A
دسترسی یکپارچه به بانک آیپیهای (IP) مخرب منتشر شده ۵۰ روز اخیر
همراهان گرامی
لیست تمامی آیپیهای مخرب که در ۵۰ روز گذشته بهصورت روزانه در این کانال معرفی شده بودند، در قالب یک فایل جامع تدوین و دستهبندی شد.
این لیست که شامل ۸۵۷ آیپی مخرب است، همین حالا در کانالهای رسمی «امنپردازان کویر» در پیامرسانهای ایتا و روبیکا بارگذاری شده است تا بتوانید بهصورت یکجا از این دیتابیس برای بهروزرسانی سیستمهای امنیتی خود استفاده کنید.
همین حالا روی لینک ورود به کانال روبیکا و ایتای شرکت APK کلیک و فایل را دانلود کنید:
در پیامرسان ایتا
در پیامرسان روبیکا
شرکت امنپردازان کویر (APK)
همراهان گرامی
لیست تمامی آیپیهای مخرب که در ۵۰ روز گذشته بهصورت روزانه در این کانال معرفی شده بودند، در قالب یک فایل جامع تدوین و دستهبندی شد.این لیست که شامل ۸۵۷ آیپی مخرب است، همین حالا در کانالهای رسمی «امنپردازان کویر» در پیامرسانهای ایتا و روبیکا بارگذاری شده است تا بتوانید بهصورت یکجا از این دیتابیس برای بهروزرسانی سیستمهای امنیتی خود استفاده کنید.
همین حالا روی لینک ورود به کانال روبیکا و ایتای شرکت APK کلیک و فایل را دانلود کنید: در پیامرسان ایتا در پیامرسان روبیکاشرکت امنپردازان کویر (APK) اطلاعیه شماره هشتادونهبا توجه به فعالیتهای مخرب IPهای زیر در ساعات گذشته موارد زیر سریعا پیگیری گردد:
بلاک کردن کلیه موارد اعلامی بررسی وضعیت لاگهای SIEM در خصوص فعالیت این IPها در شبکه لیست IPها:5.125.136.20337.255.59.22891.212.174.83185.7.172.10437.156.158.737.148.66.2295.119.200.1187.248.154.43109.162.252.1937.148.79.185109.162.252.28151.235.237.53️ توجه: برای بررسی فعالیت در SIEM حتما هم به عنوان مبدا و هم به عنوان مقصد سرچها انجام شود.در صورت مشاهده فعالیت این IPها (حتی موارد عادی و قابل اعتماد) سریعا گزارش فعالیتها به واحد CERT اطلاعرسانی شود.
آیدی کانال: @apkgroupمرکز CERT شرکت امنپردازان کویر (APK) اطلاعیه شماره نودبر اساس تحلیلهای فنی و گزارشهای منتشر شده از منابع معتبر امنیت سایبری در مارس ۲۰۲۶، یک حمله سازمانیافته و بسیار خطرناک در زنجیره تأمین اکوسیستم npm شناسایی شده است که نشاندهنده تمرکز ویژه عامل تهدید بر زیرساختهای داخل ایران است.
این حمله که توسط گروه TeamPCP و در پی رخنه به ابزارهای امنیتی در خطوط لوله CI/CD (نظیر Trivy v0.69.4) اجرا شده، از طریق انتشار نسخههای آلوده در بستههای پرکاربرد (نظیر اسکوپ @opengov) در حال گسترش است.
