۱۷:۲۷
۱۷:۲۷
*معرفی کانال آگاهی رسانی آزمایشگاههای امنیت سایبری* تاریخ انتشار: 24 آبان 1404 هسته تخصصی آزمایشگاههای امنیت سایبری:در اردیبهشت ماه 1404، سند ستاد توسعه علوم و فناوری افتا (امنیت سایبری) در هیئت دولت جمهوری اسلامی ایران تصویب شد. پیرو این مصوبه، ستاد افتا ذیل معاونت علمی و اقتصاد دانشبنیان تشکیل شد. در سند ستاد افتا، با هدف پیشرفت کشور در موضوعات مرتبط با آزمایشگاههای امنیت سایبری*، بهویژه در حوزه ارزیابی امنیت و کیفیت محصولات نرمافزاری و سختافزاری، ایجاد یک هسته تخصصی آزمایشگاههای امنیت سایبری را ضروری میداند. در بسیاری از کشورها، آزمایشگاههایی تحت چارچوبهایی همچون *معیارهای مشترک (CC) و تحت عنوان آزمایشگاههایی که مجوز انجام آزمونها و ارزیابیها بر اساس استانداردهای معیارهای مشترک را دارند، به عنوان Common Criteria Testing Laboratories (CCTLs) یا در سطح بینالمللی Common Criteria Recognition Arrangement (CCRA) Certified Laboratories فعالیت میکنند و علاوه بر صدور گواهیهای امنیتی، نقش کلیدی در ساماندهی و توسعه اکوسیستم امنیت سایبری دارند. در ایران نیز آزمایشگاههای دارای مجوز افتا ایجاد شدهاند، اما نبود هماهنگی، کمبود استانداردهای بومی و فقدان راهبرد یکپارچه موجب شده است که کارآمدی و اثرگذاری آنها به سطح مطلوب نرسد. ایجاد این هسته تخصصی میتواند با تمرکز بر محورها و اقدامات زیر، به ارتقاء جایگاه ملی کشور در حوزه آزمایشگاههای امنیت سایبری منجر شود:1) انجام نیازسنجی جامع در حوزه آزمایشگاهها برای شناسایی شکافها و ظرفیتهای موجود؛2) بررسی، نظارت و آسیبشناسی جریانهای کاری آزمایشگاههای فعلی و ارائه راهکارهای بهبود؛3) شناسایی، پیشنهاد و طراحی فناوریهای نوین آزمایشگاهی برای ارائه به تولیدکنندگان و صنعت؛4) انجام مطالعات و پیشنهادات مرتبط با شکلگیری اقتصاد آزمایشگاهها و مدلهای کسبوکار پایدار؛5) طراحی و ارائه پیشنهادات ساماندهی آزمایشگاههای ملی مرجع و معتمد در کشور؛6) طراحی و پیشنهاد ایجاد آزمایشگاههای تخصصی برای صدور گواهی امنیت محصولات و سکوها در سطح ملی و بینالمللی؛7) طراحی و پیشنهاد ایجاد محیطهای آزمون مجهز به سامانههای پیشرفته برای مهارتسنجی و توانمندسازی نیروی انسانی متخصص.این محورها، نقشه راه اولیهای برای ایجاد هسته تخصصی فراهم میآورد و میتواند به شکلگیری ساختاری هماهنگ، علمی و مبتنی بر تجربههای جهانی در کشور منجر شود؛ ساختاری که نهتنها به ارتقاء توان ملی در حوزه امنیت سایبری کمک میکند، بلکه زمینهساز افزایش اعتماد صنایع، نهادهای حاکمیتی و جامعه تخصصی به نتایج ارزیابیهای امنیتی خواهد شد.
