سلام و درود عرض میکنم خدمت همه دوستان و همراهان گرامی کلاب peneter.com در کنار سهیل جان هاشمی با جلسه 46 اخبار هفتگی امنیت سایبری در خدمتتون هستیم. امیدوارم که دکتر داود سجادی هم هرچه سریعتر به ما پیوندن. توضیحی که باز به عزیزانی که تازه به جمع ما پیوستن بدم. هرهفته شنبه شب ها ما اخبار امنیت سایبری رو در اتاقی تحت کلاب peneter پوشش میدیم. اگه مایل بودین خود کلاب peneter ، سخنرانان و شبکه های اجتماعیشون رو فالو کنید تا از زمان دقیق تشکیل اتاق ها باخبر بشید. میکروفون تقدیم سهیل جان. شما رو گوش میکنیم.
خیلی ممنون. سلام و عرض ادب خدمت تمام دوستانی که در اتاق حضور دارند. بریم سراغ اخبار امنیتی هفته گذشته. من خبرم رو با کشف آسیب پذیری Zeroday که یکی از پلاگین های وردپرس شروع میکنم. Backup buddy . این اکسپلویت zeroday روی Backup buddy بودش که CSS 7.5 اجازه Local file download میده. نوعی از آسیب پذیریه که میتونه هکر بدون اینکه پرمیشن داشته باشه، پسورد لینوکس یا file config وردپرس رو دانلود کنه و بعد از اینکه file config رو دانلود کرد، با وصل شدن به دیتابیسش میتونه دسترسی کامل از وردپرس بگیره . حالا اگه از این پلاگین استفاده می کنید حتما آپدیتش کنید که به مشکل نخورید.
بریم سراغ خبر بعدی، درمورد آسیب پذیری روی روترهای سیسکو بود که VPN IPsec سرور سیسکو سری روترهای RC130-RB130W آسیب پذیری روی authentication method وجود داره که امکان authentication method by pass وجود داره. هکر میتونه بدون اینکه یوزر و پسورد داشته باشه دسترسی پیدا کنه. اگر از همچنین سری های روترهای سیسکو استفاده میکنید، حتما آپدیتش رو مدنظرتون قرار بدین.
بریم سراغ خبرهای دیگه، من توی یکی از فروم هایی که دسترسی میفروشن bridge.to یه پست دیدم که دیتابیس فروشگاه رفاه رو داشتن میفروختن که مثل اینکه یه آسیب پذیری وجود داشته توی فروشگاه رفاه که دسترسی گرفته بودن و احتمال میدم که هکرش ایرانی باشه و دیتابیسش رو برای فروش گذاشته.
خبر داغ تر دیگه که وجود داشت، خبر هک زیرساخت های کشور آلبانی بود که حملات Wiper و علاوه بر اون ………. بود که گزارش های مختلفی توسط تیم های Trend Intelligence » مایکروسافت و Mandiant منتشر شد. توی این گزارش ها تکنیکالش اشاره کرده که این گروه که ملغب شده به APT42 از سال 2015 کارش رو شروع کرده و trackش کردن و از 2015 توسط Mandiant track شده، هدفشون اغلب افراد سیاست مدار و روزنامه نگاران و افراد دولتی بوده که عموما مخالف بودن با دولت و از متدهای Social Engineering که حالا هفته پیش هم درموردش خیلی صحبت کردم، از Phishing استفاده می کردن و اینهارو مورد هدف قرار میدادن با Pretext ی که ازشون داشتن. و برای اینکه بتونن اونها رو track کنن و حالا یجورایی شنود کنن، بدافزار اندروید داشتن که به عنوان مسنجر بوده یا به عنوان فیلترشکن بوده که توی گزارش Mandiant ذکر شده بود که اسمش Safer VPN بوده. که این رو پخش میکردن جاهای مختلف و بعد از اینکه نصب میشده امکان دسترسی به گالری و contact و SMS و حتی capture voice وجود داشته. و قابلیت ……. هم داشته و برای ……. کردنش از خود Bit locker ویندوز استفاده میکرده. Bit Locker یک feature اینترپراز ، پرو و… توی ویندوز (ادیشن همچنین فیچری نداره) توی فایل سیستم NTFSبیت لاکر رو فعال کنیم، رمز کنیم که اگر پسورد نداشته باشن نتونن بیان داخل. از این قابلیت استفاده میکرده. فقط کافی بوده که چند تا command رو بزنه و اون درایو ها رو رمز کنه. حالا خود مایکروسافت هم یک گزارش داشت که مثل گزارش Mandiant بود تقریبا ولی خب Mandiant در قالب PDF و 20 و خورده ای صفحه هستش که قسمت تکنیکالش اومده درمورد نحوه دسترسی گرفتن که انجام میدادن و ابزارهایی که برای دسترسی به ایمیل های قربانیان داشتن ، ابزار رو درموردش صحبت کرده که یکی از اون ابزارها، ابزار JSON.exe که این ابزار قبلا track شده بود که APT35 ازش استفاده میکرده. بعد از اینکه کوکی و یوزر پسورد قربانی ها رو سرقت کنه، بخاطر قابلیت Multi Factor Authentication توی گوگل شما حتی یوزر و پسورد هم بزنید نمیتونید برید داخل و نیازمند همچنین ابزاری مثل json.exe یا ابزاری مشابه که دو هفته پیش کشف شده بود توسط گوگل هستش که شما بتونید اینها رو add کنید و بعد دسترسی پیدا کنید به inbox جی میل. تارگت هایی هم که داشت APT42 تارگت هایی که داشته، education, government, manufacturing, و تقریبا تو همه طیفی تارگت داشت. طیف خاصی نبوده. مورد Safer VPN که بدافزاری بوده که توسعه دادن بودن به اسم VPN دسترسی داشته به کل گوشی، گوشی فارنزیکش رو گذاشتن و malware که detect کردن ، الان گوگل به عنوان malware میشناسه و زمانی که شما بخواین نصب کنید، اجازه نمیده که ران بشه. از سرویس BitLocker استفاده میکرده ، برم سراغ گزارش مایکروسافت. میگه که APT42 از چند Subgroup تشکیل شده که تقریبا 4 تاس که همشون زیر مجموه مویس میدونن که همون واژو هستش و حالا این تیم ها درواقع هرکدوم وظیفه ی توسعه ی ابزارهای عملیاتی رو بر عهده داشتن. یک تیمی مسئول بوده که باج افزار رو توسعه بده، یک تقیم initial access داشتن و یک تیم استخراج داشتن، مثل تمام APT هایی که در تمام دنیا وجود دارند. حتی همون APT که توی NSA وجود داره. APT که توی CIA یا چین یا روسیه وجود داره. تقریبا ساختار APT ها یکیه، یعنی همه این کارها رو انجام میدن، هیچ فرقی نمیکنه. این 4 تیم تقریبا مسئولیت این رو داشتن که دسترسی بگیرن. یه تیم دیگه مسئول استخراج دیتا رو داشته، یه تیم دیگه هم رنسامبر رو وایپ کردن داشتن. بنابر این که تارگتشون چقدر اهمیت داشته بین wipe و رنسام یکیش رو انتخاب میکردن. حالا اون اابزار json هم خود مایکروسافت توی سایتش اگه اون گزارش رو ببینید، که من روی توییتر share کردم، یک عکس گذاشته از ابزار json که این ابزار درواقع توسط گروه لب دوختگان پابلیش شده بود توی کانال تلگرامشون که مثل یک ابزار دیگه ای بودش که هفته پیش درموردش صحبت کردیم .که این ابزار هم کارش این بودش که جی میل ها رو بتونه بخونه. بحث initial access یا با آسیب پذیری بوده یا spa phishing بوده. حالا آسیب پذیری هم که استفاده میکردن، چون گروه های APT که اتریبیتوت شدن به ایران یا از پروکسی لاگ آن یا دو آسیب پذیری روی اکسچنج ها بودش که از اونها استفاده میکردن. یک آسیب پذیری بودش که تو share point ها بودش که از اونها برای initial access بوده حالا اون آسیب پذیری shell point یک دونه آپلودر داشته توی نسخه های قدیمیش که هکرها از میومدن از اون طریف web shell میگرفتن، دسترسی میگرفتن و وارد شبکه میشدن و جالبیش اینه که توی گزارش تحلیلی که انجام دادن، اون تیم DFIR که مال Mandiant بوده اشاره کرده اینها وقتی وارد شبکه میشدند، یک یوزر اکانت دیفالت تو همه شبکه ها داشتن که از این طریق میومدن این گروه رو شناسایی میکردن بنام default account معمولا این گروه های APT یک شاخصه ای دارن که از همدیگه جدا میشن. که اینها بهشون میگن indicator of attack با IOC یکم فرق داره که میشه malware و IP و هش و تکنیک هایی که استفاده میکنن. این حملاتی که استفاده میکنن رو وقتی استفاده میکنن از چه command هایی استفاده میکنن. بیشتر ابزارهایی که خودشون دستی نوشتن که ساخت اکانت بوده و بعد هم ادمین دامین کردن بوده و chain اتکش هم execution از VBA و PowerShell استفاده میکردن مثل تمام APT هایی که بوده. این گزارش Mandiant من روی توییتر هم share کردم که اگر علاقه مند هستید ببینید TTP ش چی بوده میتونید از اون گزارش دانلودش کنید. 21 صفحه هست که آخرش تمام TTP ها رو گذاشته. من عرایضم رو اینجا تموم میکنم. میکروفون رو میدم خدمت داود جان.
ممنونم سهیل عزیز. من هم درود و عرض ادب دارم خدمت همه دوستان. امیدوارم هرکجا که هستید شاد و سلامت و تندرست باشید. ببخشید که نتونستم از اول اتاق درخدمتتون باشم. من یک اخباری که توی هفته گذشته روی اینستاگرام خودم منتشر کرده بودم. خلاصه ای از اونها رو سعی میکنم مرور کنم. معمولا اخباری که روی توییتر منتشر میکنم خیلی حجمش بیشتره و روی selective تر هم روی اینستاگرام هم میذارم که حالا دستچین شده باشه، جالب تر باشه. سورس اخبار رو میتونید از روی اکانت اینستاگرام یا اکانت توییتر من چک کنید.
هفته ای که گذشت یکی از افرادی که در حوزه امنیت اینترنت فعالیت خیلی زیادی داشت، پیتر اکزلی فوت کرد. ایشون یکی از حامیان بحث رمزگذاری روی فضای اینترنت بود. بحث SSL و حالا همون Certificateی که روی http استفااده میکنید. کانشکشن هاشون https بشه. من این بارها در جاهای مختلف گفتم که تلاش های زیادی رو بنیادهایی مثل الکترونیک فاندیشین انجام دادن. کیس های زیادی رو به دادگاه بدن علیه دولت. دولت آمریکا که اجازه بدن بحث encryption اطلاعات انجام بشه و درنهایت تونستن این رو قانون کنن. اگر اشتباه نکنم در زمان بیل کلینتون این قانونش امضا شد و به اجرا گذاشته شد. یکی از افرادی که توی این حوزه خیلی فعالیت کردن از لحاظ فنی و خصوصی، پیتر اکزلی بود که هفته گذشته فوت کرد.
یک خبر جالب دیگه شاید درمورد بازداشت جوانی در کره جنوبی بود که اقدام میکرد به هک دوربین منازل شهروندان کره جنوبی که این رو ظرف سال های 2021-2022 چیزی نزیک 7 هزار ویدیو رو ریکورد کرده بود. از تصاویری که داخل منازل این افراد بود. اکثرا افراد شاید در خونه هاشون مخصوصا منازل جدا و خارج از آپارتمان ها هستن، از دوربین هایی برای بحث امنیت خونه استفاده میکنن. بعضا شاید داخل خونه. این میتونه مورد سواستفاده قرار بگیره. خود کره جنوبی روی بحث دوربین هایی که در اماکن عمومی یک عده میان ازشون استفاده میکنن. حتی در دستشویی های عمومی این یک چالش بزرگی شده تو خود کره جنوبی و هم از نظر فرهنگی و هم از نظر قانونی کشور خیلی داره روی این قضیه سرمایه گذاری میکنه که جلوی ضبط و انتشار همچنین ویدیوهایی رو بگیره. مشکلات روانی زیادی رو میتونه برای افراد مختلف به همراه داشته باشه و سر همین قضیه هم این شخص رو بعد از اینکه بازداشت کردن 4 سال براش جکم زندان دادن و به عنوان example برای افرادی که شاید تو این حوزه کار میکن، چون زمان کمی هم نیست. مخصوصا تو کشور آزاد و دموکراتی مثل کره جنوبی.
خبر دیگه بحث TikTok بود. حالا ممکنه بعضی از این اخبار رو سهیل جان گفته باشه، ببخشید اگه دومرتبه بهش اشاره میکنم. خب TikTok بحث Data Bridge خیلی بزرگی رو سورس های مختلف خبری بهش اشاره کردن. البته خود TikTok تا جایی که من یادمه تکذیب میکرد. یکیشون من اکانت سایبر سکیوریتی بود من دیدم یکسری از فایل های اینودیبی که روش بوده رو پابلیش کرده بود که توصیه کرده بود یوزرها اگه میخوان تحت تاثیر قرارنگیرن حتما Two factor authentication رو برای اکانت های خودشون فعال کنن.
بحث دیگه خبر جالب در مورد مقاله ای بود که من دیدم یک گروه از دانشجویان دانشگاه مونیخ آلمان این رو منتشر کرده بودن درمورد اون سرویس iCloud provide که اپل فکرمیکنم یک سال پیش این سرویس رو ارائه داد و گفت که داره روی browser خودش یک اوردلید نتورکی میذاره که این میاد و کل ترافیک کاربر رو encrypt میکنه و لایه ای روی اون بستری که telecom provider یا mobile provider گوشی شما به شما میده یا internet provider تون میده تا این بحث privacy رو ببره بالا. ولی عملا خب بیشتر میخواد کنترل دیتا دست خودش باشه و اون شرکت و تلکام نتونن از این استفاده کنن برای بحث تارگت advertisement و این گروه اومده بود بررسی کرده بودن متوجه شده بودن که این آدرس هایی که استفاده شده تحت شبکه ای تعداد محدودی لیست در حدود 1500 مثلا IP برای ورود و خروج به این شبکه استفاده شده و حالا اگه یک نهادی بخواد این IP ها رو بلاک کنه، که ایجاد اختلال کنه در عملکرد browsing کاربران اپل که دارن از این بستر استفاده میکنن، این میتونه مورد سواستفاده قرار بگیره و همچنین متوجه شدن که این اطلاعات فقط روی investiture اپل انتقال پیدا نمیکنه. بلکه روی بستر شرکت های دیگه ای مثل آکامین داره ازش استفاده میشه و حتی شرکت هایی مثل Cloudflare هم این اطلاعات رو میتونن بهش دسترسی داشته باشن. که این خلاف ادعایی هست که اپل از اول کرده بود که این کامل تحت زیرساخت اپل این ترافیک تراورس میشه. گارانتی کردن بحث privacy یه مقدار براش سوال مطرح میشه. برخلاف اون ادعایی که اول اپل اومده بود انجام داده بود. یک گزارشی رو هم شرکت safe bridge منتشر کرده بود درمورد بدافزاری که گویا کاربران ایرانی رو مشخصا هدف قرار داده بود، که حتی یکسری از کاربران در سایت هایی مثل دیجی کالا وموارد مختلف داخل ایران که اینها از این بدافزار استفاده میکردن بیشتر برای کپچر کردن اطلاعات. یک اکسپلویتی در مایکروسافت به اسم ddexploit که کد خود این بدافزار هم جالبه روی گیت هاب منتشر شده بود. قابلیت RAT یا Remote access trojan هم این بدافزار هم داشته و جزئیات جالبی توی این گزارشی که شرکت Safe bridge منتشر کرده درمورد این بدافزاری که مشخصا برای کاربران ایرانی استفاده شده بود، هم عنوان شده.