بدافزار شناسایی شده با نام CanisterWorm، یک کرم خودتکثیر است که با سرقت توکنهای انتشار، کدهای مخرب خود را در بستههای تحت اختیار قربانی تزریق و منتشر میکند. این بدافزار با بهرهگیری از اسکریپتهای postinstall، کدهای اصلی خود را بلافاصله پس از نصب اجرا کرده و با ایجاد یک سرویس systemd به نام pgmon.serv در سطح کاربر، پایداری خود را بدون نیاز به دسترسی Root تضمین مینماید. تحلیل بخش بحرانی: مکانیزم تخریب هدفمند در ایران تحلیل کدهای استخراج شده نشان میدهد که بدافزار مجهز به یک "بمب منطقی" (Logic Bomb) هوشمند با متغیر داخلی اختصاصی برای شناسایی هدف در ایران (IRAN_TARGET) است. بدافزار پس از اجرا، ابتدا با فراخوانی توابعی نظیر getSystemTimezone() و بررسی آدرسهای IP، موقعیت سیستم را پایش کرده و در صورت تشخیص جغرافیای ایران، واکنشهای تخریبی زیر را فعال میکند: در محیطهای کلاستر (Kubernetes):بدافزار با استفاده از کتابخانههای کلاینت و دسترسی به API سرور، یک DaemonSet ویژه به نام host-provisioner-iran را مستقر میکند. این شیء مخرب با تنظیمات سطح بالا (privileged: true) و مگنت کردن ریشه میزبان (hostPath: /) به داخل کانتینر، اجازه مییابد فراتر از ایزولاسیون کانتینری، کل فایلسیستم سرورهای فیزیکی کلاستر را پاکسازی کرده و با ریبوت اجباری، زیرساخت را نابود کند.
در سیستمهای لینوکسی معمولی:چنانچه بدافزار تشخیص دهد که سیستم در ایران مستقر است اما محیط کوبرنتیز نیست، مستقیماً دستور مرگبار rm -rf / --no-preserve-root را جهت نابودی کامل سیستم و حذف تمامی فایلهای ریشه اجرا میکند.
لازم به ذکر است بدافزار برای سیستمهای خارج از ایران تنها به نصب یک بکدور جهت جاسوسی بسنده میکند که نشاندهنده ماهیت کاملاً هدفمند این Wiper علیه ایران است.
تحلیل رفتارهای احتمالی آتی و اقدامات پنهان:کارشناسان تحلیل تهدیدات بر این باورند که این اقدامات پیشزمینهای برای حملات وسیعتر با مشخصات زیر است:
استفاده از C2 غیرقابل توقیف:ارتباط بر بستر بلاکچین ICP که به دلیل ساختار غیرمتمرکز، مسدودسازی آن ناممکن است.
سرقت گسترده اعتبارنامهها:اسکن مداوم توکنهای NPM جهت گسترش زنجیرهای حمله به سایر سازمانها.
🟥 با توجه به موار فوق پیشنهاد می گردد اقدامات ذیل در اسرع وقت مورد بررسی قرار گیرند:
بررسی و پایش الگوهای زیر در لایههای SOC و زیرساخت: پایش کلاستر (Kubernetes Monitoring): جستجوی فوری برای شناسایی و حذف DaemonSet مخرب با نام host-provisioner-iran در تمامی فضاهای نام (بهویژه kube-system). پایش ایجاد هرگونه شیء جدید در کوبرنتیز که دارای پارامتر privileged: true و hostPath به ریشه (/) باشد.️ مسدودسازی شبکه (Network Containment): جلوگیری از ترافیک خروجی به دامنهی مرکز فرماندهی بلاکچین: tdtqy-oyaaa-aaaae-af2dq-cai.raw.icp0.io. مسدودسازی دامنهی سرقت اطلاعات اولیه: scan.aquasecurtiy.org*.