هدف کانال:از اول آبان 1404 هسته تخصصی آزمایشگاههای امنیت سایبری با حمایت ستاد افتا و مشارکت مراکز تخصصی آپای دانشگاههای علم و صنعت ایران، صنعتی شریف و تربیت مدرس تشکیل گردیده است. در این کانال هدف آن است که آگاهیرسانیها، گزارشهای اقدامات، هشدارهای امنیتی مرتبط با موضوع فعالیت آزمایشگاهها، و یافتههای علمی و فنی مرتبط با هسته تخصصی منتشر شود. #معرفی_کانال@CyberSecLabs
۱۷:۳۴
«پروفایل محافظتی مشترک» (cPP) چیست و چرا برای امنیت فناوری اطلاعات اهمیت دارد؟ تاریخ انتشار: 29 آبان 1404در دنیای امروز که فناوری اطلاعات و ارتباطات به هستهٔ عملکرد بسیاری از سازمانها تبدیل شده، تضمین امنیت و اعتمادپذیری سیستمهای IT امری ضروری محسوب میشود. یکی از ابزارهای استاندارد برای ارزیابی امنیت محصولات IT، چارچوب «معیارهای مشترک» یا Common Criteria (CC) است. در این چارچوب، مفهوم «پروفایلهای محافظتی مشترک» یا cPP نقش مهمی ایفا میکند.
cPP چیست؟«پروفایلهای محافظتی مشترک» (cPP) مجموعهای از مستندات هستند که به صورت عمومی توسط جامعهٔ فنی بینالمللی (از جمله تولیدکنندگان، آزمایشگاههای ارزیابی، کشورهای عضو توافقنامه شناسایی متقابل CCRA و دانشگاهها) توسعه یافتهاند.
هدف این cPPها، ارائه الزامات امنیتی مشخص و مشترک برای دستههای معینی از محصولات یا سیستمهای IT است، بهطوری که محصولاتی که با آنها مطابقت دارند، بتوانند تحت چارچوب معیارهای مشترک ارزیابی شده و به صورت رسمی تأیید شوند.
چرا استفاده از cPP اهمیت دارد؟- با استفاده از یک cPP، تولیدکننده میداند که دقیقاً کدام الزامات امنیتی باید در محصولش پوشش داده شود.- ارزیاب امنیتی چارچوب و استاندارد مشخصی دارد که براساس آن محصول را مورد بررسی قرار میدهد.- احتمال شناسایی متقابل (mutual recognition) نتایج ارزیابی محصول در کشورهای مختلف افزایش مییابد؛ چون cPPهایی که مستندات پشتیبانیشان تایید شده باشد، تحت توافق CCRA قابلپذیرش هستند. - برای کاربران (سازمانها، خریداران) محصول، وجود ارزیابی براساس cPP میتواند به منزله تضمینی برای توجه محصول به الزامات امنیتی مشخص تلقی شود. نکاتی که باید بدانید:cPPها همراه با «اسناد پشتیبان» (Supporting Documents) منتشر میشوند. این اسناد پشتیبان باید مطابق با مستندات CC/CEM (متن مرجع چارچوب Common Criteria و روش ارزیابی CEM) باشند. دو دسته cPP وجود دارد:1- آنهایی که اسناد پشتیبانشان تایید شده و بنابراین قابل استفاده تحت CCRA هستند؛ 2- آنهایی که اسناد پشتیبانشان هنوز در بررسی هستند؛ در مورد اینها، اگر محصول براساس آنها ارزیابی شود، ممکن است هنوز تحت شناسایی متقابل CCRA نباشد. حیطه کاربرد cPPها میتواند شامل دستههای مختلفی از فناوریها باشد: از جمله دستگاههای بیومتریک، سامانههای فایروال، رمزگذاری کامل دیسک، مدیریت پایگاه داده، دستگاههای چندکاره و …
در زمان انتخاب یا خرید محصول امنیتی، توصیه میشود بررسی شود که آیا محصول با یک cPP معتبر تطابق دارد یا خیر — این موضوع میتواند در کاهش ریسک امنیتی برای سازمان مؤثر باشد.