درمورد بحث دولت آلبانی و اون هکی که شده بود رو سهیل جان کامل کاوریج دادن براش. یکی دو خبر دیگه که بخوام اشاره کنم، درمورد هک گسترده ای بود که مدارس لس آنجلس انجام شده بود. یکسری حملات باج افزاری به مجموعه ای از مدارس ناحیه شهری لس آنجلس هستن که این حملات در آمریکا خیلی مرسوم هست. یعنی حملات باج افزاری که داره مدارس انجام میشه، بخاطر اینکه مدارس معمولا سیستم های قدیمی دارن. بودجه زیادی ندارن و اون سیستم های امنیتیشون خیلی ضعیف هست. تارگت خیلی خوبیه برای هکرها. بخاطر اینکه بلافاصله اگه این سیستم ها رو بیان رمزنگاری کنن، قادر هستن مجبور کنن اون سازمان ها و نهادها رو که پولی پرداخت کنن بهشون تا بتونن سیستم ها رو به حالت اول برگردونن. ولی حالا توی این کیس گویا، مخصوصا حمله زمانی انجام شده بود که تو long weekend بوده توی آمریکا فکرمیکنم تعطیلات روز کارگر بود و گویا تا حدی یکسری از این سیستم ها تونسته بود ریکاور بشه و یجوری ابعادش رو تونسته بودن کنترل کنن.
خبر دیگه درمورد خود اینستاگرام بود. یک جریمه نسبتا سنگینی 400 میلیون دلاری رو دلار ایرلند علیه اینستاگرام تعیین کرده بود که گویا این جریمه بخاطر این بوده که یک تحقیقی یکسری از محققین انجام داده بودن و متوجه شدن بودن اینستاگرام داره اطلاعات خصوصی بچه ها رو (افرادی که under age هستن) منتشر میکنه به advertiser ها این بار اول نیست. این ها معمولا بخاطر بحث privacy regulation اروپا همیشه تعهد میدن که این قوانین رو دنبال میکنن ولی درعمل خیلی از این قوانین زیرپا گذاشته میشه تا زمانی که یک مدارکی دال بر این به دادگاه ارائه بشه و دادگاه هم جریمه های سنگین اعمال کنه. نکته جالب اینه که بعد از همه این جریمه های سنگین مثلا چند صد میلیون دلاری باز هم می بینید اینها این کار رو چراغ خاموش انجام میدن. چون اون سود سرشاری که داره از اون advertisement به اینها میرسه چندین برابر شاید جریمه های باشه که داره پرداخت میشه. بخاطر همین داستان همیشه کم و بیش وجود داره. در مورد the north face هم جالبه. یک شرکت ……… هست توی آمریکای شمالی خیلی شناخته شده هست. من حتی من دیدم یکسری از لباس ها تو دیجی کالا هم به فروش گذاشته بودن. این برند گویا حجمی نزدیک 200 هزار تا از اکانت هاش از طریق وبسایتهای این شرکت هک شده که مثلا اطلاعات پرسنلی افراد، مثلا نام، شماره تلفن، ایمیل، آدرس منزل و خیلی چیزهای دیگه منتشر شده بود. حالا معمولا بعد از همچنین داستان هایی اگر اون افرادی که ضرر دیدن یک کیس حقوقی ببرن دادگاه قطعا اینها باز مجبور به پرداخت جریمه میشن. حالا ممکنه یه زمانی طول بکشه ظرف یکی دو سال ولی درنهایت بخاطر اون درز اطلاعاتی و آسیبی که شاید اینها دیده باشن، کیس هایی که معمولا حتی یکسری شرکت هایی هستن که تقبل میکنن بدون هیچ هزینه ای این کیس ها رو ببرن دادگاه و بعد از اون جریمه ای که از این شرکت ها گرفتن، یک بخشیش رو به عنوان کار حقوقی خودشون هزینه دریافت میکنن. به احتمال زیاد شاهد این داستان خواهیم بود.
کنفرانس استیل کان که یک کنفرانس تو حوزه security هست، من یکسری از ویدیوهاش رو لینکش رو شیر کرده بودم. اگر دوستان علاقه دارن ویدیوهای ای کنفرانس رو ببینن میتونن از اکانت اینستاگرام یا توییتر من این داستان رو ببینن.
خبر دیگ درمورد بحث هک عکس infinity بود. توسط هکرهای کره شمالی گروه Lazarus صورت گرفته بود. یه چیزی اگه اشتباه نکنم 500 میلیون دلار یکی از بزرگترین هک هایی بود که تو کریپتو صورت گرفته بود. گویا اخیرا شرکت چین الیسیس که یکی از شرکت هایی هستش که تو بحث track کردن تراکنش های کریپتو خیلی فعال هست با نهاد های قانونی آمریکا همکاری خیلی زیادی داره، تونسته این مبلغ نیم میلیارد دلار ، 30 میلیون دلارش رو ریکاور کنه. متوجه شده بود که به اکانتی وصل میشده که والتی که منتسب به گروه لزروس بوده و توی بلاگ پستی این چین الیسیس این رو اومده توضیح داده. این باز بحث ایننمس بودن توی پلفتفرم های کریپتو هست که من بارها درموردش صحبت کردم. یک ویدیو هم درمورد همین داستان مشخصا تهیه کرده بودم. اینکه شما دارین با کریپتو بیت کوین پرداخت میکنین توهم این رو داشته باشین که قابل track کردن نیست. این روش های مختلفی وجود داره که میتونن track کنن. حتی اگر شما اکانت های ناشناس داشته باشید از طریق چندین والت دارین این کارها رو انجام میدین. اون رمزارزهایی که خیلی کار رو پیچیده میکنن مثل مونرو مشکلشون شاید این باشه که خیلی قابل track کردن نیستن. خیلی سخته track کردنشون. مشکل اصلی اینه که خیلی از کریپتو اکسچنج ها ساپورتشون نمیکنن بخاطر همین بحث عدم شفافیتی که دارن. در این خصوص از کریپتوی دیگه استفاده کرده بودن برای جابجا کردن و تا حدی تونستن به مبلغی در حد 4-5 درصد کل اون مبلغ اصلی رو تونستن ریکاور کنن که مشابه این رو برای داستان کلونین پایپلاین هم اتفاق افتاد. یعنی FBI تونست بخشی یعنی چند میلیون دلار از رمزهایی که پرداخت شده بود رو بتونن ریکاور کنن. این یکسری از اخبار بود که میخواستم با دوستان به اشتراک بذارم. حالا اگر مطلبی یا سوالی هست ممنون میشم بشنویم، ممنونم
خیلی ممنون داود جان. دوستان اگه صحبتی دارن، اخباری دارن یا مطلبی دارن میتونن بیان بالا یا بصورت متنی به ما پیام بدن. سهیل جان ، دکتر جان اگر مطلبی نیست اتاق رو کم کم به پایان برسونیم.
نه مهدی جان مطلبی نیست. امیدوارم که هفته خوبی داشته باشید. شب و روزتون بخیر
خب خیلی ممنون سهیل جان داود جان، ممنون از همه شما دوستان عزیز که همیشه همراه ما هستید، باز هم توضیح همیشگی رو به دوستانی که تازه به جمع ما اضافه شدن بدم. هر هرهفته شنبه شب ها ما اخبار امنیت سایبری رو در اتاقی تحت همین نام کلاب peneter پوشش میدیم. اگر مایل بودین خود کلاب peneter ، سخنرانان و شبکه های اجتماعیشون رو فالو کنید تا از زمان دقیق تشکیل اتاق ها باخبر بشید. اگر هم علاقه مند به شنیدن جلسات برگزار شده خود کلاب هستین از طریق replay خود کلاب و کانال یوتیوب یا بلاگ ما به آدرس peneter.com میتونید به فایل صوتی این جلسات دسترسی داشته باشید. امیدوارم که در هفته های آینده هم درخدمتتون باشیم. لحظات خوب و خوشی رو براتون آرزومندم. شب و روزتون خوش

درود و عرض ادب دارم خدمت همه ی دوستان و عزیزانی که در اتاق هستند. امیدوارم هرکجا که هستید شاد و سلامت و تندرست باشید. با چهل و پنجمین اتاق از مجموعه اخبار سایبری تحت کلاب پنتر این هفته هم در خدمت دوستان عزیز هستیم. خب از هفته گذشته ما یک تغییری رو در برنامه ی هفتگی خودمون داشتیم. اشاره ای شده بود قبلا که ما از این به بعد غیر از بحث مرور اخبار سایبری هفتگی ایران و جهان، روی یک موضوع خاص هم صحبت هایی رو خواهیم داشت. حالا بصورت دقیق تر ما جزئیات رو بحث خواهیم کرد. که هفته گذشته با اولین تاپیکی که انتخاب شده بود، بحث Revenge porn بود. این هفته موضوع Social Engineering سهیل عزیز مطالبی رو خدمت دوستان ارائه خواهند کرد و حالا اگر فرصت بشه بحث پرسش و پاسخ هم در انتهای بحث خواهیم داشت. من برای آغاز بحث سعی میکنم یک مرور کوتاهی روی یکسری از مهمترین اخباری که تو حوزه سایبری در هفته گذشته اتفاق افتاد داشته باشیم. البته حجم اخبار خیلی زیاده، من یه موارد خاصش رو دستچین کردم. اگر علاقه داشتید که اخبار بیشتری رو ببینید اکانت سوشال مدیای توییتر من یا سهیل عزیز رو اگر دوستان دنبال کنید، می تونید اطلاعات بیشتری رو به همراه منابع خبری اخباری که انتشار پیدا کرده رو ببینید. خبری که هفته گذشته سروصدا کرد در مورد بحث یه حمله باج افزاری به دولت شیلی بود. با این خبر شروع می کنم. در آمریکای جنوبی ما حملات باج افزاری زیادی رو طی سال گذشته شاهد بودیم. کشورهایی مثل آرژانتین ، برزیل، کاستاریکا، مونته گر، پرو، حتی آرژانتین اگه یادم باشه یکسری از اطلاعات فردی لیونل مسی و یکسری از بازیکنان تیم ملی آرژانتین درز پیدا کرد روی اینترنت و حملات باج افزاری مختلفی روی این پلتفرم ها در زمان های مختلفی صورت گرفته بود.. و حالا در یکی از آخرین ها که روی دولت شیلی صورت گرفته بوده، در 25 آگوست ماه گذشته (کمتر از یک هفته پیش) اینها تونسته بودن به یکسری از سیستم های یکی از نهادهای دولتی (دولت شیلی به جزئیات بیشتری اشاره نکرده) ولی تایید کردن که یک مجموعه از سرورهای این نهاد دولتی که اطلاعات خاص و مشخصی از اپلیکیشن های دولت شیلی بوده، اینها رمزنگاری شده و Encrypt شده توسط هکرها و درخواست باج کردن برای پرداخت صورت بگیره. سرورها هم سرورهای گویا VMware ESXi که احتمال زیاد یک مجموعه VM روشون بوده. یک خبر دیگه اون خبری بود که یک قانونی رو در انگلستان گویا دولت انگلستان داره تایید می کنه در مورد این بحثی که بخوادMobile Provider ها یا کلا شرکت های مخابراتی که در انگلستان هستند، بحث Security Control ها رو براشون خیلی سفت و سخت تر اعمال کنه. از این لحاظ که حالا اگر اطلاعات کاربران به بیرون درز پیدا کنه. حتی بحث Availability سرویس خیلی مهمه. اگر این سرویس ها از دسترسی خارج بشن، اینها باید یک جریمه نسبتا سنگینی رو پرداخت کنن که جالبیش این بود که توی گزارش که من دیدم از خود دامنه gov.uk مال دولت انگلستان منتشر شده بود. اصل خبر رو هم publish کرده بودن، که اون جریمه میتونه تا 10 درصد گردش مالی اون کمپانی باشه. و تا 100 هزارپوند در روز اینها میتونن جریمه بشن، اگر بخاطر سهل انگاری در بحث امنیت اطلاعات مشتریانشون به بیرون درز پیدا کنه. یا بعضا بحث های Privacy یا track کردن مشتریان هم کیس های زیادی بوده که اینها جریمه شدن. حتی یکی از جریمه هایی که هفته گذشته سروصدا کرد و جالب بود مربوط به پارلمان نروژ بود. یعنی دولت نروژ اومده بود پارلمان نروژ رو جریمه کرده بود. یه مبلغی نزدیک 200 هزاردلار اگه اشتباه نکنم بخاطر اینکه اینها گویا یکسری از سرورهاشون هک شده بود و بعد از بررسی هایی که کرده بودن، دیدن استانداردهای کنترل های امنیتی که تعریف شده بود از طرف دولت نروژ، اعمال نشده بود. و بخاطر همین هم این هک صورت گرفته بود.
درمورد آسیب پذیری TikTok هم Microsoft گزارشی رو منتشر کرد. روی پلتفرم اندروید که میتونن مهاجمین بیان یکسری از اکانت ها رو Takeover کنن از طریق کلیک کردن روی یک لینک آلوده. Browser هایی که داخل خود اپلیکیشن ها وجود داره. یک خبر دیگه درمورد Flashpoint Intelligence یک نهادی هست که میاد هر از چندگاهی گزارش هایی مخصوصا تو حوزه کریپتوکارنسی من دیدم که پابلیش میکنه و یک گزارشی رو اخیرا منتشر کرده بود. اول شاید شما بخونید به نظر غیرواقعی بیاد. ولی وقتی من جزئیاتش رو نگاه کردم گویا درست بوده که یک شخصی در روسیه بخاطراینکه 16 دلار اومده بود دونیت کرده به کمپین ضدفساد الیکسا ناوالین که درواقع مخالف دولت پوتین هست، و این شخص رو بازداشت کردن. حالا این الیکسا ناوالین چهره ایه که خیلی سروصدا کرد. میدونید که تو اخبار خونده بودیم که مسموم شده بود بوسیله آژانس های اطلاعاتی روسیه. میره آلمان و دومرتبه برمیگرده روسیه محاکمه میشه. الان در زندان هست. حتی یک کیس جالب دیگه درمورد این، این بود که FSB یا آژانس اطلاعات امنیت روسیه اومده بود از Deep Fake استفاده کرده بودن که خودشون رو جای ناوالین جا بزنن تا در مکالماتی که تحت اسکایپ با نمایندگان پارلمان اروپا داشتن بتونن از اینا اطلاعات بگیرن. دور و بر این بنده خدا اخبار عجیب غریب زیاد میشنویم. ولی بحث دونیشن 16 دلار به کمپین ضدفساد توسط یکی از طرفدارانش که این شخص هم بازداشت شده، بخاطر درز دیتابیسی بوده که صورت گرفته. دیتابیس به دست نیروهای امنیتی افتاده و اینها تونستن transaction ها ، اطلاعات تماس و یکسری جزئیات رو بدست بیارن و درنهایت اون شخصی که این دونیشن رو انجام داده پیدا کنن و بازداشت کنن.