* بازرسی فایلسیستم (Host-based Hunting): جستجو و حذف فایل ایمپلنت اصلی: ~/.local/share/pgmon/service.py و سرویس پایداری آن: ~/.config/systemd/user/pgmon.serv. پایش دایرکتوری موقت برای فایلهای وضعیت و پیلودهای مرحله دوم: /tmp/pglog و /tmp/.pg_state. مدیریت اعتبارنامهها و توکنها (Credential Rotation): ابطال و تعویض فوری تمامی توکنهای موجود در فایلهای .npmrc و متغیرهای محیطی محیطهای CI/CD که احتمال آلودگی آنها وجود دارد. تحلیل زنجیره تأمین و بازرسی کد (Supply Chain Audit): اسکن فایلهای package.json: جستجوی اسکریپتهای نصب مشکوک نظیر "postinstall": "node index.js" در بستههای اسکوپ @opengov و بستههای وابسته. بررسی کدهای مبهم: شناسایی کدهای جاوااسکریپت حاوی رشتههای طولانی Base64 که در زمان اجرا اقدام به ساخت فایلهای پایتون (.py) در پسزمینه میکنند. تثبیت نسخهها (Version Pinning): قفل کردن نسخههای تمامی بستههای npm بر روی آخرین نسخهی پایدار تأیید شده (پیش از مارس ۲۰۲۶) جهت جلوگیری از دریافت آپدیتهای آلوده.@apkgroup اطلاعیه شماره نودویکبا توجه به فعالیتهای مخرب IPهای زیر در ساعات گذشته موارد زیر سریعا پیگیری گردد:
بلاک کردن کلیه موارد اعلامی بررسی وضعیت لاگهای SIEM در خصوص فعالیت این IPها در شبکه لیست IPها:5.237.27.9883.123.146.1587.107.100.395.112.57.1135.119.240.24937.202.165.14887.107.165.1283.120.156.772.176.83.85151.234.202.185.210.173.755.237.2.1282.183.140.82109.225.165.40109.162.252.635.121.249.1955.122.143.212109.162.252.46
️ توجه: برای بررسی فعالیت در SIEM حتما هم به عنوان مبدا و هم به عنوان مقصد سرچها انجام شود.در صورت مشاهده فعالیت این IPها (حتی موارد عادی و قابل اعتماد) سریعا گزارش فعالیتها به واحد CERT اطلاعرسانی شود.
آیدی کانال: @apkgroupمرکز CERT شرکت امنپردازان کویر (APK) اطلاعیه شماره نود و دوبا توجه به فعالیتهای مخرب IPهای زیر در ساعات گذشته موارد زیر سریعا پیگیری گردد:
بلاک کردن کلیه موارد اعلامی بررسی وضعیت لاگهای SIEM در خصوص فعالیت این IPها در شبکه لیست IPها:94.182.152.1995.134.145.20092.114.24.7052.167.144.67185.208.174.9746.143.91.228217.218.30.17862.60.146.1440.77.167.2052.167.144.187158.58.24.13346.36.105.4483.122.191.355.127.10.18188.213.192.2105.62.234.1625.127.211.225.208.239.1805.120.203.53
️ توجه: برای بررسی فعالیت در SIEM حتما هم به عنوان مبدا و هم به عنوان مقصد سرچها انجام شود.در صورت مشاهده فعالیت این IPها (حتی موارد عادی و قابل اعتماد) سریعا گزارش فعالیتها به واحد CERT اطلاعرسانی شود.
آیدی کانال: @apkgroupمرکز CERT شرکت امنپردازان کویر (APK) اطلاعیه شماره نود و سهبر اساس تحلیلهای فنی و گزارشهای منتشر شده از منابع معتبر امنیت سایبری در اواخر آوریل و اوایل می ۲۰۲۶، یک آسیبپذیری بسیار خطرناک در هسته لینوکس با شناسه CVE-2026-31431 ملقب به Copy Fail بهصورت عمومی افشا شده و هماکنون در حال بهرهبرداری فعال است.
این آسیبپذیری که در زیرسیستم Crypto و ماژول algif_aead قرار دارد، امکان ارتقاء دسترسی محلی Local Privilege Escalation از کاربر عادی به root را با سطح اطمینان بالا فراهم میکند.