پیشنهاد برای اقدام:اگر شما مسئول امنیت فناوری اطلاعات در سازمان هستید یا محصولی را برای خرید در نظر دارید، نکات زیر میتواند راهگشا باشد:- بررسی کنید که محصول موردنظر دارای ارزیابی بر پایه cPP باشد یا اینکه تولیدکننده مدعی تطابق با یک cPP معتبر باشد.- اطمینان حاصل نمایید که cPP مربوطه دارای اسناد پشتیبان تاییدشده است، تا از مزایای شناسایی متقابل (mutual recognition) بهرهمند شوید.- در قراردادهای خرید محصول، الزامات مربوط به تطابق با cPP را لحاظ نمایید تا از پوشش جامعتر امنیتی اطمینان حاصل شود.- در ارزیابی داخلی سازمان، یکی از معیارها میتواند تطابق محصولات و راهکارهای IT با cPPهای معتبر باشد. مرجع:https://www.commoncriteriaportal.org/pps/collaborativePP.cfm?cpp=1#معیار_های_مشترک | #پروفایلهای_محافظتی_مشترک
@CyberSecLabs | #common_criteria | #cPP
۱۷:۲۳
خبر | بهروزرسانی نسخه ۳.۰ پروفایلهای محافظتی مشترک رمزگذاری کامل دیسک منتشر شد تاریخ انتشار: 29 آبان 1404کمیته فنی یکپارچه FDE iTC نسخه پیشنویس بهروزرسانیهای نسخه 3.0 پروفایلهای محافظتی مشترک Full Drive Encryption (FDE cPPs) را تکمیل و برای دریافت نظر عموم در تاریخ 17 نوامبر 2025 منتشر کرد.این بهروزرسانیها شامل موارد زیر است:- انطباق با CC:2022- افزودن موارد مربوط به CNSA 2.0- هماهنگی با Specification of Functional Requirements for Cryptography- انتقال به طرح XML نیپ (NIAP) در GitHub- شفافسازی و اصلاحات عمومی- مخزنهای جدید در GitHub در دسترس هستند:- FDE AA: پروفایل محافظتی «کسب مجوز رمزگذاری کامل دیسک»- FDE EE: پروفایل محافظتی «موتور رمزگذاری کامل دیسک»
از جمله تغییرات مهم که تأکید ویژه روی آنها شده است:- بهروزرسانی فعالیت آزمون FCS_KYP_EXT.1 در مخزن FDE AA- بهروزرسانی فعالیت آزمون FCS_DSK_EXT.1 در مخزن FDE EE
موارد تغییریافته در هر دو مخزن با برچسب General iTC Review مشخص شدهاند و از آنجا که برخی اصلاحات مرتبط هستند، توصیه میشود هر دو مخزن بررسی شوند.
علاقهمندان میتوانند نظرات خود را در بخش Issues مخازن GitHub یا از طریق ایمیل برای تیم توسعه ارسال کنند.- مهلت ارسال نظرات: ۸ دسامبر ۲۰۲۵
مرجع:https://www.commoncriteriaportal.org/news/index.cfm#معیار_های_مشترک | #پروفایلهای_محافظتی_مشترک | #رمزگذاری_کامل_دیسک
@CyberSecLabs | #common_criteria | #cPP
۱۷:۲۹
برگزاری دوره آموزشی با عنوان: دوره مقدماتی امنیت وب توسط: مرکز تخصصی آپای تربیت مدرس#دوره_آموزشی | #امنیت_وب@cyberseclabs۸:۰۵
خبر | آمار شرکتها یا پلتفرمهای دارای بیشترین تعداد آسیبپذیری در یک ماه اخیر تاریخ انتشار: 2 آذر 1404 مرجع: بولتن تحلیلی هوش تهدید سایبری (آبان 1404) - مرکز تخصصی آپای علم و صنعت#هوش_تهدید_سایبری | #بولتن_تحلیلی@cyberseclabs۱۲:۱۹
خبر | آمار محصولات دارای بیشتر تعداد آسیبپذیری در یک ماه اخیر تاریخ انتشار: 2 آذر 1404 مرجع: بولتن تحلیلی هوش تهدید سایبری (آبان 1404) - مرکز تخصصی آپای علم و صنعت#هوش_تهدید_سایبری | #بولتن_تحلیلی@cyberseclabs۱۲:۲۱