یک خبری هم درمورد بلاروس بود. گروه هکری بنام بلاروسین سایبر پارتیزن . این گروه از زمان جنگ اکراین طرفدار اکراین بود. یعنی بین اکراین و روسیه اینها علیه بلاروس بودن. چون دولت بلاروس کلا پشتیبان پوتین و روسیه هست. اینها حملات زیادی رو انجام داده بودن. یکسری راه آهن کل بلاروس رو دچار اختلال کرده بودن. آخرین کاری که اینها هفته گذشته کرده بودن، گویا کل اطلاعات پاسپورت شهروندان بلاروس رو تونسته بودن از دیتابیس وزارت خارجه یا دولت بلاروس بدست بیارن. حتی مشخصات و شماره پاسپورت و تمام اطلاعات مربوط به چیزی که من روی اکانت توییترشون دیدم، از رئیس جمهور بلاروس منتشر کرده بودن و یکسری اطلاعات دیگه. که البته اینها باید وریفای بشه ولی خب روی این اکانت و چندین اکانت توییتر دیگه من دیده بودم که این رو تایید کرده بودن. این هم یک کار خیلی بزرگی هست. مخصوصا بدست آوردن اطلاعات پاسپورت خب خیلی میتونه مورد سواستفاده زیادی قراربگیره. و حتی این سران کشورها معمولا اگر اطلاعات پاسپورتشون درز پیداکنه، بلافاصله عوض میکنن. همون داستانی که درمورد نخست وزیر استرالیا اتفاق افتاد. که از طریق یکی از شهروندان استرالیا از طریق کارت پروازش که که این شخص توی اینستاگرام اومده بود عکسش رو گذاشت بود، تونسته بود بیاد شماره تماس و شماره پاسپورت نخست وزیر استرالیا رو بدست بیاره و درنهایت این رو اعلام کرد. سعی کردن این مشکل رو رفع کنن. و شماره پاسپورت ایشون رو عوض کردن.
این چند تا اخبار بود. حالا من برای اینکه نمیخوام وقت در واقع از دستمون خارج بشه، و در همون یک ساعت بمونیم، من تا همینجا بسنده می کنم. از سهیل عزیز میخوام که ادامه اخبار رو بگن و بریم سر موضوع اصلی. سهیل جان استیج در اختیار شماست.
خیلی ممنون داود جان، درود و عرض ادب خدمت تمامی دوستانی که در اتاق حضور دارن. من چندتا ددلاین رو روش تمرکز میکنم. اولین ددلاینی که برای من جالب بود، توی 25 اگوست اکانت وی ایکس آندرگرند از یکی از فروم های زیرزمینی یک داکیومنتی رو منتشر کرد که درمورد RC exploit روی iOS و گوشی های آیفون و اندروید و یکسری از گوشی های دیگه بود. این داکیومنت تا قسمتیش فنی بود و بعد قسمتی درمورد قیمتش بود که 8 میلیون دلار قیمت این مجموعه اکسپلویدها بودش که شرکت اینتلکسا که یک شرکت اسپانیایی هستش، این محصول رو میفروخت. خیلی سروصدا کرد توی هفته گذشته. حالا تحلیلی که من درموردش خوندم که مدیستون لیدرگروه Google Zero Project هست، تحلیلی درمورد داکیومنت اینتلکسا کرده بود. اشاره کرد که اولا این 8 میلیون واسه 10 تا دیوایس بوده که بعضی ها میگفتن فقط واسه iOS هست. درمورد ورژن iOS اومد توضیح داده، طبق داکیومنتی که توضیح داد بود، اینتلکسا فقط ورژن 15.4.1 رو میتونست بصورت آرسی بزنه، تا 16 می بود که پچ واسش اومدش. که از اون به بعدش رو شرکت نمیتونست ساپورت کنه. یعنی توی این داکیومنت نبوده.
درمورد Android Zero-day ها هم صحبت کرده بود که حالا یکسری zero-day هایی که کشف شده از کیت اندروید، به تاریخ انتشار Security Update هم اشاره کرده بود. حالا این پک exploit kit تا ماه می قابل استفاده بوده. حالا اگه بعدش آپدیت داده باشه شرکت اینتلکسا، مشخص نیست هنوز.
بریم سراغ ددلاین بعدی، 26 آگوست درمورد Security Bridge شرکت LastPass صحبت کرده بود. منتهی خبرش خیلی پیچید که LastPass هک شده پسوردهاش. اما من چیزی که پیگیر بودم این بود که هکرهایی که دسترسی گرفتن بودن از LastPass پسوردی توی سرورها نبوده که بخوان ازش سواستفاده کنند. صرفا دسترسی به شبکه گرفتن و هیچ دسترسی به پسوردها یا hash اون پسوردها حتی نداشتن. یعنی هیچ پسوردی از سمت LastPass ذخیره نمیشه. این دو خبری بود که از نظر من جالب بود. حالا خبرهای دیگه ای هم هست که میتونید از تویتتر داود جان وتوییتر من دنبال کنید. میریم سراغ بحث اصلیمون.
طبق نظری که با دوستان داشتیم قرارشد که ما هرهفته یک موضوع سایبری رو بررسی کنیم. هفته پیش درمورد Revenge pornبود. این هفته درمورد Social Engineering هست که نامربوط هم نیست با Revenge porn . و Social Engineering رو شاید خیلیهاتون شنیده باشین ولی خب من سعی میکنم که یکسری تعاریف رو بدیم و یکسری تکنیک ها رو درموردش صحبت کنم بصورت فنی و هم بصورت تاریخچه روش های مهندسی اجتماعی. که یک مجموعه درکنار همدیگه داشته باشیم. خب اولا یک تعریفی درمورد مهندسی اجتماعی بدم.
مهندسی اجتماعی درواقع هنر فریفتنه. که از مجموعه روش هایی استفاده میکنه که با دستکاری اختیارات manipulation of authority افراد اقدام میکنه افراد رو مجبور میکنه که یک عمل غیرمجاز رو انجام بدن. حالا بالاترین سطحش این میشه که اجازه میده فرد یا همون هکر وارد سیستمش بشه. و این دستکاری معمولا هدفش چندین عامله. احساسات آدمها هستن، احساس ترس، طمع، از دست دادن فرصت و.. و حالا بعضی موقع ها احساس میکنه اگه به یه نفر تو موقعیتی یک احساس خوبی بهش دست میده. و بیشتر مواقع که این احساسات به آدمها دست میدن و موجب میشن که یکسری اطلاعات محرمانه بدن که ممکنه اطلاعات شخصی خودشون باشه. یا اطلاعات محرمانه شرکتشون باشه. همه اینها بخاطر عدم دانش و آگاهی سایبری هستش.
بریم روی تاریخچه مهندسی اجتماعی. مهندسی اجتماعی اگر خیلی شنیده باشید فکرمیکنید که از زمان ……….. بوده. ولی خیلی قبل تر از اون بوده. اگر بخوایم بیایم جزو legend های این قضیه رو بررسی کنیم، اولین کسی که از مهندسی اجتماعی استفاده کرد فراند ابنیگل بودش که شاید فیلم Catch …………. رو شما دیده باشین. سال 1960 این فرد اومدش خودش رو با روش …………. یعنی خودش رو جا میزد با عنوان شغل های دیگه. به عنوان خلبان، دکتر و وکیل. که بعدا توسط FBI دستگیر شد و جزو کارشناس FBI شد. بعدتر اگر بخوایم بیایم توی هدلاین تاریخی مون میایم برمیخوریم به شخصی بنام الی کوهن که شاید خیلی به گوشتون خورده باشه. این شخص یک مامور رد بالای موساد بوده که سال 1967 از همون روش ………. یعنی خودش رو جای شخصی بنام ………… جا زدش و تونست به بالاترین سطح سیستم دفاعی سوریه که میشه وزارت دفاعش دسترسی پیدا کنه وزیر دفاع بشه و حالا اگر علاقه مند هستید میتونید سریالی رو Netflix اگر اشتباه نکنم درست کرده بنام ………….. که درمورد تاریخچه اینکه الیکوهن چجوری تونست اون کارو انجام بده. یعنی از روش ………. استفاده کنه و این کارها رو انجام بده. و این هم جزو تکنیک های مهندسی اجتماعیه. بیایم جلوتر میخوریم به آقای Kevin Mitnick. تفاوت آقای Kevin Mitnick.با افراد قبلی این بودش که فردی بودشش که علاقه مند بود به تکنولوژی دنیای سایبری. و تقریبا تو اون سالهایی بود که افراد زیادی تو حداقل کشور آمریکا تو حوزه سایبری فعالیت میکرد. تو حوزه هک تلفن ها، هک رادیو و کارهای جالبی تو این حوزه ها میکردن. توی اون موقعین قرارگرفتن آقای Kevin Mitnick.و درکنار دوستانش قرارگرفتن و اون کنجکاوی که این فرد داشت و حالا رفتاری که تو محیط باهاش شد. از طرف خانواده باعث شد که به سمتی سوق پیدا کنه که الان می بینیم که آقای Kevin Mitnick. یک پیوتی توی تاریخ هست که Social Engineering رو همه اومدن شناختن. یعنی مهندسی اجتماعی رو با آقای Kevin Mitnick. الان می شناسن. حتی تو کتابهای …………ماژول Social Engineering رو وقتی میان تدریس میکنن، درمورد آقای Kevin Mitnick. صحبت میکنن. و حالا اگر این هدلاین رو بریم جلوتر و تایم لاین 2011 بیایم شرکت RSA توسط فیشینگ اتک هک شد و هکر تونست دسترسی پیدا کنه به Two Factor Authentication که از طریق فیشینگ بود که جلوتر میگیم فیشینگ چی هستش. بعد توی تایم لاین 2013 ارتش سایبری سوریه اقدام به هک کردن Associated Press کرد. وقتی اکانت توییترش رو هک کرد یک خبری گذاشت درمورد بمب گذاری توی white house و زخمی شدن باراک اوباما. سال 2013 با استفاده از متد فیشینگ شرکت تارگت هک شد و 40 میلیون credit card به سرقت رفت. جلوتر بیایم یک سریالی رو ما داشتیم بنام مستر ربات که سال 2015 بود. که میاد توضیح میده درمورد شخصی بنام الیوت که هکری هست که صبح ها وایت هت هست. در شرکتی کار میکنه و کارش جلوگیری از حملات سایبریه. شبها هم بلک هته و شروع میکنه به هک کردن. تمام متدهایی که این شخص استفاده میکنه، خارج از بحث اکلسپلوتینگ با استفاده از دیوایس هایی که استفاده میکنه توی سریال. همه اون روشها ، مجموعه تکنیک های مهندسی اجتماعیه.
حتی سال 2015 وزارت کار آمریکا از طریق حمله watering Hole هک شد. و بخاطر آسیب پذیر بودن ………. تونستن وبسایت ها رو آلوده کنن و هرکسی که اون سایت رو باز میکرد، بصورت اتوماتیک میرفت توی سیستمش نصب میشد. حالا بریم یکم درمورد تکنیک های مهندسی اجتماعی صحبت کنیم. بعد برمیگردیم درمورد آقای Kevin Mitnick صحبت میکنیم.
تکنیک های مهندسی اجتماعی
مهمترین و اصلی ترین تکنیک شخصی که بخواد مهندسی اجتماعی انجام بده استفاده از روش های Open-source intelligence (OSINT) . تکنیک هایی هست که میشه با اون اطلاعاتی رو از سه سطح اینترنت جمع آوری کرد. اینترنت هم یه Surface Web داره هم Dark Web و هم Deep Web. و خیلی از ما روزانه فقط از Surface Web استفاده میکنیم. و خبر نداریم که توی Dark Web و Deep Web چه اطلاعاتی از ما منتشر شده و گهگاهی پیش میاد که خیلی از این اطلاعاتی که توی Dark Web و Deep Web منتشر میشه بعد از یه زمانی توسط یه شخصی میاد توی توییتر گفته میشه. و مشخص میشه که فلان سازمان یا فلان شرکت هک شده و مثلا 80 میلیون رکورد توسط شرکت ایرانی پابلیک شده. اولین متد مهندسی اجتماعی متد Pretexting هستش که شخصی که میخواد مهندسی اجتماعی انجام بده با استفاده از اطلاعاتی که توی OSINT بدست آورده میاد یه سناریویی رو customize میکنه برای اون فرد. که حالا این سناریو میتونه برای تایید یه نفر باشه. یعنی از طرف بانک بهش زنگ میزنه برای یه تراکنش مالی نیازمند این هستیم که شمارو تایید کنیم. و شما باید detail حسابتون رو بدین. و خودتون رو تایید هویت بکنید. که با استفاده از بدست آوردن این اطلاعات، میتونه دسترسی پیدا کنه به شبکه های اجتماعی یا حتی خود بانک که این اتفاق توی تاریخ افتاده. سال 2015 مدیر وقت CIA توسط هکرها هک شد. هکرها اول اومدن خودشون رو جای ……… جا زدن و اقدام کردن به گرفتن اطلاعات از شخص جان بران و با استفاده از همون اطلاعاتی که گرفتن تونستن اکانت AOL مدیر وقت CIA رو تو سال 2015 هک کنن. بزرگترین متدی که سالانه میلیاردها دلار ضرر میزنه، متد فیشینگ هستش. متد فیشینگ مجموعه ای از چندین متد هست. گاهی اون شخص هکر با استفاده از سیستم VOIP تماس میگیره و شروع میکنه با شما صحبت کردن. و یکسری اطلاعات فردی میگیره برای اینکه بخواد با شما مصاحبه کنه با سازمان بر اساس اون تم مهندسی اجتماعی که هکرها ازش استفاده میکنن، سناریوها میتونه متفاوت باشه. یا از طرف بانک یا کارفرما زنگ میزنه. فیشینگ میتونه از طریق ایمیل باشه، خیلی بهش برخوردیم. خیلی ساله که حتی Email gateway ها هم سخته براشون بخوان ایمیل فیشینگ هارو بصورت 100% بگیرن و خیلی از سازمان ها الان توسط همین روشها دارن هک میشن. و این سازمانها، سازمان های رده بالا هستن. شرکت های معمولی نیستن. حتی APT Group ها از این روش ها استفاده میکنن. بعد SMS فیشینگ که توی ایران خیلی زیاده. معمولا SMS ی به فرد داده میشه که اپلیکیشن رو از سمت adliran نصب کن. یا نیازمند تراکنش هست برای اینکه یه حکمی بر علیه یک فرد ثبت شده که اگه بخواد اون حکم رو ببینه نیازمند پرداخت هست. و بعد متد Spear phishing میاد برعکس فیشینگ تعداد خاصی از افراد رو هدف قرار میده. ولی فیشینگ مثل یه ماهیگیر میمونه که تور ماهیگیری رو خیلی بزرگ میندازه و هرچیزی که صید کنه، صید کرده و براش مهم نیست که مدیر سازمان رو بزنه یا حتی فرد عادی. ولی Spear phishing فقط یکسری افراد رو مورد هدفشون قرار میدن و این افراد با توجه به Pretexting که آماده کردن هر فردی سناریوی خاص خودشو داره واسه ارسال ایمیل. یکی ایمیل job هست، یکی ایمیل پیشنهاد سفر با قیمت ارزونتر یا خرید خونه. هرکسی تمش فرق میکنه. و بعد ……. افرادی که دسترسی خاص به سازمان دارن یا حتی افراد government هستن حتی افراد امنیتی هستن که اونارو هکرها مورد هدف قرارمیدن که بتونن از گوشیشون یا سیستم شخصیشون دسترسی بگیرن. بعد از این متدها، متد Watering Hole متدی هست که خیلی بیشتر ………….. ازش استفاده میکنن. میان سایت هایی که بازدید بالایی دارن ازش دسترسی میگیرن یا exploit kit شون رو نصب میکنن رو سایت یا اینکه فایلهاشو آلوده میکنن تو سایتهای download media یا حتی سایت های معروفی که مثلا فرض کنید که یک media مثل VLC که پلیر بصورت رایگان دارن ارائه میکنن. که همین چندوقت پیش خبرشو شنیدیم که VLC آلوده شده بود. از این متد استفاده میکنن برای مورد هدف قراردادن افراد. یه متد بعد از اون شاید شما تو سریال مستر ربات هم بهش برخورده باشین، متد Baiting هستش. متد Baiting که حالا تله ای میذارن معمولا برای افراد، به اینصورت هست که میان از فلش های آلوده استفاده میکنن و یکسری فلش رو میگیرن و درواقع آلوده ش میکنن به exploit و این فلش ها رو درکنار درب ورودی سازمان یا واحد خاصی یا محیط اطراف سازمان قرارمیدن و افرادی که حس کنجکاویشون زیاده یا خیلی دوست دارن بدونن این فلش های گم شده توش چی هست، ممکنه این فلش رو ببرن وارد سازمانشون کنن. اگه فلش ممنوع نباشه، توی سریال مستر ربات هم این رو دیده بودین. یا اینکه معمولا این افراد که حس کنجکاویشون بالاست، این فلش هارو میبرن به سیستم های شخصیشون میزنن که بعدها ممکنه ازشون اطلاعات شخصی یا حتی فیلم های شخصی بیرون بیاد. متد بعدی که توی ایران خیلی بکار اومده، شرکت های بازاریابی استفاده کردن، که شمار برنده شدین ، متدی هست بنام quid pro quo . این متد براش مهم نیست که دامنه اون قربانیان کی هستش. یه لیست بلندی از شماره تلفن ها داره و شروع میکنه زنگ زدن. سناریوش هم یکیه. برای هرکسی سناریو درنظر نگرفته و منتظره یک نفر تو تورش بیوفته. و حالا اون یه نفرکه توی تورش میوفته با این سناریو که شما برنده شدین و این جایزه خیلی خاصه. فقط کافیه شما هزینه ارسال رو پرداخت کنین. که این متد در واقع توسط کلاهبرداران استفاده میشه. اگر هکرها بخوان از این متد استفاده کنن معمولا بعد از هک کنن سیستم VOIP سازمان رو. شروع میکنن به داخلی های سازمان تماس میگیرن و خودشون رو به عنوان پشتیبان معرفی میکنن. و بالاخره یکی پیدا میشه که با سیستمش مشکلی داره. و بعد از اینکه دسترسی میگیرن از سیستمش با اجازه اون فرد، میتونن وارد شبکه سازمان بشن از طریق VOIP و ادامه ماجرا. یا حتی متدی داریم بنام honey trap که معمولا هکرها پیش میاد که از این متدها استفاده میکنن. خودشون رو جا میزنن جای سلبریتی و توی سایت های dating خودشون رو جا میزننن جای اون سلبریتی و سعی میکنن ارتباط برقرار کنن با اون فرد خاص. که حالا اون فرد خاص از متد OSINT استخراج شده از سازمانی که این فرد توی سازمان خاصی هستش و بعد از اینکه وارد رابطه با اون فرد میشن، سعی میکنن اطلاعات اون سازمان رو از این فرد استخراج کنن. دو تا متد داریم که خیلی شبیه به هم هستن. شاید با همدیگه اشتباه گرفته بشن. متد ……….و متد……….. . این دو متد شاید تا الان بهش برخورده باشین. چون بر اساس آداب و رسوم ما هرموقع یک نفر دستش پر هستش و داره نزدیک میشه به در منزل یا جایی که شما دارید میریم تو. ممکنه شما در رو براش نگه دارید از روی احترامی که قائل هستین. که من بهش میگم کم دانشی هستش. و اون فرد رو راه بندین تو منزل یا تو شرکتتون. که این متد ………….. هستش. و حالا متد ……….. معمولا متدی هست که چند دلیل میتونه داشته باشه. اول اینکه یه نفر نمیدونه که یه نفر دنبالش افتاده. یعنی فرد سازمانی داره وارد سازمان میشه. میخواد از گیت رد بشه و من که هکر هستم، سعی میکنم کنار این رد بشم. حتی یک fake id هم دارم و موقعی که میخوام از کنارش رد بشم، نشون میدم. که security gate بذاره من رد بشم. اینکه اصلا security gate نداره و من فقط وانمود میکنم که همراه یک کارمند سازمان هستم و سعی میکنم وارد سازمان بشم. که این هم دلیلش کمبود آگاهی سایبری هستش. یعنی اینکه افراد سازمان بدونن که نباید هرکسی دنبالشون راه بیوفته بیاد توی ساختمون، یا نباید اجازه بدن که همچنین چیزی رخ بده، خب قاعدتا افرادی که تو حوزه ……………. نمیتونن براحتی وارد سازمان ها بشن.