آخرین آپدیت کلیدی ۱ می ۲۰۲۶انتشار تحلیلهای Threat Intelligence توسط Microsoft و سایر وندورها مبنیبر: ریسک بالا در محیطهای Cloud و Kubernetes امکان chain شدن در container escape تحلیل بخش بحرانی: مکانیزم حمله (Copy-on-Write Abuse)این آسیبپذیری ناشی از نقص در مدیریت عملیات in-place در AF_ALG است که به مهاجم اجازه میدهد: بدون تغییر فایل روی دیسک بدون ثبت در مکانیزمهای integrity محتوای page cache را مستقیماً overwrite کند.در این سناریو، مهاجم میتواند:
باینریهای حساس مثل SUID binariesرا فقط در حافظه تغییر دهد. همان باینری را اجرا کند و به سطح root برسد. نکته حیاتیاین رفتار باعث bypass کامل ابزارهای forensic مبتنیبر دیسک میشود. ویژگیهای خطرناک اکسپلویت بدون نیاز به race condition (برخلاف Dirty COW) بسیار پایدار و deterministic حجم بسیار کم PoC (حدود ۷۳۲ بایت) قابل اجرا روی طیف وسیعی از دیستروها (distro) تحلیل تهدید در زیرساختهای مدرندر محیطهای Containerized سوءاستفاده از page cache مشترک بین container و host امکان escape از container و دسترسی به nodeدر محیطهای Cloud Escalation از user-level access در VM به root افزایش ریسک lateral movement در شبکه داخلیبا توجه به توضیحات بالا، پیشنهاد میشود اقدامات زیر فوراً بررسی و اجرا شوند:
Patch Management (بسیار حیاتی)
بروزرسانی فوری kernel به نسخههای patch شده (بعد از ۱ آوریل ۲۰۲۶) بررسی وضعیت patch در distro (بعضی هنوز Fully Patched نیستند.)Hardening در سطح سیستم
غیرفعالسازی AF_ALG در صورت عدم نیاز محدودسازی unprivileged user namespaces کاهش دسترسی به سیسکالها مرتبط مانند splice()Detection & Threat Hunting
پایش الگوهای غیرعادی استفاده همزمان از AF_ALG + splice () دسترسی غیرعادی به کریپتو سوکتها (Crypto Socket) استفاده از EDR با قابلیت memory analysis (نه فقط disk-based)Kubernetes Security Monitoring
بررسی رفتار کانتینرها برای سیسکالهای غیرمعمول اعمال seccomp و AppArmor profiles محدودکننده مانیتورینگ دسترسی به host kernel interfaceIncident Response Readiness
فرض compromise در صورت وجود access محلی بررسی integrity باینریها در runtime (نه فقط روی دیسک) Rotation دسترسیها درصورت مشاهده رفتار مشکوکآیدی کانال: @apkgroupمرکز CERT شرکت امنپردازان کویر (APK) اطلاعیه شماره نودوچهاربا توجه به فعالیتهای مخرب IPهای زیر در ساعات گذشته موارد زیر سریعا پیگیری گردد:
بلاک کردن کلیه موارد اعلامی بررسی وضعیت لاگهای SIEM در خصوص فعالیت این IPها در شبکه لیست IPها:37.221.27.52188.253.67.4046.143.92.2355.10.248.155188.136.220.7193.126.40.2291.236.168.167212.80.18.11185.18.213.2280.210.47.4287.236.208.94
️ توجه: برای بررسی فعالیت در SIEM حتما هم به عنوان مبدا و هم به عنوان مقصد سرچها انجام شود.در صورت مشاهده فعالیت این IPها (حتی موارد عادی و قابل اعتماد) سریعا گزارش فعالیتها به واحد CERT اطلاعرسانی شود.
آیدی کانال: @apkgroupمرکز CERT شرکت امنپردازان کویر (APK) اطلاعیه شماره نودوپنجبا توجه به فعالیتهای مخرب IPهای زیر در ساعات گذشته موارد زیر سریعا پیگیری گردد:
بلاک کردن کلیه موارد اعلامی بررسی وضعیت لاگهای SIEM در خصوص فعالیت این IPها در شبکه لیست IPها:80.191.185.1285.122.233.19394.177.75.10494.182.214.912.147.172.213142.250.202.1745.62.176.10277.237.163.206
️ توجه: برای بررسی فعالیت در SIEM حتما هم به عنوان مبدا و هم به عنوان مقصد سرچها انجام شود.در صورت مشاهده فعالیت این IPها (حتی موارد عادی و قابل اعتماد) سریعا گزارش فعالیتها به واحد CERT اطلاعرسانی شود.