تروجان جدید واتساپ بهنام «Eternidade» در حال خودانتشاری و سرقت اطلاعات بانکی؛ در سراسر برزیل تاریخ انتشار: 20 نوامبر 2025 یک تروجان دوبخشی جدید با نام «Eternidade» بهطور فعال در برزیل در حال گسترش است و بهصورت کرم (Worm) از طریق واتساپ انتشار مییابد تا اطلاعات بانکی قربانیان مشخصی را سرقت کند. پژوهشگران امنیتی LevelBlue، از جمله کارل سیگلر، مدیر ارشد این شرکت، با دسترسی به زیرساخت فرماندهی و کنترل (C2) این بدافزار، حدود ۱۰ هزار سیستم آلوده را شناسایی کردند. این موضوع نشاندهندهٔ اثربخشی استراتژی انتشار هدفمند آن در شبکههای اجتماعی است. حملهٔ Eternidade دو بخش دارد. بخش نخست یک کرم است که برای خودانتشاری از طریق واتساپ طراحی شده است. این کرم به فهرست مخاطبان قربانی دسترسی پیدا کرده و برای آنها نسخهای از بدافزار را ارسال میکند. با این حال، کرم بهجای انتشار گسترده و بیهدف، رویکردی هدفمند دارد: مخاطبانی را که برچسب «business» دارند فیلتر میکند و تمام گروهها را نادیده میگیرد. پژوهشگران معتقدند این راهبرد بر این فرض است که آلودگی زمانی موفقتر است که پیام بهعنوان یک پیام شخصی و مستقیم از طرف دوستان یا اعضای خانوادهٔ مورد اعتماد به نظر برسد. برای تقویت اعتبار پیام فیشینگ، بدافزار از شخصیسازی استفاده میکند. نام گیرنده را بهطور خودکار در پیام قرار میدهد و بسته به زمان ارسال، یک سلام مناسب به زبان پرتغالی—مانند «صبح بخیر» یا «شب بخیر»—اضافه میکند. مهاجمان همچنین میتوانند الگوهای پیام را از طریق زیرساخت C2 سفارشی کنند.یکی از جزئیات فنی قابلتوجه، تغییرات مربوط به فایل دراپر این بدافزار است. نسخههای اولیه با PowerShell نوشته شده بودند؛ زبانی که سیگلر اشاره میکند در برزیل به دلیل فراگیری سیستمهای ویندوزی رایج است. اما نسخههای جدید با Python نوشته شدهاند. این تغییر ممکن است صرفاً نشاندهندهٔ مهارت نویسندگان باشد، اما سیگلر احتمال جالبتری را مطرح میکند: شاید هدف، توسعهٔ Eternidade به یک تهدید چندسکویی باشد که بتواند روی لینوکس یا macOS نیز اجرا شود. نیمهٔ دوم Eternidade خودِ تروجان سرقتکننده است که رفتار هدفمند و دقیقی دارد. پیش از اجرای بار مخرب اصلی، چند بررسی انجام میدهد: مطمئن میشود زبان سیستمعامل قربانی پرتغالی برزیلی است، بررسی میکند آیا سیستم عضو شبکهٔ سازمانی یا محیط سندباکس است و از هردو اجتناب میکند. برنامههای امنیتی فعال را نیز تشخیص میدهد. این مراحل تضمین میکنند که بدافزار فقط روی قربانیان موردنظر—افراد عادی برزیلی—فعال شود. پس از گذر از این بررسیها، بار نهایی سرقتکننده که با Delphi نوشته شده اجرا میشود. LevelBlue اشاره میکند که Delphi گرچه زبانی قدیمی و کماستفاده در سطح جهانی است، اما همچنان سنگبنای اکوسیستم جرایم سایبری در برزیل محسوب میشود. عملکرد اصلی استیلر، نظارت بر پنجرهها و پردازشهای فعال مرتبط با وبسایتهای بانکی، رمزارزی یا فینتک است. فهرست اهداف گسترده است و شامل مؤسسات بزرگی مانند بانک برزیل و Santander، و همچنین پلتفرمهای رمزارزی مانند Coinbase، Binance، Metamask و Ledger Live میشود. هنگامی که قربانی یکی از این سایتها را باز میکند، بدافزار یک صفحهٔ پوششی کلاسیک نمایش میدهد تا اطلاعات ورود او را سرقت کند. فراتر از سرقت اعتبارنامه، این تروجان قادر است فرمانهای مختلف راهدور را اجرا کند، مانند دانلود/آپلود