متدی که شاید ازش شنیده باشین خیلی، متدی هستی هست بنام ……….. که معمولا هکرها میان از اون استفاده میکنن که یک fake alert از FBI یا CIA یا هر نهاد امنیتی میاد روی سیستمشون و میترسونتشون که شما یک فعالیت غیرقانونی انجام دادید. مثل ویروس FBI و مجابشون میکنه که دیگه نباید این کار رو انجام بدین، برای اینکه ما چشم پوشی کنیم باید غرامتی رو به فدرال بدین، یا به سازمان امنیتی ما بدین که ما چشم پوشی کنیم. متد ……… هست که شاید بهش بر خورده باشید.
متد دیگه ای هم شبیه این هستش که بهش میگن security software که معمولا از addons ها هستش، وقتی که روی سیستم شما نصب میشه ممکنه Alert روی سیستم شما بیاد که سیستم شما اینفکت شده. شما رو ریدایرکت کنه به سایتی که خدمات IT Security میده یک نفر باهاتون کانکت بشه تو چت و ازتون بخواد که درمورد اون error بهش بگید و بگه من میخوام بهتون کمک کنم که از این متد گروه هندی و پاکستانی استفاده میکردن برای گول زدن افراد مسن تو آمریکا. و اون ها رو مجاب میکردن که سیستم هاشون هک شده و با استفاده از ID Card شون میومدن گیفت کارت اپل یا آمازون میخریدن. متد بعدی که معمولا نهادهای امنیتی ازش استفاده میکنن، داونسن دایرینگ یا همون آشغال گردی هستش که سازمان ها یا شرکتهایی که هیچ مکانیزم امنیتی برای امحای اطلاعات ندارن، میان از اونها استفاده میکنن. اطلاعات رو استخراج میکنن. و از اون آشغال ها و ممکنه بعضی از این اطلاعات اسم برخی افراد سازمان باشه یا شماره حساب ها باشه. با استفاده از اونها بشه به اطلاعات دیگه ای دسترسی پیدا کرد. توی تاریخچه کارهایی که کرده، یکی از اینها تو سن 12 سالگی با استفاده از داونسن دایرینگ اومده سیستم تیکت لس آنجلس باس رو دور زده بصورت مجانی و بعد از اینکه بلیط ها رو پیدا کرده دوباره ازشون استفاده کرده بصورت مجانی میرفته از اتوبوس استفاده میکرده برای اینکه بره مدرسه. این متدی هست که متداوله، شاید کمتر به گوشمون خورده باشه.
یه متدی که شاید بعضیا آگاهی نداشته باشن و از روی عدم آگاهی میرم یکسری اطلاعات رو میدن به هکرها، متد فارمینگ هست. که حالا این متد در واقع میخوان دیتاست از افراد در حوزه های مختلف داشته باشن، مثلا دیتا ساینس، دیتا سکیوریتی، ادمین سازمان خاص و… و میبرنتون تو یکسری از سوالات و ازتون سوالات private میپرسه که مربوط به سازمان شما میشه. مثلا تو سازمانتون از کدوم فایروال استفاده میکنین. کدوم فایروال رو بیشتر استفاده میکنین. شبکه تون VLAN بندیه یا نه. چه نوعی VPN Server ی استفاده میکنین. اگر بخوان وارد سازمانی بشن، اینجوری میان اطلاعات رو جمع میکنن. حتی APT29 از متد فارمینگ استاده میکرد. هکرهای روسیه از متد فارمینگ استفاده میکردن. و شرکت های آمریکایی رو گول میزدن و یکسری از اطلاعات رو ازشون میگرفتن.
متد دیگه ای که الان خیلی مورد استفاده هست و کشور ما خیلی نسبت بهش آسیب پذیر هست متد Data Bridge هست. سایتهای زیادی که مربوط به سایت های دولتی ایران یا شرکت های خصوصی هستن، دیتای ایرانی ها رو دارند و این دیتاها تو سال های مختلف هک شدن و الان در دسترس هست. حالا این دردسترس بودن ممکنه پولی باشه. ممکنه بعضی ها رایگان باشه. ممکنه تو فروم خاصی باشه. ولی در کل کسی که کارش هک هست به هر روشی به اون دیتا میرسه. کاری که میکنه اینه که دسترسی به اون دیتابیس پیدا میکنه و با correlate کردن این دیتابیس ها، اطلاعات رو درکنار هم قرارمیده و از اون میتونه به آدرس خونه، اسم و فامیل، نام پدر، شماره شناسنامه، شماره حساب، پلاک ماشین، نوع ماشین، خرید و فروش خانه و همه اینهارو درکنار هم قرار میده و واسش pretexting یا سناریو آماده کنه. یا کلاهبرداری کنه یا اونو هک کنه و بعدا ازش یجوری پول بگیره.
متد دیگه ای که شاید خیلی بیشتر در موردش آگاهی رسانی شده باشه، متد ………… هستش که افرادی که معمولا میخوان هک کنن یا social engineer هستن سعی میکنن که پشت شما قرار بگیرن تا پسوردتون رو ببینن، وارد سازمان بشن.
بریم سراغ آقای Kevin Mitnick و ببینیم که از کجا شروع شد. هرکسی که با امنیت آشنا باشه، حتما اسم kelvin Mitnick به گوشش خورده. حالا بدون هیچ اغراق و تعصبی، آقای Kevin Mitnick جزو بزرگترین هکرهای دوران ما بوده. همونجور که اشاره کرد از متد داونسن دایرینگ استفاده کرده تو 12 سالگی و تونسته که کارت های اتوبوس های لس آنجلس رو دور بزنه و دسترسی پیدا کنه به روشی که بلیط اتوبوس ها مجانی باشه برای رفتن به مدرسه. در 16 سالگی تونست سیستم های مربوط به شرکت DEC رو هک کنه. بعد از اینکه سیستم ها رو هک کرد، دسترسی پیدا کرد به شماره تلفن هایی که administrator های اون سازمان بودن. و اینجا بود که در 16 سالگی شروع کرد به استفاده از متد مهندسی اجتماعی و زنگ میزد به تک تک این افراد و اونها رو مجاب کرد که پسورد پروژه رو بدن که مدیر پروژه اون موقع پسورد رو دو دستی تقدیم Kevin Mitnick کرد. با استفاده از اون پسورد وارد سیستم ها شد و سورس کدها رو دانلود کرد. نتیجه ی این هکی که انجام داد و سورس کد رو به سرقت برد، 160 هزاردلار محکوم شد که باید غرامت میداد به شرکت DEC.
دقیقا سال بعدش بیشتر مجاب شد که بیاد از این تکنیک ها استفاده کنه واسه نفوذ در سازمان های بیشتر و تو سن 17 سالگی شرکت ……….. رو هک کرد و بعد از هک کردن و کپی کردن اطلاعات این شرکت، دادگاه به این نتیجه رسید که باید این رو تحت مراقبت قراربده که دیگه این اقدامات رو انجام نده. منتهی Kevin Mitnick در واقع نان استاپ بود. سال 1982 دانشگاه کالیفرنیای جنوبی رو هک کرد و متوجه شدن و 6 ماه زندان برای اولین بار تو سن 18 سالگی وارد زندان شد. بعد از بیرون اومدن از زندان باز به کارش ادامه داد و پایان کارش نبود. سال 1987 سانتاکروز رو هک کرد. سال 1988 دوباره شرکت DEC رو هک کرد و این شرکت خیلی شاکی شد. چون دفعه قبل چون سنش پایین بود اول میخواستن 4 میلیون دلار محکومش کنن، ولی خب سیستم قضایی آمریکا گفت 160 هزاردلار بیشتر نمیتونم محکوم کنم. مجاب شدن که این رو برای مدت خیلی طولانی تر به زندان بندازن ولی خب وکیلش تونست دادگاه رو مجاب کنه این شخص معتاده به تکنولوژی و هک کردن. و این یک جور قمار واسه ش میمونه و نیاز به مشاوره داره برای اینکه هک کردن رو بذاره کنار. علاوه بر اینکه یک سال زندان بود، 6 ماه هم تحت مراقب قرارداشت و مشاوره پی در پی واسه اینکه این کار رو برای همیشه بذاره کنار. ولی خب این کار رو کنار نذاشت. علاوه بر اینکه کنار نذاشت، سعی کرد شرکت های بیشتری رو هک کنه. ولی این شرکت ها شرکت های بزرگی بودن تو زمان خودشون. شرکت نوکیا، شرکت موتورولا، شرکت ناول رو با استفاده از روش مهندسی اجتماعی هک کرد. افراد رو گول میزد و پسورد رو دودستی بهش تقدیم میکردن. برای اینکه نمیدونستن واقعا چه اتفاقی میوفته که این کارها رو انجام بدن.