آیدی کانال: @apkgroupمرکز CERT شرکت امنپردازان کویر (APK) اطلاعیه شماره نودوششبا توجه به فعالیتهای مخرب IPهای زیر در ساعات گذشته موارد زیر سریعا پیگیری گردد:
بلاک کردن کلیه موارد اعلامی بررسی وضعیت لاگهای SIEM در خصوص فعالیت این IPها در شبکه لیست IPها:37.148.70.118142.250.202.238188.121.120.148185.129.228.26142.250.202.46217.218.31.1125.10.248.478.157.51.8937.32.10.1632.176.110.75.122.211.7277.237.166.139
️ توجه: برای بررسی فعالیت در SIEM حتما هم به عنوان مبدا و هم به عنوان مقصد سرچها انجام شود.در صورت مشاهده فعالیت این IPها (حتی موارد عادی و قابل اعتماد) سریعا گزارش فعالیتها به واحد CERT اطلاعرسانی شود.
آیدی کانال: @apkgroupمرکز CERT شرکت امنپردازان کویر (APK) اطلاعیه شماره نودوهفتکشف باگ ۱۸ساله در NGINXبر اساس تحلیلهای فنی و گزارشهای منتشر شده از منابع معتبر امنیت سایبری، یک آسیبپذیری بسیار خطرناک و تاریخی با قدمت ۱۸ ساله در وبسرور محبوب NGINX با شناسه CVE-2026-42945 و نام NGINX Rift بهصورت عمومی افشا شده است.
این آسیبپذیری با امتیاز بحرانی ۹.۲ در ماژول rewrite قرار میگیرد و امکان سوءاستفاده، بدون نیاز به لاگین یا احراز هویت قبلی (Unauthenticated) را با سطح اطمینان بالا فراهم میکند.
تحلیل بخش بحرانی: مکانیزم حمله این ضعف به مهاجم اجازه میدهد: تنها با ارسال یک درخواست HTTP مخرب (Malicious Request) بدون نیاز به دسترسی قبلی به سرور سرور را از کار بیندازد ورکرهای NGINX را وارد Crash Loopکند و در برخی سناریوها حتی کد مخرب اجرا کند. (RCE) نکته حیاتیریشه این باگ به نحوه مدیریت کاراکترها در ساختارهای بدون نام (Unnamed Captures) مانند $1 و $2 در عبارات منظم (Regex) بازمیگردد. ویژگیهای خطرناک آسیبپذیری پنهان ماندن ضعف امنیتی به مدت نزدیک به ۱۸ سال در سورسکد تحت تأثیر قرار دادن هر دو نسخه Open Source و NGINX Plus امتیاز شدت اثر بحرانی (Critical CVSS: 9.2) تحلیل تهدید در زیرساختهای تحت تأثیروبسرورها و لودبالانسرهایی که از رولهای پیچیده بازنویسی آدرس (URL Rewrite) بدون تعریف نامِ متغیر استفاده میکنند، به شدت در معرض ریسک ریزش سرویس و قطع دسترسی کاربران قرار دارند.با توجه به توضیحات بالا، پیشنهاد میشود اقدامات زیر فوراً بررسی و اجرا شوند:
Patch Management (بسیار حیاتی) بهروزرسانی فوری وبسرور NGINX به آخرین نسخههای رسمی و Patch شده. Hardening و تغییر پیکربندی موقت بررسی دقیق تمامی کانفیگها و رولهای مچشده با ماژول rewrite. جایگزینی نمونههای بدون نام مانند $1 و $2 با ساختارهای نامگذاریشده ( Named Captures ) در عبارات منظم برای بیاثر کردن وکتور حمله.آیدی کانال: @apkgroupمرکز CERT شرکت امنپردازان کویر (APK)