فایل، تهیهٔ اسکرینشات و ثبت کلیدهای فشردهشده. اما نوآورانهترین ویژگی آن، یک سازوکار مقاوم C2 برای دورزدن عملیات تعطیلی است. بدافزار دارای اطلاعات ورود رمزگذاریشدهای است که به آن امکان میدهد به یک حساب ایمیل تحت کنترل مهاجم دسترسی داشته و محتوای آن را بخواند. اگر مدافعان دامنهٔ C2 فعلی را از کار بیندازند، مهاجمان میتوانند بهسادگی یک ایمیل حاوی آدرس سرور C2 جدید به این حساب ارسال کنند. بدافزار بهطور خودکار این ایمیل را میخواند و خود را به سرور جدید هدایت میکند، بدون نیاز به بهروزرسانی سنتی. منبع:https://www.darkreading.com/threat-intelligence/whatsapp-eternidade-trojan-self-propagates-brazil#امنیت_سایبری #بدافزار #واتساپ
@cyberseclabs | #CyberSecurity #Malware
۷:۴۹
بدافزار ShadowPad از آسیبپذیری WSUS برای دسترسی کامل به سرورهای ویندوزی سوءاستفاده میکند تاریخ انتشار: 24 نوامبر 2025 یک نقص امنیتی که اخیراً در سرویس Windows Server Update Services (WSUS) مایکروسافت وصله شده است (CVE-2025-59287)، توسط مهاجمان برای توزیع بدافزار معروف به ShadowPad مورد سوءاستفاده قرار گرفته است.مرکز اطلاعات امنیتی AhnLab (ASEC) در گزارشی که هفته گذشته منتشر شد اعلام کرد:«مهاجم، سرورهای ویندوزی مجهز به WSUS را هدف قرار داده و برای دسترسی اولیه از آسیبپذیری CVE-2025-59287 سوءاستفاده کرده است. سپس با استفاده از PowerCat ــ یک ابزار متنباز مبتنی بر PowerShell مشابه Netcat ــ یک شل سیستم (CMD) به دست آوردهاند. در ادامه، آنها ShadowPad را با استفاده از certutil و curl دانلود و نصب کردند.» ShadowPad که جانشینی برای بدافزار PlugX محسوب میشود، یک دربپشتی ماژولار است که بهطور گسترده توسط گروههای هکری وابسته به دولت چین استفاده میشود. این بدافزار نخستین بار در سال ۲۰۱5 ظاهر شد. شرکت SentinelOne در تحلیلی که اوت ۲۰۲۱ منتشر کرد، آن را «شاهکاری از بدافزارهای خصوصی مورداستفاده در جاسوسی سایبری چین» توصیف کرد. آسیبپذیری CVE-2025-59287 که ماه گذشته توسط مایکروسافت برطرف شد، به یک نقص بحرانی در فرآیند deserialization در WSUS اشاره دارد که میتواند برای اجرای کد از راه دور با سطح دسترسی سیستمی مورد سوءاستفاده قرار گیرد. از زمان وصله، این آسیبپذیری تحت بهرهبرداری گسترده قرار گرفته و مهاجمان از آن برای کسب دسترسی اولیه به سرورهای WSUS در معرض اینترنت، انجام شناسایی، و حتی اجرای ابزارهای قانونی مانند Velociraptor استفاده کردهاند.در حملهای که توسط شرکت کرهای AhnLab مستندسازی شده، مشخص شده است که مهاجمان از این آسیبپذیری برای اجرای ابزارهای ویندوز مانند «curl.exe» و «certutil.exe» استفاده کردهاند تا با یک سرور خارجی ارتباط برقرار کرده و ShadowPad را دانلود و نصب کنند.ShadowPad مشابه PlugX از طریق تکنیک DLL side-loading اجرا میشود؛ به این صورت که یک فایل اجرایی معتبر («ETDCtrlHelper.exe») برای بارگذاری یک DLL مخرب («ETDApix.dll») سوءاستفاده میشود. این DLL نقش یک بارگذار حافظهای را دارد که دربپشتی را اجرا میکند.