وقتی که سال 1995 Kevin Mitnick شرکت پسیو بیگبل رو دوباره به سیستم هاش وارد شد ولی این بار هک نکرد. تله ای گذاشت بود دولت که فردی رو بهش نزدیک کردن که روش دسترسی به Voice mail ها بدون اینکه اون شخص بدونه دسترسی داشته باشیم. یعنی اینکه پیغامی رو افراد براتون میذارن، Kevin Mitnick بدون اینکه طرف بدونه میتونستن Voice mail های افراد رو بخونه. حالا این آسیب پذیری بود که توی سیستم هاشون بود. ولی خب اومدن یجور دیگه نشون دادن اتهام رو. اتهام رو سنگین کردن و اتهام جاسوسی زدن. که داره از یک ایالت جاسوسی میکنه و خیلی دیر Kevin Mitnick فهمید که واسه ش تله گذاشتن. و واسه یه مدتی ناپدید شد و تو حین ناپدید شدن شخص متخصص امنیتی بود که کارش Security Research بودش و مشاوره خیلی از سازمان ها بود، بنام تومورو شومارا که اگه توی دادگاه Kevin Mitnick هم ببینید، عکس این شخص رو می بینید که دقیقا پشت Kevin Mitnick قرار گرفته و این شخص و جامورکوف دو فردی بودن که ضربه بزرگی به Kevin Mitnick زدند و تقریبا 5 سال از عمرش رو کاری کردن که وارد زندان بشه. و برای مدت طولانی تو زندان باشه، واسه اینکه یجوری اومدن نمایش دادن که این شخص علاوه بر اینکه هک میکرد با روش social engineering ضربه میزد، ولی این برعکس کاری بود که Kevin Mitnick میکرد و تنها هکری بوده که تو طول تاریخ وقتی که از روشهای مهندسی اجتماعی استفاده میکرده، صرفا برای این بوده که میخواسته بره تو شبکه و سورس کدها رو بخونه. و هیچ موقع تو هیچ کجای تاریخ شما نمیتونین برین بگردین این رو پیدا کنین که Kevin Mitnick از این روش استفاده کرده واسه اینکه ضربه ای به سازمان بزنه یا یه نفر رو تهدید کنه یا دزدی کنه. وقتی که Kevin Mitnick این شخص تومورو شومارا رو شناسایی کرد و میدونست که تو سیستمش دسترسی پیداکنه به سازمان های دیگه، سیستم این فرد رو هک میکنه و هک سیستم این فرد سال 1994 بوده که توی مصاحبه ای هم که این فرد داشته میاد اشاره میکنه که سیستمش هک شده. این رو کی میفهمدن؟ یک سال بعد میفهمن که درواقع از شرکت فریدام پریواسی متوجه میشن که از سیستم storage شون بیش از مجاز استفاده شده که مال شرکت بل بوده که بهشون اطلاع میدن. وقتی که میان بررسی میکنن این سیستم storage رو میفهمن که کلیه اطلاعات سیستمشون اونجاست و از این اطلاعات استفاده کرده بود واسه هک کردن شرکت هایی مثل نوکیا، موتورولا، ناول و.. . چون این فرد مشاور بوده تو اون سازمان ها و اینکه علاوه بر اون Security Researcher بوده و exploit داشته رو سیستمش. از اون استفاده میکرده. بعد از اینکه شومارا متوجه میشه، سعی میکنه که بگرده دنبال اینکه چه کسی سیستمش رو هک کرده و تا چه حد از این اطلاعات استفاده کردن و کجاها رو دسترسی پیدا کردن. که خودش به تنهایی این کار رو انجام نمیده. چند نفر رو اون زمان استخدام میکنن و با کلی اینور اونور رفتن و گشتن متوجه میشن که از اون اطلاعات واسه هک کردن شرکت نتکام استفاده شده. نتکام یک دیتاسنتری هست که علاوه بر اینکه اون زمان سرویس شبیه dialup میداده، یه سری سرویس هایی مثل credit card های نتکام میداده که حالا بعضی از این شرکت ها credit card های خودشون رو دارن. وارد اون شبکه میشه 200 هزار credit card رو اطلاعاتش رو کپی میکنه ولی خب هیچ موقع از اونها استفاده نکرده، دزدی نکرده، خرید انجام نداده. این بر خلاف اون اون چیزی بود که شومارا و جان مارکوف قصد داشتن، به همگان نشون بدن تو دادگاه برعلیه Kevin Mitnick استفاده کنن و این شخص درواقع هکره و بولد تو زمان حاضرشونه و باید زندان بیوفته و اگه بیرون باشه ممکنه به government و مردم آسیب بزنه. حالا روند اینکه چجوری track کردن و پیدا کردن Kevin Mitnick رو ، یه روند خیلی جالبی بوده. شومارا متوجه میشه که یه نفر به شرکت نتکام متصله و لوکیشن این شخص رو میخوان پیدا کنن. ولی منتهی با استفاده لوپی که داخل اون سیستم Dial-Up انداخته بوده، سوئیچینگ این فرد رو نمیتونستن پیداکنن. بین دو تا شرکت سوئیچینگ لوپ افتاده بود. بین شرکت ZTE و Sprint و میرن دوتا شرکت رو سر میزنن و مطمئن میشن که از شرکت Sprint هست و بعد میفهمن یه آسیب پذیری تو سوئیچ وجود داره که Kevin Mitnick از اون استفاده میکرد. و یجوری خودش رو untraceable میکرد و نمیتونستن پیداش کنن. همونجور که میدونین سیستم های Dial-up به این صورت بودش که زنگ میزدین و خط تلفنتون مشخص بود. و اگه کار غیرقانونی هم انجام میدادین سریع شناسایی میشدین. سیستم های الان هم تقریبا به همین صورته. بعد از اینکه شومارا متوجه میشه و لوکیشن اون هکر رو پیدا میکنه و مطمئن نیست که Kevin Mitnick هست یا نه، از سن خوزه و اون شرکت Sprint میرن به ریلی هیلز و یکی از متخصصین Sprint باهاش میاد و با استفاده از فرکانسی که استفاده میکرده به اینترنت متصل میشده، تونستن لوکیشن رو پیدا کنن. و وقتی لوکیشن رو پیدا کردن، لوکیشن رو میدن به FBI و یک هفته بعد با مجوز FBI میاد Kevin Mitnick رو دستگیر میکنه. و این میشه پایان کارهای مخربی که Kevin Mitnick توی تاریخ انجام داد. تقریبا 4 و نیم سال داخل زندان بود. که یک عده زیادی میان جمع میشن و سعی میکنن حمایت کنن از Kevin Mitnick و حالا اون هکرهای اون زمان بودن. و بعد از این 4 و نیم سال که میاد بیرون، سعی میکنه که بیاد آگاهی رسانی کنه درمورد این روش هایی که استفاده میکرده برای هک کردن. برای اینکه بیاد آگاهی رسانی کنه، تقریبا با چند هزار مجله مصاحبه داشته، مصاحبه تلویزیونی و… که شما میتونید برید مشاهده کنید. فیلمی که بر علیه ش ساخته شده، ترکداون هست که یه فیلم تقریبا هالیوودیه و غیرواقعی هستن. که میاد Kevin Mitnick رو یک شخص منفی نشون میده. ولی اون کتاب هایی که به نظر من برای هر شخصی که تو دنیای Security هستش یا حتی میخواد آگاهی داشته باشه و سرش کلاه نره، لازمه بخونه، اولین کتابش هست که سال 2001 منتشر شد و این کتاب به زبان خیلی ساده ای هست. اسم این کتاب The Art of Deception هست یا همون هنر فریفتن. که مهندسی اجتماعی که در اول بحث بهش اشاره کردیم. The Art of Deception میاد مثال های مختلف میاره و تو این مثال ها که حالا از لحاظ واقعی بودن که واقعا زنگ نزده به شرکت ها و این کارها رو انجام بده. ولی واقعا این روشهایی که روی افراد مختلف بخاطر اینکه دانشش رو ندارن جواب میده. که زنگ بزنین خودتون رو مدیر معرفی کنید و یک گزارشی رو بخواین، زنگ بزنین خودتون رو منشی معرفی کنین. این کتاب تقریبا کلش بصورت سناریو بیس هست و اگر واقعا بخواین بدونین هکرها از چه سناریو هایی استفاده میکنن، و این سناریوها واقعا آسون هستن و سطحشون پایینه. ولی اگه واقعا اطلاعی نداشت باشین توی موقعیت خاص قراربگیرین، هکرها میتونن از اون سناریو استفاده کنن.
دومین کتاب Hardware Hacking سال 2004 بود. تو زمان خودش هکرهای بزرگ اومدن سیستم پلی استیشین و سیستم های دیگه رادیویی رو هک کردن و اون security man ی که اومده بود این audit کرده بود آقای Kevin Mitnick بود. که حالا زیاد به به مهندسی اجتماعی مربوط نیستش. بعدیش کتاب The Art of Intrusion هست. کتاب دیگه ای که سال 2007 منتشر شد CIA Dirty Trick بود که اون روش هایی که جاسوس های CIA استفاده میکردن ازش برای نزدیک شدن به افراد مختلفی که خیلی بزرگ بودن تو تاریخ برای جاسوسی کردن یا منهدم کردن اونها. که یکی از سرفصل های این کتاب این بود که وارد ایران شدن و اشخاصی که تو سفارت آمریکا بودن رو خارج کردن و روش های مهندسی اجتماعی که استفاده کردن برای دورزدن افراد کمیته، اون روش ها هم اومده ذکر شده که چجوری اومدن اینها رو گول زدن. پنج کیس بزرگ هک های Social Engineering داریم که توی تاریخ خیلی غرامت های بزرگی واسه اون کمپانی ها داشتن. اولیش شرکت تارگت بود که 18 و نیم میلیون دلار خسارت دید بخاطر data bridge که رخ داد. Data bridge چطوری رخ داد؟ چون تارگت شرکت خرده فروش هست با شرکت های کوچیک خیلی زیادی کار میکرد و این شرکت های کوچیک که زیاد هم هستن متصلن به شرکت اصلی، هرکدوم اکانتی داشتن و با استفاده از مهندسی اجتماعی یکی از این اکانت ها دزدیده شد و از اون طریق وارد شبکه شدن و نکته ای که این داره واسه سازمان ها این بود که وقتی شما یک کسب و کاری دارید که فقط امنیت اون براتون ملاک نیستش، مثل دیتاسنترهایی که شرکت های کوچیک میگیرن که اینترنت بفروشن، اگه هرکدوم از این شرکت ها کامپرامایز بشن، شرکت شما هم کامپرامایز میشه اگه نکات امنیتی رو رعایت نکنین. حالا این متونه با exploit باشه یا خیلی ساده یوزر و پسورد فردی رو بدزدن. بعدش اسکم سال 2020 بود توی توییتر که از طریق فیشینگ یک ایمیلی ارسال شده برای یکی از کارمندان توییتر و دسترسی گرفتن از توییتر و اکانتی رو verify کردن و اون اکانت که تیک رو گرفته بود اومد اشاره کرده بود که اگه بیتکوین به من بدید دو برابرش میکنم. دابل بیتکوین هم که خیلی معروف هستش تو کریپتو اسکم ها تقریبا تو چند دقیقه تونست 100 هزاردلار اسکم بکنه که حالا علاوه بر اینکه با مهندسی اجتماعی یه شخصی رو توی توییتر زدن یکی از کارمندان توییتر. یه مهندسی اجتماعی دیگه هم استفاده کرده که افراد دیگه ای رو گول زده بوده واسه حرص و طمعشون که میخواستن یه مقدار بیت کوینی رو دوبرابر کنن که همچنین چیزی اصلا مسخره ست. یکی از بزرگترین . Data bridge هایی که با استفاده از مهندسی اجتماعی انجام شدش، سال 2013 یاهو بود که از طریق فیشینگ یکی از کارمندان این شرکت مورد هدف قرار گرفته بود، یعنی اکثر این حملاتشون با یه ایمیل ساده هست که attachment ی داره و اون رو که باز میکنن exploit میشه و بعد دسترسی میگیرن از زیرساختش و برای چندین سال دسترسی دارن به زیرساخت. که این دسترسی که گرفتن برای چندین سال از یاهو دسترسی داشتن، که اول فکرنمیکردن اون کسانی که مورد حمله قرارگرفتن 500 میلیون نفر بودن که بعدا متوجه شدن که کل افرادی که داخل یاهو اطلاعات داشتن تمام اطلاعاتشون رفته. این بزرگترین Data bridge ی بود که رخ داده بود در شبکه های اجتماعی. که این یاهو هم یکی از دلایلی که محو شد بخاطر همین بود. بصورت کلی مهندسی اجتماعی خیلی چیز پیچیده ای نیست و اگر علاقه مند هستید که بیشتر درموردش بدونید 3 تا منبع رو بخونید به نظرم کافیه، یه Art of Deception ، و سریال Mr. Robot و سریال دیگه ای که بنظرم روش های human element manipulation رو درموردش صحبت میکنه، سریال لایتومی هستش. این سریالی هست که کارشناس انسان ها هست و هرکسی که وارد اتاقی میشه با این فرد، تروریست یا قاتل یا هرچیزی که هست از روی اون المنت هایی که این انسان داره، مثل خارش صورت ، لگد زدن یا تکون دادن پا ، سر تکان دادن، خاراندن مو و… به اطلاعاتی دست پیدا میکنن و اطلاعات کاملا علمی هستن. اشخاصی هم که مهندسی اجتماعی انجام میدن و کلاهبرداری های بزرگ بودن توی تاریخ، این دانش رو داشتن و وقتی که به تارگشتون بر میخوردن با توجه به این خصوصیت هایی که افراد داشتن میتونستن اینهارو گول بزنن. یکسری اطلاعات رو ازشون بگیرن. عرایض بنده تمومه. امیدوارم که هفته ی خوبی رو در پیش داشته باشید. شب و روزگارتون خوش
نکاتی که سهیل جان اشاره کردن نکات اصلی و کلیدی بود، من دو نکته که بخوام در ادامه بگم، بحث کل کانسپت Social Engineering رو به عنوان The art of manipulating می بینیم، بیشتر برای اینه که به ما یه اینتری پوینتی بده به یک سیستم. حالا شما با استفاده از اون Social Engineering اون دسترسی اولیه رو در خیلی از وقت ها به یک سیستم میگیرین. حالا سیستم فیزیکی میتونه باشه، یک سازمان باشه، یک سرور یا هر ریسورس دیگه ای. یا حتی اطلاعات ارزشمندی که میتونه توی لپ تاپ باشه. توی فولدری باشه. و بعد اون بحث exploitation صورت میگیره.الان بخاطر اینکه تکنیک هایی که مثلا کلاسیک بود، اون بحث فیشینگ که اشاره شد. باز بحث OSINT امنیتش اینجا بیشتره. حالا شماره اگه بخوایم یک Social Engineering انجام بدین، یک pretext ی باید وجود داشته باشه. اون تارگت رو مطالعه کنید. اطلاعات مختلفی ازش بگیرید. و وقتی میخوان یک مکالمه ای رو با اون آغاز کنید، تو اون مکالمه جزئیاتی رو فراهم کنید که اون شخص متوجه باشه که در واقع شما یک pretext ی با این دارید. یا بتونه اعتماد اونو جلب کنید. اشاره ای که من در اکثر اتاق ها میکنم، که شما هم فرض کنید که میدونین وقتی ایمیلی برای شما میاد که میگن مثلا روی لینکی کلیک کنید، الان دیگه الان 60-70 درصد افرادی که تو فیلد هستن بازم میدونن که روی لینک نباید کلیک کنن. ولی اگه مثلا اون شخصی که داره این ایمیل رو میفرسته به شما، میدونه که شما یک پسری دارید که امروز صبح گذاشتینش مدرسه و مثلا مسابقه فوتبال داره و تو اون ایمیلی که برای شما میاد بگه که آره من از مدرسه دارم تماس میگیرم. مدیر مدرسه هستم. مثلا یه مشکلی برای پسرتون تو مسابقه فوتبال پیش اومده ، اگه میشه روی این لینک کلیک کنید ما کانسنت شما رو لازم داریم. مثلا که بفرستیمش دکتر معاینه بشه یا همچنین چیزی. وقتی که انگشت بذارن روی نقطع ضعف شما یا اونجایی که شما خیلی بهش اهمیت میدین. اونجاست که دیگه احساسی برخورد میکنیم و راحت روی لینک کلیک میکنیم. یا همون بحث کانکسکت که اشاره کردم. یعنی این مهمترین بحث هست یا همون کمک کردن به همنوع که سهیل عزیز اشاره کرد. مثلا یک نفر دستش پره میخواد وارد ساختمان بشه، Access Card هم نداره، کسی که داره کمک میکنه در رو برای این نگه میداره. خانومی که مثلا خودش رو حتی بصورت یک خانم باردار نشون میده، این جزو سناریوهایی بوده که هکرهایی که نفوذ فیزیکی کردن به سازمان ها، این ها رو به اشتراک گذاشتن. که خودشون رو بصورت یک زن باردار درمیارن که مثلا Access Card شون رو فراموش کردن. و بعد مثلا کسانی که وارد ساختمان میشن در رو باز میکنن. افرادی بودن که کار و تخصصشون اینه که میرن و قرارداد می بندن با شرکت های مختلف که اون Physical security اینها رو بیان تست کنن که ببینن این سازمان چقدر راحت میتونن واردش بشن و هک کنن. یکی دیگه از همین افرادی که خیلی معروفه کریس تنگی که یک وبسایتی داره به اسم Social-Engineer.com و کتابی داره به اسم Social Engineering The Art of human hacking . ایشون خیلی در همین موارد اتفاقا شرکتی داره که کارش همینه . یعنی در سناریوهایی مختلفی ، مصاحبه ای جک ریسایدر فکرمیکنم تو همین پادکست داشت که با تکنیک های مختلف اینها سعی میکنن وارد ساختمان ها و سازمان های بزرگ و شرکت های خصوصی بشن، branch office هاشون رو وارد بشن بعد با attach کردن یه باکس رسپبری پای مثلا به یه پورت نتورک که جایی قایم کنن، بتونن وارد شبکه بشن. و از این طریق بتونن سیستم اینهارو هک کنن. اگه این کار رو بتونن انجام بدن، نشون میدن که چقدر باگ های امنیتی تو اون سازمان چه از نظر فیزیکی چه از نظر IT وجود داره. این داستان خیلی پیچیده س و اهمیت ش انقدر زیاد هست که الان هرساله در اون کنفرانس Defcon که برگزار میشه، امسال سی امین دوره ش برگزار شد، یک سکشن خیلی خاصی وجود داره که تخصصی روی Social Engineering کار میکنن. یعنی هیچ چیزی هم بحث فنی نیست. یعنی شما وقتی میرین اونجا صحبت میکنین همش بحث manipulate کردن افراد، احساساتشون هست. یعنی نمیان بخوان exploit توضیح بدن یا بحث های فنی. جالبه یکی از همین افرادی که توی یکی از کانتست سالانه ی همین Social Engineering Village یک خانومی بود به اسم ایلیس دنی ، ایشون بالاترین بج Defcon رو تو بحث Social Engineering Village گرفته بود ولی خودش تو مصاحبه ای میگفت من برای کار پیدا کردن برام راحت نبود. چون هرجا میرفتم میگفن بج Defcon رو داری ولی خب بحث های فنی از من میپرسیدن من اونقدر مسلط نبودم. چون تخصص من روی Social Engineering بود. این یه سری نکات هست من فقط خواستم اشاره ای بهش بکنم.
