies to new attack techniques by keeping themselves up to date with Applicable threats based on the type of industry.

#TTP #IOC
تیم سورین

🕵🏻‍♂️PeStudio
Malware analysis tool which investigages the resources of EXE files.
یک ابزار قدرتمند برای تجزیه و تحلیل استاتیک فایل های اجرایی، به ویژه برای تجزیه و تحلیل بدافزار است.

💎https://www.winitor.com/download2

#analyzer #malware #tools
تیم سورین

📢 «Malware Traffic Analysis»☠️


این سایت یک منبع عالی برای به اشتراک‌گذاری فایل‌های کپچر (pcap) و نمونه‌های بدافزار است. اگر به تحلیل ترافیک شبکه علاقه‌مند هستید، این سایت می‌تونه خیلی بهتون کمک کنه.
💡 ویژگی‌های کلیدی:
اشتراک‌گذاری فایل‌های pcap: دسترسی به انواع فایل‌های پکت کپچر برای تحلیل ترافیک شبکه.
نمونه‌های بدافزار: دانلود و بررسی نمونه‌های مختلف بدافزار برای تحقیقات و آموزش.
تمرینات تحلیل ترافیک: تمرینات آموزشی برای تحلیل فایل‌های pcap و بهبود مهارت‌های شما در این زمینه.

📅 آرشیو پست‌ها:
این سایت دارای آرشیو کاملی از پست‌ها از سال ۲۰۱۳ تا ۲۰۲۴ است که می‌تونید به راحتی به اون‌ها دسترسی پیدا کنید.

🧑‍💻https://www.malware-traffic-analysis.net/

#Malware_analysis
تیم سورین

☠️ metamorphic and polymorphic malware

بدافزار Metamorphic و polymorphic دو شکل پیشرفته از نرم‌افزارهای مخرب را نشان می‌دهند که به طور مداوم برای فرار از شناسایی توسط اقدامات امنیتی سنتی تکامل می‌یابند. درک مکانیسم ها، تفاوت ها و استراتژی های پیشگیری برای متخصصان و سازمان های امنیت سایبری بسیار مهم است.

🎩 [لینکدین سورین ]

تیم سورین

😈 بررسی یک وب سایت برای فیشینگ/بدافزار

🔵https://www.virustotal.com/gui/home/url
🔵https://analyze.intezer.com/scan?tab=url
🔵https://opentip.kaspersky.com/?tab=web
🔵https://vms.drweb.com/online
🔵https://sitecheck.sucuri.net
🔵https://phishtank.org
🔵https://scanner.pcrisk.com
🔵https://www.filescan.io
🔵https://urlquery.net
🔵https://app.any.run
🔵https://scanurl.net
🔵https://urlscan.io
🔵https://phish.ly

تیم سورین
#info #Malware

😈Reverse Engineer's Toolkit


مجموعه‌ای از ابزارهایی که ممکن است برای شما جالب باشند، اگر به مهندسی معکوس و/یا تحلیل بدافزار در سیستم‌های x86 و x64 ویندوز علاقه‌مند هستید.


➡️https://github.com/mentebinaria/retoolkit

#Reverse #Malware
تیم سورین

🧩 تحلیل فنی: سوءاستفاده مهاجمان از ConnectWise برای ساخت بدافزارهای امضاشده

در ماه‌های اخیر (از مارس ۲۰۲۵)، افزایش چشمگیری در نمونه‌های آلوده و اپلیکیشن‌های جعلی مشاهده شده که با نمونه‌های امضاشده‌ی معتبر از نرم‌افزار ConnectWise ساخته شده‌اند.

🔹 ابزار ConnectWise چیست؟

نرم افزار ConnectWise یک پلتفرم مدیریت و پشتیبانی از راه دور (Remote Monitoring & Management - RMM) است که معمولاً توسط تیم‌های IT و شرکت‌های MSP برای مدیریت سیستم‌ها، مانیتورینگ شبکه، پشتیبانی کاربران، و انجام عملیات از راه دور استفاده می‌شود.

این نرم‌افزار به سرورها و کلاینت‌های سازمانی دسترسی سطح بالا دارد و می‌تواند اسکریپت اجرا کند، فایل منتقل کند، و سرویس‌ها را کنترل کند — یعنی دقیقاً همان سطح دسترسی‌ای که یک مهاجم هم در پی آن است.

به همین دلیل، اگر مهاجمان بتوانند از نسخه‌ی معتبر یا امضاشده‌ی ConnectWise سوءاستفاده کنند، می‌توانند از آن به‌عنوان ابزاری قانونی برای اجرای بدافزار و کنترل سیستم‌ها بهره ببرند.

گزارش جدید شرکت G DATA نشان می‌دهد که مهاجمان سایبری با بهره‌گیری از ضعف در فرآیند امضای دیجیتال، موفق شده‌اند از ConnectWise به عنوان "builder" برای تولید بدافزارهای امضاشده و قابل اعتماد استفاده کنند.
به بیان ساده‌تر: امضای معتبر، باعث می‌شود سیستم‌های امنیتی و کاربران به فایل مخرب اعتماد کنند — در حالی که در واقعیت، فایل یک بدافزار است.

🔍 نکات مهم گزارش:

خطای اصلی در فرآیند code-signing و مدیریت گواهی‌ها است.

مهاجمان با استفاده از نسخه‌های معتبر ConnectWise، بدافزارهایی تولید می‌کنند که امضا و اعتبار قانونی دارند.

بسیاری از محصولات امنیتی در شناسایی این نوع تهدیدها دچار چالش می‌شوند.

راهکار پیشنهادی: بررسی دقیق رفتار اجرایی به‌جای اعتماد مطلق به امضا و گواهی‌ها.

📎 منبع:
G DATA Software Blog – ConnectWise Abuse

#ThreatIntel #ConnectWise #Malware #CodeSigning #BlueTeam

تیم سورین