پس از نصب، بدافزار یک ماژول اصلی را اجرا میکند که مسئول بارگذاری سایر افزونههایی است که در شلکد تعبیه شدهاند. این بدافزار همچنین مجهز به تکنیکهای مختلفی برای پنهانسازی و ماندگاری در سیستم است. تاکنون این فعالیت به هیچ گروه یا بازیگر تهدید شناختهشدهای نسبت داده نشده است. AhnLab در ادامه گفت: «بعد از اینکه کد اثبات مفهومی (PoC) این آسیبپذیری بهصورت عمومی منتشر شد، مهاجمان خیلی سریع آن را برای انتشار بدافزار ShadowPad از طریق سرورهای WSUS بهکار گرفتند. این آسیبپذیری بسیار بحرانی است زیرا اجازه اجرای کد از راه دور با سطح دسترسی سیستم را میدهد و این موضوع بهطور قابلتوجهی میزان تأثیر بالقوه حمله را افزایش میدهد.» منبع:https://thehackernews.com/2025/11/shadowpad-malware-actively-exploits.html#امنیت_سایبری #بدافزار
@cyberseclabs | #CyberSecurity #Malware #ShadowPad
۱۰:۵۰
هشدار امنیتی | شناسایی جاسوسافزار LANDFALL در تلفنهای هوشمند گلکسی سامسونگ تاریخ انتشار: 7 نوامبر 2025 جزئیات هشدار:پژوهشگران امنیتی خانوادهای جدید از جاسوسافزارهای اندرویدی با نام LANDFALL را شناسایی کردهاند. این بدافزار بهصورت هدفمند کاربران دستگاههای گلکسی سامسونگ را در منطقه خاورمیانه هدف قرار داده و از یک آسیبپذیری روز صفر با شناسه CVE-2025-21042 در کتابخانه پردازش تصویر سامسونگ (libimagecodec.quram.so) بهرهبرداری میکند. در ادامه، ویژگیهای کلیدی این بدافزار شرح داده میشود:• بدافزار از طریق فایلهای تصویری DNG منتشر میشود که معمولاً از طریق پیامرسان واتساپ ارسال میشوند.• فایلهای DNG مخرب شامل یک آرشیو ZIP پنهان در انتهای خود هستند که پس از بهرهبرداری از آسیبپذیری، جاسوسافزار را بهطور خودکار روی دستگاه نصب میکند.• حمله از نوع بدون کلیک (Zero-Click) است؛ بدین معنا که قربانی حتی بدون بازکردن یا هرگونه تعامل با فایل دریافتی آلوده میشود.• بدافزار توانایی ضبط تماسها و صداهای محیط، سرقت پیامها، تصاویر، فایلها، دادههای سیستمی و نظارت بر فعالیتهای کاربر در واتساپ را دارد. محصولات آسیبپذیر:تلفنهای هوشمند گلکسی سامسونگ (مانند S22، S23، S24، Z Fold4 و Z Flip4) و سایر دستگاههایی که از کتابخانه libimagecodec.quram.so استفاده میکنند. راهکارها و اقدامات امنیتی پیشنهادی:برای محافظت در برابر جاسوسافزار LANDFALL رعایت موارد زیر ضروری است:• آخرین بهروزرسانیهای امنیتی سامسونگ (بهویژه بهروزرسانیهای مربوط به آسیبپذیری CVE-2025-21042) را اعمال کنید.• از دریافت تصاویر یا فایلهای DNG از افراد یا گروههای ناشناس در واتساپ و سایر پیامرسانها خودداری نمایید.• در تنظیمات واتساپ، قابلیت بارگذاری خودکار رسانه را برای پیامهای ناشناس غیرفعال کنید.• درصورت مشاهده رفتارهای غیرعادی در دستگاه (مانند مصرف غیرعادی باتری، افزایش حرارت یا فعالیت پسزمینه مشکوک)، دستگاه را با نرمافزارهای ضدبدافزار بررسی کرده و درصورت نیاز آن را به تنظیمات کارخانه بازنشانی کنید. منابع:[1] Z. Whittaker, ‘Landfall’ Spyware Abused Zero-Day to Hack Samsung Galaxy Phones, TechCrunch, 2025.[2] M. Kathir, LANDFALL Android Malware Exploits Samsung Zero-Day via Malicious WhatsApp Image, Cyber Press, 2025.#امنیت_سایبری | #بدافزار_روزصفر | #بدافزار_اندروید | #بدافزار_LANDFALL
@cyberseclabs | #Android #Malware #LANDFALL
۱۳:۰۴