مهدی: خیلی ممنون سهیل جان، ممنون داود جان، محمود جان شما رو میشنویم، بفرمایید درخدمتتون هستیم، دوستانی هم که سوالی دارن یا نقطه نظری میخوان با ما به اشتراک بذارن میتونن بیان بالا یا از طریق چت متنی در خدمتشون باشیم
مرسی دوستان، داود عزیز، سهیل عزیز و مهدی عزیز. من یه سوال داشتم. درمورد وبسایت هایی که اطلاعات شما رو جمع آوری کردن. که فکرمیکنم خیلی درمورد OSINT بحث کردیم. اما خب این اطلاعاتی که هست به مهندسی اجتماعی کمک میکنه برای افرادی که بخوان اپروچ کنن به شما. از یه طرف هم خیلی جاها که سیستم verification knowledge base داره ، اطلاعاتی از شما میپرسه که جاهایی که قبلا زندگی کردین با توجه به تمام اطلاعاتی که تو این وبسایت ها هست خب کار ما رو راحت تر میکنه. من یکبار نشستم چند تا از این وبسایت ها رو چک کردم .دیدم خیلی هاشون فرمی دارن که وقتی اون فرم رو پرمیکنید اون اطلاعات رو حذف میکنن، بعد دیدم تعداد این وبسایت ها بالای 100 وبسایته، بعد دیدم کار خیلی ساده ای نیست و مطمئنن کپی جاهای دیگه هست. دیدم یکسری وبسایت ها هست یکیش delete me هست اگه اشتباه نکنم که این سرویس رو دارن که میرن اطلاعات شما رو از اون وبسایت ها پاک میکنن. یا اگه جای دیگه ای ظاهر شد میرن اطلاعات شما رو پاک میکنن یا درخواست میکنن پاک کنن. آیا سرویس مشابه ای رو پیشنهاد میدین؟ یا باید بیخیال شد؟ مرسی
درمورد سوالتون، این وبسایت هایی که حالا نهادهایی که میان پیشنهاد میدن که ما میتونیم اطلاعات شما رو از روی اینترنت حذف کنیم، این ممکنه در این حدی باشه که از یک وبسایت یا پلتفرم خاصی که شما فرضا میرفتین قبلا سرچ میکردین، فکرمیکنم وبسایتی بود تو آمریکا که با خود شما صحبت کردیم که اگر اسم یک نفر هم بدین کل مشخصات رو شامل آدرس و محل زندگی و تلفن و… رو میداد . که شما شاید فرمی رو پر کنید و به اون پلتفرم بدین، اون پلتفرم اجازه سرچ رو از اون برداره. اون وبسایت هم فقط تو آمریکا قابل دسترسی بود. ولی نکته اینه که اون پر کردن فرم یا موارد عملا دیتای شما رو از هزاران نقطه دیگه که پاک نمیکنه، یعنی شما از همون Service Provider که شما دارید موبایل و سیمکارتتون رو ازش میگیری تا اون کسی که اینترنت منزل شما رو داره میده تا اون پلتفرم های سوشال میدا یا هر سرویس دیگه ای که شما مجانی معمولا دارید استفاده میکنید. همه اینها اون بحث track کردن اطلاعات شما رو دارند. این بحثی که الان مخصوصا تو این چند سال اخیر، یعنی با تمام این قوانینی که تو بحث اتحادیه اروپا و آمریکا و… میذارن برای بحث حریم خصوصی. اگه جایی بگن ما داریم اطلاعات شما رو حذف میکنیم که قابل دسترسی نباشه، اون کسی که بخواد این اطلاعات رو بدست بیاره، میتونه. یعنی شاید مردمی که یه مقدار دانش فنی شون پایین تر باشه، با سرچ ساده نتونن اون اطلاعات رو بدست بیارن. ولی کسی که یه مقدار تجربه داشته باشه، از رفرنس ها وریسورهای دیگه روی وب هست میتونه براحتی این اطلاعات رو بیاد بدست بیاره. حتی سهیل عزیز هم روی این قضیه خیلی صحبت کردن، انقدر tools هایی هستش که الان اوپن سورس با جزئیات خیلی زیاد شما مجانی میتونید روی همه پلتفرم های مختلف نصب کنید. حتی همون نسخه ملتگو، کامیونیتی ورژنش رو فکرکنم سهیل جان یه بار توضیح داد. مثلا چه اطلاعاتی از چه دیتابیس هایی حتی مجانی یا نسخه هایی که بخوان با مقدار کمی پول پرداخت میکنین می بینید چه اطلاعاتی درمورد یه شخص میتونه از روی کل اینترنت بصورت گراف ویژوال به شما بده. که لازم نیست شما برید ساعت ها سرچ کنید. بخاطر همینه من میگم اینها بیشتر یک بیزینسه، شاید طرف بخواد شارژ هم بکنه که بگه بیایم برای شما این اطلاعات رو حذف کنیم. یا شاید داره خودش data collection انجام میده که شما اطلاعات رو بهش میدین که برو این فرم رو پر کن و این ها رو حذف کن. خود همین ممکنه این رو به عنوان pool ی ازش استفاده کنه برای بحث advertisement و ما واقعا نمیدونیم پشت این داستان واقعا چیه. ولی من با توجه به تجربه شخصی خودم میگم، اینها رو خیلی به ابزار موثری نمیدونم. حتی اگه از یکی یا دوتا پلتفرم شاید بتونن حذف کنن. شاید از این پلتفرم هایی که مردم راحت میرن سرچ میکنن شما بتونین فرمی رو پرکنین بگین از اونجا حذف کن. اون هم بخاطر بحث های قانونی که شخص بعدا ممکنه متوجهش بشه میره اون رو حذف میکنه. ولی باز هم اون اطلاعات ممکنه در ده ها وبسایت دیگه دردسترس باشه یا به advertiser های دیگه فروخته شده باشه. که بخوان از اونا استفاده کنن برای تارگت های advertisement . بنابراین من خودم به شخصه این رو خیلی موثر نمیدونم . حالا باز سهیل عزیز هم اگر نکته ای دارن خوشحال میشم بشنوم.
سهیل: خیلی ممنون، ببخشید من متوجه نشدم که سوال داشتیم. به نظر من یه جمله قشنگی مایکل هیلدن داره ، که این جمله به نظر من باید سرلوحه زندگیمون باشه. اگر شخصی یا نهادی بخواد به جایی نفوذ کنه و اون اطلاعات رو بدست بیاره، باید بپذیریم که اون رو میتونه بکنه. این رو درواقع دایرکتور سابق CIA و NSA داره میگه درمورد بحث نفوذ کردن یا بدست آوردن اطلاعات. و یه جمله دیگه ای هم هستش به نظرم میتونه جوابی باشه واسه این قضیه. توی دنیای دیجیتال تا زمانی که شما دیتاتون رو share نکردید صاحب دیتاتون هستید. وقتی که او دیتا share بشه، دیگه شما صاحب اون دیتا نیستید. و دیگه هم پاک کردنش تقریبا غیرممکن میشه. چون همونجور هم که بارها بهش اشاره کردیم، اینترنت سه بخش داره. Surface Web, Dark Web, Deep Web . شما نهایتا بتونین از Surface Web یا حالا ایندکس گوگل این رو پاک کنید. ممکنه Search Engine های دیگه تو ایندکسشون وجود داشته باشه. ممکنه تو دارک وب بره، ممکنه تو دیپ وب بره و این بحث رو هفته پیش هم درمورد Revenge porn هم دکتر سجادی بهش اشاره کردن. که وقتی که شخصی میاد عکس خودش رو میذاره برای پارتنر خودش و فکرمیکنه این بصورت پرایویت هست یا از one time توی اینستاگرام میان استفاده میکنن. و فکرمیکنن این اطلاعات یکبار قابل استفاده بوده و کسی نمیتونه دوبار استفاده کنه. ولی نمیشه باز میکنه و وقتی که شما این اطلاعات رو شما یکبار share میکنید بر اساس قانون احتمالا بگیم ممکنه اون شخص آگاه باشه و بتونه سواستفاده کنه و فیلم یا عکس شخصی شما رو ذخیره و بازنشر کنه. توی چندین شبکه اجتماعی بازشر میشه و میشه قضیه Revenge porn . حالا اگه اطلاعات محرمانه باشه وقتی دیتابیس یک سایت مثل یاهو یا فیسبوک یا تلگرام هک شدن و دیتابیسشون فروخته شد، اولین نفری که میخره این رو share کنه دیگه تمومه. اون دیتابیس اونقدر share میشه تو فرو های مختلف گذاشته میشه. که یه بخشی از اطلاعات ما دیگه رفته و بارها اشاره کردیم که اگر از شبکه های اجتماعی بخواین استفاده کنید از یکسری قواعد و قانون مدنظرمون قرار بدیم که از شماره شخصی یا شماره ای که پرایوت زندگیمون هستیم از اون استفاده نکنیم. شماره تلفن که لیک بشه از او طریق میفهمن که شما چه اکانت هایی داشتین. وقتی بفهمن با استفاده از ابزارهایی مثل منتگو که الان تقریبا میشه گفت تا 200 و خورده ای API رایگان دراختیار کسانی که دارن pen test میکنن یا هک میکنن قراردادن که میتونن تو عرض چند ساعت کلیه ی اطلاعات شما رو از سطح Surface, Dark , Deep بیان استخراج کنن. اون هم بصورت رایگان. آخرین نکته هم که بهش اشاره کردم، تا زمانیکه که اطلاعات ما شیر نکنید تو دنیال دیجیتال، صاحب اون اطلاعات هستید. این اطلاعات که میگم میتونه اسم و فامیلتون باشه. میتونه شماره تلفنتون باشه. عکس خانوادگی باشه یا هرکی که این رو شیر کنه دیگه شما صاحب اون اطلاعات نیستید.
مرسی دوستان، بله درست هستش اطلاعاتی که ما به اشتراک میذاریم دیگه صاحبشون نیستیم و جاهای دیگه به اشتراک گذاشته میشن، اما خیلی موقع ها درخواست از طرف ما نبوده. یعنی ….. سوابق زمین توی آمریکا تو خیلی از ایالت ها پابلیک هستش. یعنی شما ایالتی آدرسی بزنی، نشون میده خونه چقدر پرداخت شده، حتی امضاها هم نشون میده. نمیدونم کجای این بند بوده که میتونن اینهارو به اشتراک بذارن. آیا برای مقابله با جاهای دولتی هم راهی هست که بشه درخواست داد که این رکوردها رو بردارن؟
این فکرمیکنم کیسی هست که فکرمیکنم ایالت به ایالت و کشور به کشور فرق میکنه. چیزی که شما فرمودین من تو کانادا ندیدم. یعنی تو کانادا شما میتونید اطلاعات مثلا یه لند یا property رو برین آنلاین ببینین. ولی هیچوقت اون identity اون شخص که ownership اونجا هست یا این بحث امضا بخاطر اون قوانین پرایویسی سفت و سختی که تو کانادا هست اجازه نمیدن که انتشار پیدا کنه. حالا تو آمریکا و ایالتها که قوانین ممکنه تفاوت داشته باشه، قضیه متفاوته. ولی تو کانادا و اروپا به این شکل ندیدم. اون فکرمیکنم بیشتر از سمت دولت محلی یا وب سایت های ایالت ها دارن. برای این قضیه هم فکرمیکنم قاعدتا هم اگر بخواد بصورت حقوقی دنبال بشه بسته به قوانین اون ایالت هست. مخصوصا اگر سیستم دولتی باشه فکرنمیکنم کار راحتی باشه. این بیشتر بحث های حقوقی میشه و فنی نیست. باید وارد تقابلی با نهاد خصوصی یا دولتی بشیم که خیلی پیچیده میشه. از اون طرف بحث پراویسی خدشه دار میشه.
توی ایران هم سایت رسمیا داریم که روزنامه های رسمی که هئیت مدیره شرکت و شرکتها رو اطلاعاتش رو میذاره که برای OSINT کردن شرک ها یا پیدا کردن اینکه یه فرد صاحب چه شرکت هایی هستش میشه ازش استفاده کرد که به نظرم میتونه برای جلوگیری از فراد باشه و هم میتونه بفهمیم یه فرد چند شرکت رو صاحبش هست وسنایریو آماده کنیم برای فرستادن یک ایمیل فیشینگ. خیلی ممنون
ممنون ازتون بابت اطلاعات مفیدی که باهامون به اشتراک گذاشتید. جلسه مفیدی که درمورد مهندسی اجتماعی داشتیم. از شما دوستان و همراهان گرامی ممنونم. باز هم توضیحی بدم به دوستانی که تازه به جمع ما اضافه شدن، هرهفته شنبه شب ها اخبار امنیت سایبری رو تحت کلاب پنتر پوشش میدیم، اگه مایل بودین خود کلاب پنتر، سخنرانان، شبکه های اجتماعیشون رو فالو کنید تا از زمان تشکیل اتاق ها با خبر بشین. اگر هم که علاقه مند به شنیدن خود جلسات برگزار شده کلاب هستید از طریق replay کلاب، کانال یوتیوب، یا بلاگ ما به آدرس peneter.com به فایل صوتی جلسات دسترسی داشت باشید. یک تمهیداتی می اندیشیم که داخل یه سری چنل های پادکست هم بذاریم که کست باکس فکرمیکنم الان دم دست تر باشه. داخل کست باکس هم از هفته های آینده انشالله میتونید به این فایل صوتی جلسات دسترسی داشته باشین. امیدوارم که تو هفته های آینده هم باز درخدمتتون باشیم. لحظات خوب و خوشی رو براتون آرزومندم. شب و روزتون خوش

(مهدی لقایی) سلام و درود خدمت همه دوستان و همراهان گرامی کلاب پنتر دات‌کام، در کنار دکتر داود سجادی عزیز و همچنین سهیل جان هاشمی با جلسه چهل و چهارم اخبار هفتگی امنیت سایبری در خدمتتون هستیم. صحبتی هم که هفته پیش باهاتون داشتیم این هفته دیگه یک تغییر رویه ای خواهیم داشت. ابتدا به اخبار می پردازیم، یه بخش دومی هم درنظر میگیریم که به مسائل روز می پردازیم. فکرمیکنیم این سری در مورد Revenge porn هستش. یا پورن انتقامی. بیشتر از این صحبت نمیکنم. میکروفون رو تقویم داود جان می کنم.

(داود سجادی) ممنونم مهدی جان. درود و عرض ادب دارم خدمت شما، سهیل عزیز و همه دوستانی که در اتاق هستند. امیدوارم هرکجا که هستید شاد و سلامت و تندرست باشید. به روال هفته های گذشته ما یک بازه زمانی تقریبا فکرمیکنم حدود 20 دقیقه سعی میکنیم یک سری از اخبار مهم که در هفته گذشته در حوزه امنیت سایبری افتاده رو مروری با سهیل جان بکنیم. و بعد از اون همونجور که اشاره کردند مهدی جان، حالا یک سری از موضوعات صحبت میکنیم که حالا این هفته موضوعی که اشاره کردند Revenge porn هستنش. من دو تا خبر رو انتخاب کردم برای بخش اخبار، چون این هفته قراره کوتاه تر باشه که به نظرم که اخبار مهمتری بودند. یکی بحث خبر مربوط به توییتر بود. در واقع مدیر امنیت توییتر ، پیتر زاتکو که یک ریپورتی رو منتشر کرده در مورد یکسری قصور سیستماتیک که در توییتر وجود داره. سهل انگاری هایی که خیلی ساخت یافته متاسفانه در داخل این کمپانی وجود داره، اون هم از زبان کسی که به عنوان مدیر امنیت شرکت توییتر بوده، این خیلی خیلی جای بحث و بررسی داره، و مخصوصا این گزارش گویا به کنگره آمریکا ارسال شده. خود شخص کسی که این گزارش رو نوشته یعنی پیتر زاتکو که هندل توییترش دات Mudge هست ، خودش در واقع چهره آکانیکی داره . از نظر اینکه یک هکر فوق العاده شناخته شده و شاخص در فیلد امنیت سایبری هست. ایشون یکی از اعضای دو تا از بزرگترین گروه های هکری در تاریخ هست. یکی گروه هکری Aloft و یکی dead cow یا همان گاو مرده، اگر اسم این دو تا رو سرچ کنید می بینید که اعضای اینها نقش بسزایی در develop و توسعه اینترنت و اعمال خیلی از پروتکل های امنیتی که ما الان داریم استفاده میکنیم بکار برده. خود این شخص پیتز زاتکو که این گزارش رو نوشته، ایشون یکی از کسانی بوده که مثلا روی بحث حملات Buffer over flow از اوایل اینترنت خیلی تاکید داشته کار میکرده روی side-channel attack ها و حتی ابزار معروف L0phtCrack اگر ازش استفاده کرده باشید برای کرک کردن پسوردها در قدیم شاید 10-15 سال قبل خیلی ازش استفاده میشده. ایشون نویسنده ش هست و حتی به عنوان مشاور در وزارت دفاع آمریکا کار میکرده. یعنی شخص فوق العاده شناخته شده و به قول معروف با بکگراند خیلی سالیدی هست و حالا توییتر سعی داره که ایشسون داره به عنوان دیسکان امپلوی یعنی کسی که اخراجش کردن بخاطر سو مدیریت میخواد این گزارش رو غیرمعتبر نشون بده. ولی اون چیزی که خیلی مهم هست وقتی شما گزارش رو میخونید، یه بخش هاییش مخصوصا 14 بند هست ، خبرنگار معروف حوزه امنیت سایبری اومده در 14 حوزه این مشکلات اصلی که توییتر در حوزه امنیتی داره رو توضیح میده، من خودم برای خیلی بحث برانگیز بود، یعنی از خیلی از شرکت کوچیک Midrange ما شاید انتظار داشته باشیم که این استانداردها رو در نظر نگیرند بخاطر مسائل مالی، کمبودهایی که از لحاظ شاید بودجه داشته باشند. ولی توییتر با این Scale ای که داره، مثلا عنوان شده بود در یک بخشی که هیچ لاگی یا هیچ trace ی از فعالیت مهندسین در محیط پروداکشن انجام نمیگیره . یعنی اینکه مشخص نیست کی چه کسی در چه زمانی اومده چه تغییری رو چه سروری داده. این trace قابل trace کردن گویا در سیستمی که در توییتر هست وجود نداره. یا اشاره کرده بر بخشی که بالغ بر 500 هزار سرور یا VM Instance هست که از نرم افزارهای Outdated استفاده میکنند. نرم افزارهایی که پچ نشدن یا حتی Encryption یا رمزنگاری دیتا در حالت لبی دیسک، ایمپلمنت نشده و اگر این اطلاعات به سرقت بره عمل اون بحث Privacy کل میلیون ها یوزر توییتر میتونه خدشه دار بشه و از همه شاید عجیب تر یک قسمتی بود اشاره کرده بود در این بخش که گویا یک سری از کارکنان سرویس های اطلاعاتی کشورهای دیگه در داخل توییتر تونستند نفوذ کنند و به عنوان کارمند دارن اونجا کار میکنن و حجم بسیار بالایی از کاربران توییتر هم به Sensitive Information یا اطلاعات حساس کاربران مثل شماره تلفن، ایمیل و شاید حتی چت هایی که دارن دسترسی دارند بدون هیچگونه نظراتی. چون این یک اصلی در Security هست به اسم دپنسی اف لیج بروج که شما باید حداقل سطح دسترسی لازم برای انجام کارهای روزمره خودتون به عنوان مهندس داشته باشید. و نباید بیش از چیزی که شما نیاز دارید سطح دسترسی داده بشه. و اینکه اینها بخاطر اینکه بخوان کار رو پیش ببره تو این محیطی که خیلی Agile هستش بدون دسترسی و نظارت دارن این دسترسی ها را به مهندسین خودشون میدن. نظارتی نیست. این باعث شده بود مشکلات زیادی قطعا بوجود میاد. مثلا داستانی که در اینستاگرام داشتیم، یک عده بدون هیچ نظارتی میتونستن بیان یکسری از ویدیوها رو حذف کنن یا اکانت ها رو لاک کنن. کمابیش این داستان رو در توییتر در یک Scale بیشتر و عجیب وجود داره. همه اینها وقتی شما نگاه میکنید می بینید که هیات مدیره میخوان بیان بخاطر اینکه حجم زیادی رو این کاربر رو ارزش سهام بره بالا، پاداش بیشتری بگیرند هیات مدیره، هیچ نظارتی نمیکنه و بحث مسائل امنیتی رو میخوان پشت پا بندازن. از این لحاظ که بخوان یوزر بیشتری با نیروی کمتر و هزینه کمتر بتونن این پلتفرم رو توسعه بدن و تبلیغات بگیرن. همینه که میتونه مخاطرات سنگینی رو در آینده درگیر باشه. افراد شاید در یک دید کوته بینانه ای که دارن این مخاطرات رو بوجود آوردن. من توصیه میکنم حتما گزارش پیتر زاتکو رو اگه میتونید نگاه کنید اگه هم زمان ندارید 14 بندی که …….. گفته من در توییتی گذاشتم حتما نگاه کنید. خیلی مهم هست حداقل بدونیم که داخل این پلتفرم ها داره چی میگذره برخلاف اون چیزی که ما شاید انتظار داشته باشیم.

خبر دومی که من بخوام اشاره کوتاهی داشته باشم درمورد این گزارشی بود که Microsoft Threat Intelligence Center (MSTIC) این هفته منتشر کرد در حدود دو روز پیش، درمورد یک گروه هکری وابسته به وزارت اطلاعات ایران به اسم MERCURY یا همون عطارد که گویا اینها از آسیب پذیری لاک فورجی استفاده میکردند برای اینکه بخوان یکسری از سرورهای یک شرکت اسرائیلی بنام SysAid رو مثل اینکه گویا در حوزه IT و Help Desk فعالیت داره هک کنن. در این گزارش نکته ای که جالبه بررسی کرده بر اساس observation که انجام دادن ، تحلیلی که کردن توضیح خیلی جامعی میده که چطور آمده و این گروه رو Associate کرده به وزرارت اطلاعات ایران بر اساس همون بحث TTP که مثلا ابزاری که استفاده شده، اهدافی که انتخاب کردند از یکسری سرویس های تحت Cloud file sharing بوده، اصطلاحا mail box fishing استفاده شده. اینهارو اومده تو اون گزارش تحلیل خیلی جالبی نوشته. دوستانی که بخصوص در حوزه Digital forensicsعلاقه دارن که ببین چطور این شرکت بزرگ میان یک حمله رو ربط میدن به یک گروهی ، این گزارش به نظرم یک گزارش خیلی خوب و با زبان ساده نوشته شده اگه جزئیات رو بخونید که از نظر فنی بررسی میکنه ابزارهایی که استفاده شده بررسی میکنه. مثلا همون Command and control server هایی که بوده Sequence ای که حمله انجام شده، IOC که اینها دارن و موارد مختلف رو میاد بررسی میکنه و در نهایت correlate میکنه تحلیلی که انجام داده شده به وزارت اطلاعات ایران. توصیه میکنم گزارش رو اگر علاقه دارین به این حوزه نگاه کنید. گزارش های زیاد دیگه ای در این حوزه هست. این دو خبری بود که من میخواستم اشاره بکنم. سهیل جان هم مطمئن هستم که اخبار بهتری رو برای ما دارند. ممنونم

(سهیل هاشمی) درود و عرض ادب خدمت دوستانی که در اتاق حضور دارند. خیلی ممنون داود جان و مهدی جان، منم چند خبر رو کاور میکنم بعد میریم سراغ بخش ویژمون. اول خبر گزارشی رو Mandiant هفته پیش منشر کرده که درمورد گروه Novelion هستش. خود گروه Novelion از سال 2008 شروع به فعالیت کرده، attribute شده به SVR روسیه. بیشتر تارگت هایی که داشته کشورهای عضو ناتو بودند. بر اساس گزارش Mandiant از تکنیک جدیدی استفاده کرده برای disallow لاگ های آفیس 365 که فعالیتی که انجام میدن توی ارسال ایمیل یا فیشینگ رو نتونن Trace بکنن. دومین کاری که استفاده کرده از mailbox دست نخورده استفاده کرده که این mailbox ها هنوز MFA روشون تنظیم نشده و با پسوردهایی که حدس زدن وارد این اکانت ها شدن. MFA رو ستاپ کردن و از طریق VPN ی که ایمیل های سازمانی میگیرن تونستن نفوذ کنن به سازمان هایی که جزو کشورهای ناتو هستن.
هفته گذشته دوتا ابزار اومدش که دو تا پروتکل بود. یکی RPC و یکی NTP که از طریق این دو پروتکل میشه توی شبکه بکتور گذاشت. هم روی توییتر هم روی ساب کانال peneter tools . و همچنین یک وبیناری برگزار شده که دو شخصیت بزرگ Offensive Security ، گلدن براون و hd moore در واقع اومدن درمورد گذشته ی حضور Scanning صحبت کردند تا درحال حاضر . و این وبینار به نظرم جالب بود. اگه در Offensive Security فعالیت دارین یک تاریخچه رو میتونین از وبینار بدست بیرید و همچنین Rebranding HD Moore یا نویسنده Metasploit شرکت ران زیرو هستش. اکانت توییترش هم همین ران زیرو هست که میتونین محصولات این شرکت رو از سایتشون مشاهده کنید.
خبر آخر هم Katie Nickels مدرس حوزه CTI SANS قسمت دوم CTI رو منتشر کرد.
آخرین خبر هم درمورد تیم ترد آنلالیز گوگل هستش که با آنالیزی که انجام دادن یک ابزاری رو کشف کردن. گویا این ابزار قابلیت مشاهده جیمیل ها رو داره و این فرآیند آنالیز مربوط میشه به گروه ترد آنلالیز گوگل. توانایی این رو داره که با استفاده از یک سری مکانیزم های ساده، سشن جیمیل با قراردادن این ابزار Inbox قربانی رو بخونه. این هم جزوخبرهای تاپ هفته گذشته بود. و حالا میکروفون رو تقدیم داود جان میکنم که بریم سراغ بخش ویژه اتاق پنتر که درمورد Revenge porn هستش. خیلی ممنونم

ممنونم سهیل جان، درمورد موضوع اتاق Revenge porn یک نکته که من از قبل از اینکه بخوام وارد بحث بشم بگم که ما در کلاب هاوس شاید 7-8 ماه پیش یا بیشتر یک اتاقی در حوزه پرایویسی یا حریم خصوصی در اینترنت داشتیم با جمعی از دوستان کلاب ریکپ . بخشی از اون اتاق قابلیتش در کلاب هاوس نداشت، شاید یک سال پیش باشه. در موضوعات مختلفی صحبت کردیم، یک بخشیش Revenge porn بود. یکسری مطالبی رو اشاره کردم که شاید بعضی از مواردی که الان میخوام بگم با اونا همپوشانی داشته باشه. موضوعی که الان انتخاب کردم برای این جلسه علتش این بود که من دیدم Netflix اخیرا مستندی رو ساخته به اسم The must hated man on the Internet و در واقع Mini series که سه قسمت داره و در همین 2022 Release شده، دقیقا داستان Hunter Moore رو داره بحث میکنه. این یکی از شخصیت های خیلی معروفیه که در این حوزه هست. Revenge porn خود کانسپت پورن انتقامی شاید از سال ها قبل از دهه 90 هم وجود داشته بوده، یعنی چیز جدیدی نیست. ولی شخصیت Hunter Moore آمد و با اون کارهایی که روی اینترنت کرد، اصطلاحا یک کالتی درست کرد که من حالا توضیح میدم. این کلا این مفهوم رو خیلی popularize کرد. کاری کرد که عده زیادی با این مفهوم آشنا شدند و متاسفانه افراد زیادی هم قربانی کارهایی شدند که این شخص کرد. زمانی هم که فعالیتهای خودش رو در اوایل دهه 2010 اون زمان داشت انجام میداد، قوانینی هم که در ایالت های مختلف آمریکا و کشورهای دیگه وجود داشت ، خیلی جلوی فعالیت این شخص رو نمیگرفت. افراد زیادی آسیب دیدن از این داستان. ولی خب الان امروزه شاید بتونیم بگیم که درواقع یک مقدار شرایط بهتر شده. حالا از لحاظ بحث لیگالیش .این مستند در کنار یکی از اپیزودهای پادکست های …………….. به اسم for only your eyes پادکست Darknet Diaries اپیزود 34 . اگر این اپیزود رو هم گوش کنید، درواقع یک بخشی شاید نزیک 60-70 درصد این اپیزود میاد درمورد همین داستان Hunter Moore و Revenge porn 4صحبت میکنه. این پادکست اگه اشتباه نکنم سال 2019 نزدیک 3 سال پیش منتشر شده بود ولی موضوع انقدر الان مخصوصا اهمیت گرفته که Netflix اومده یک مستند در سال 2022 ساخته برای این موضوع و بخاطر اینکه این مستند اخیرا Release شده و موضوع هم موضوع مهمی هست، گفتم تا موضوع داغ هست، روی این موضوع صحبت بکنیم بهتر هست قبل از اینکه فراموش بشه. کلا این مبحث اینکه افراد بیان تصاویر برهنه خودشون رو بگیرن، بحث انتشار نیست. یک نفر فقط میخواد بیاد تصاویر برهنه از خودش بگیره، این شاید برای بعضی از ما مخصوصا از Culture ای که داریم میایم شاید غیرمعمول باشه. میگیم چرا طرف همچنین کاری میکنه. تحقیقی رو مجله ای انجام داده بود که سروری رو روی 850 خانم اومده بودن انجام داده بودن، افرادی که بین 1980 تا 1995 به دنیا آمده بودن. الان توی 40 سالگیشون و جالب بود تو اون تحقیق دیده بود که چیزی بالغ بر 89 درصد این افراد از خودشون میان نود سلفی میگیرن. سلفی های برهنه. و این رو درواقع به عنوان یک شاید ، تحقیقی در آمریکا صورت گرفته بود رو هیچ مشکلی نمی بینن. حتی زمانی که هیچ جایی انتشار نکردن. نکته اینه که خیلی از افرادی که میان رابطه عاشقانه ای با یک نفر برقرار میکنن، دوست پسر دوست دختر . این عکس ها رو ممکنه برای همدیگه هم بفرستن،بخاطر اینکه رابطه نزدیکی با همدیگه دارن، حتی رابطه جنسی دارن. ولی خب هر رابطه یک سری فراز و نشیب هایی داره، وممکنه هیچ جایی اینها دچار مشکلی بشن. بخوان Breakup کنن بخوان دعوا کنن، یکی فکرکنه که دیگری بهش خیانت کرده و اونجاست که درواقع ممکنه بخاطر اینکه یک نفر از این رابطه احساس سرخوردگی میکنه شروع کنه به اقدام به پست کردن این تصاویر روی شبکه های اجتماعی یا به قول معروف سعی کنه به عنوان ابزار فشاری استفاده کنه علیه طرف مقابل خودش. این فقط منحصر به خانم ها نیست. شاید خانم ها بیشترین قربانی باشن ولی مردان زیادی هم بودند که در همین مستندی که تهیه کرده بود به یکسری از کیس هایی که آقایون خودشون قربانی بودن اشاره شده بود. و اینکه روی پلتفرم های مختلفی انتشار میدن، مثل Redit, Twitter, Instagram, facebook و این تصاویر انتشار پیدا میکنه. نکته جالب اینه که قانون یا law در این موارد که ممکنه خیلی کلیر نباشه. مثلا اگر فرض کنید یک نفر اومده از شما با دوربین خودش یک عکس گرفته، یعنی حق معنوی اون عکس در اختیار کسی هست که این عکس رو گرفته و شما اجازه دادید از شما این عکس رو بگیره. و سال ها بعد میاد اون عکس رو انتشار میده، این میتونه درواقع یک مقدار خیلی خیلی راحت نیست که بگیم خب حالا این عکس رو اومده بدون رضایت من انتشار داده، حداقل شاید 10-15 سال پیش قانون انقدر کلیر نبود و جالبه افرادی که اقدام به انتشار این عکس ها تحت اینترنت می کردند، یا پلتفرمی ایجاد میکردند و از طریق اون پلتفرم عکس ها رو انتشار میدادن و قربانیان این عکس ها حتی مورد حمله و آزار لسانی یا آزار توسط افراد مختلف قرار بگیرند. این یک داستانیه که خیلی وقته از شاید بالای 10-15 سال یا حتی به دهه 90 برگردیم بوده و حالا کیس های مختلفی هم بوده ، این کیس فقط کیس مربوط به Hunter Moore نیست که من الان میخوام بهش اشاره کنم، مثلا یه کیس دیگه ای هم بوده که یک شخصی بوده به اسم کوین بولارت که ایشون یک سایتی رو راه انداخته بوده به اسم ………….. که توی این وبسایت افراد میومدن همین تصاویر دوست پسرها و دوست دخترهای قدیمی خودشون رو میومدن آپلود میکردن، تصاویر برهنه اینها با گذاشتن یکسری توضیحاتی که شاید بالای 90 درصد تصاویر مربوط به خانم ها بوده و این شخص برای اینکه بیاد بیزینسی راه بندازه از این طریق، یعنی این تصاویر رو با اسم این افراد روی وبسایتش میذاشته و این یه وبسایت دیگه ای داشته به اسم Change my ….. که میگفته اگه شما عکست تو این سایت هست و میخواید عکستون از اینجا حذف بشه میرفتید تو این وبسایت دوم این شخص 300 دلار پرداخت میکردی که بره عکسهایی شما رو از اون سایت حذف کنه. خب این کاری که این شخص کرد شاید برای مدتی بود، ولی بلافاصله یک عده علیه ش پرونده ای درست کردن، چون این مصداق بارز extortion هست یا همون اخاذی. و در سال 2013 پلیس این فرد رو بازداشت میکنه، بخاطر بحث extortion این وبسایت دان میشه، و این شخص رو بازداشت میکنن. نکته حائز اهمیت اینه که Hunter Moore در شاید همون بازه زمانی شروع میکنه وبسایت خودش رو به راه انداختن و این کانسپت Revenge porn توسعه دادن روی اینترنت ولی خب اون خیلی زرنگ تر بوده و با توجه به اینکه میدونسته در قانون چه LOOP/POOL هایی وجود داره، با استفاده از وکلایی که داشته مطمئن بوده که درواقع قانون فدرال رو در آمریکا زیر پا نمیگذاشته در حوزه …………. یا ………. و موارد اینچنینی. این که حالا این شخص چطوری میاد به عنوان چهره شناخته شده میشه کهBBC میاد از این به عنوان The most hated man on the Internet یاد میکنه، یعنی خیلی از خبرگزاری های بزرگ مثل BBC, CNN, ABC باهاش مصاحبه میکنن، این پسر هزاران هزار یا میلیون ها میلیون بگیم طرفدار برای خودش پیدا میکنه. داستانش چجوری بوده؟ این شخص خودش جوان بیست و خورده ای ساله ای بوده دقیقا هیچ بکگراندی از نظر تجربه یا چیز خاصی در چنته نداشته، بلکه این فقط داستانش رو وقتی از طریق پادکست …………. اپیزود 34 یا همون مستند Netflix که نگاه می کنید و رفرنس های دیگه، می بینید گویا کل داستان این شخص و اینکه این چهره شدنش بیشتر از این شروع میشه که یکی از دوستانش گویا برای این عکس برهنه میفرسته و این میاد یک دامینی همینجوری از سر سرخوشی ثبت میکنه به اسم IsAnyoneUp.com که درواقع IAAN هم میشناسنش، میاد یکسری عکس میذاره و قابلیتی فراهم میکنه که بقیه هم بیان این عکس ها رو آپلود کنن. یعنی مثلا بعضی از دوستانش هم یکسری عکس از دوستان قدیمی خودشون داشتن و این عکسهای نود یا برهنه اینها رو شروع میکنن آپلود کردن روی این وبسایت. خب اینها اصلا خودشون هیچ idea نداشتن که وب سایت قراره خیلی مورد استفاده قرار بگیره، چون این رو به عنوان یک شوخی، به عنوان یک جوک می دیدن که دارن یکسری عکسهایی رو میذارن اینجا. ولی نکته اینه که یک مرتبه متوجه میشن حجم زیادی ترافیک و افراد مختلف کم کم به سمت این وبسایت میان شروع میکنن به پست کردن این تصاویر و بعد وقتی می بینین ترافیک داره میاد، سعی میخواد بکنه monetize کنه و از این advertise کنه در Social Media های مختلف و شروع میکنه این رو promote کردن و در کنارش کار دیگه ای انجام میده که درواقع شاید خیلی بگیم اینجاست اون نقطه ای که یک نفرت زیادی از افراد زیادی در اینترنت علیه این شخص ایجاد میکنه اینه که در کنار این عکس هایی که آپلود میشه، میره لینکی که Social Media ی اون افرادی که این عکسها به اونها تعلق داره رو هم میگذاره. یعنی فرض کنید یک نفر که میاد این عکس ها رو پست میکنه، این قابلیت رو به اون شخص میده که بیاد مثلا لینک فیسبوک یا توییتر اون شخص رو هم بذاره و همین باعث میشه اون افرادی که خودشون قربانی هستندو عکسهاشون انتشار پیدا کرده، توسط یک مشت ترول دیگه بیان از طریق social media یک حجم زیادی پیام های خیلی آزاردهنده یا نفرت انگیز علیه این افراد ارسال بشه. خب یک فشار فوق العاده روحی روانی ممکنه به اون افراد بیاد در محل کارشون، در محل زندگیشون. و نکته اینه که خیلی از این افراد هم به این شخص پیام میدن و ازش میخوان که این عکسها رو از وبسایتش برداره ولی تحت هیچ شرایطی این کار رو انجام نمیده. یعنی برای هیچکدوم از این کیس ها بخاطر اینکه این عکسها که داره آپلود میشه، ولو اینکه بیاد زندگی هزاران هزار انسان رو نابود کنه، ولی برای این شخص داره ترافیک میاره. این شخص بازدیدکننده میاره، Viewer میاره و همین باعث میشه، این بره سمت اینکه advertisement بیاره .برای وبسایت خودش. بعد از یه مدتی این advertisement ها و ترافیک انقدر زیاد میشه که ده ها هزار دلار در ماه درآمدش میشه از همین وبسایتی که درواقع فقط داره تصاویر برهنه حجم زیادی از افراد رو در اینترنت پابلیش میکنه. اینهارو درواقع کانکت میکنه به اون شخصیت واقعی اینها در social media ها و یه حجم زیادی نفرت پرانی رو علیه این افراد میاره که زندگی شخصی خیلی از این افراد نابود شده بوده. نکته جالب این بود که شاید در نظر میگیریم، به نظر میاد که این افراد میتون برن علیه این شخص شکایت کنن ولی با توجه به اینکه قوانین فدرال در اون زمان در سال 2012 اون پلتفرمی که داره این عکسهارو (چون خود این شخص حداقل ادعایی که داشته این که این افراد توسط خودش آپلود نشده، این عکسها توسط اشخاص دیگه آپلود شدن) همون بحثی که ما شاید تو یه لول دیگه الان داریم می بینیم مثلا فیسبوک یا توییتر دارن میگن ما یک پلتفرم هستیم، تعهدی درقبال اون miss information ی که داره روی پلتفرم فیسبوک یا توییتر میره نداریم. به قول معروف میگن وظیفه ما اطلاع رسانی حقیقت نیست. ما داریم اطلاعات رو میذاریم. حالا اون شخص هم شاید 10 سال پیش داشت یک همچنین مفهومی رو داشت رو بحث تصاویر ………… که درواقع افراد از اشخص دیگه گرفته بودن، حالا در زمانی که با هم دوست بودن و بعد آپلود میکردن و میذاشتن. و این نکته در واقع خیلی باعث شد بعد از یه مدتی که گفتن حجم زیادی ترافیک به سمت این آمد، حتی مصاحبه هایی از افراد خیلی سرشناس گرفت. مثلا شخصی مثل یک ژورنالیست معروفی مثل اندرسون کوپر که درواقع در CNN هست یک شویی داره که این شخص رو دعوت میکنه در شوی خودش (Hunter Moore) و چند نفر از قربانیان این رو هم اتفاقا تو این شو میاره. یعنی همون شوی Hunter Moore و اندرسون کوپر رو توی یوتیوب سرچ کنید ببینید، می بینید خیلی جالب هست صحبتی که بین درواقع اینها میشه و باز همین بحث توضیح یا justification ی که Hunter Moore میاره که میگه کسی تفنگ روی شقیقه ی شما نذاشته که بخواین از خودتون عکس بگیرید اون هم عکس های برهنه تون. وقتی این عکسها روی اینترنت پخش میشه خب عملا روی پلتفرم من میاد قرار میگیره، من هیچ مسئولیتی در قبال اون عکسی که شما اجازه دادین بگیرن، ندارم. توضیحش این بود. از اون طرف قربانیان هم میگفتن این عکسها رو برای کسی گرفتیم یا به کسی دادیم که بهشون trust داشتیم. و زمانی که اون شخص از این اعتماد سو استفاده کرده و درواقع داره از اون بهره برداری میکنه، تو نباید اجازه بدی که روی پلتفرم تو همچنین کاری انجام بشه. همه ی این حرف ها و مصاحبه ها از یه طرف باعث شد که این بحث فشار افکاری عمومی شاید روی Hunter Moore بیشتر بشه ولی از اون طرف هم متاسفانه جالب اینجاست که popularity (شهرت) این شخص بیشتر بیشتر شد. تا جاییکه حتی هزاران هزار نفر میومدن ساپورت میکردن. افرادی که شاید بگیم تحت افسردگی های شدید بودن یا مشکلات مختلف اجتماعی داشتن، اینها جوری خودشون رو وابسته به این میدیدن. یعنی جوری میخواستن اشاعه دهنده ی نفرت باشن علیه اون جماعتی که شاید قربانی بودن. و اینها شاید یکجوری حتی این شخص رو می پرستیدن. توی اون مستند Netflix در واقع جالبه در بخشی به این نکته اشاره میکنه و این داستان درواقع هست تا زمانیکه بخاطر اون اصطلاحا ……………… این شخص داشته، یعنی Hunter Moore دچار یکسری مشکلات مالی میشه و بخاطر اون مشکلات مالی که پیدا میکنه در واقع اون درآمدش از این وبسایت کم و کمتر میشه تا زمانیکه به جایی میرسه که میخواد این دامین رو بیاد واگذارکنه. و یک شخصی بنام ……. که ایون خودش یک …………. بوده، یک شخصی بوده که از بچگی تحت ………….. بوده و بعد زمانیکه وارد ارتش میشه توی واحد US Cyber Command کار میکنه، میاد در نهایت یک شرکت برای خودش داشته، بیزینسی در آمریکا داشته و این تو همین حوزه IT کار میکرده و وقتی این وبسایت …….. رو می بینه برای اینکه یجوری بخواد مقابله کنه با این داستان و با Hunter Moore میاد و حتی بهش پیشنهاد میده که میخوام وب سایت تو رو بخرم ودامینش رو ازش میخره به مبلغی نزدیک 12 هزاردلار یه همچنین چیزی. و این دامین رو ریدایرکت میکنه به وبسایت دیگه ای بنام ………. که اونجا درواقع میاد یکسری مباحثی رو درمورد بحث ……….. میذاره که درواقع نقطه مقابل اینه. یعنی میاد یجوری به کسانی که قربانی Hunter Moore بودن کمک کنه. و خود همین ……….. و این Hunter Moore تقابلی بعد از این فروش دامنه صورت میگیره و دردسر زیادی بوجود میاد و این چهره Hunter Moore از اون طرف که حجم زیادی طرفدار داشته خب یک عده زیادی هم علیه این شروع میکنن به فعالیت کردن. جلوی این پلتفرم این رو بگیرن، چون این همچنان گفته بوده حتی بعد از اینکه این دامین …………. که میفروشه دقیقا پلن داشته که بیاد یک دامین دیگه ای بنام IsAnyoneUp2 مثلا شماره دو رو بیاد بزنه و باز شروع کنه همین رو با شدت بیشتری در واقع بحث ………… انتشار بده تا اینکه ……….. وارد داستان میشه. گروه هکرهای ………. درواقع وقتی می بینن که این حجم مخالفت قربانیان زیاد بودن، شروع میکنن به هک کردن اکانت های این Hunter Moore که حالا خودش درواقع همش میگه که اینها یه مشت هکرهای خیلی آماتور هستن که دارن میان کار خاصی هم نکردن و من هیچ آسیبی هم ندیدم ولی خب بر خلاف اون چیزی که گفته بود، گویا ………. خیلی تونسته بود اون رو تحت فشار قرار بده ولی از همه اینها مهمتر جالبه بگم که Hunter Moore با این همه از نظر اخلاقی کارهایی که انجام داده بود، افراد زیادی رو از این پلتفرمی که راه اندازی کرده بود، مورد آسیب روحی روانی قرار داده بود، جالبه بدونید که دولت یا بگیم دولت آمریکا، دولت فدرال FBI یا نهادهای ……….. اینها نبودند که این شخص رو به زیر کشیدند. مادر یکی از قربانیان بود که در واقع این کار رو آمد و انجام داد. یعنی خیلی نکته ی مهمی بود که تو خود اون مستند بهش اشاره شده بود و این داستان چجوری میشه که این شخص رو در نهایت میتونن بکشن به دادگاه. یکی از قربانیان یک خانمی بوده به اسم ………… که ایشون درواقع از طریق دوستانش متوجه میشه که عکسهای خصوصیش روی این وبسایت قرار گرفته وباز همه این عکسها لینک شدن به پروفایل فیسبوکش و اونجاست که وقتی با مادرش این رو مطرح میکنه، که مادرش خانمی هستش بنام………. ایشون به جد دنبال این قضیه میوفته و دخترش هم بهش میگه من این عکسهارو برای هیچ کسی نفرستادم، اینها فقط تو اکانت ایمیل من بوده. هیچ جای دیگه ای نداشتم. و این دروغ محضه که مثلا کسی رفته باشه که این عکسها رو براش فرستادن و این آپلود کرده. یعنی جای بحث هک مطرح میشه که این احتمال میره که این سیستم کامپیوتریش یا ایمیلش هک شده باشه. و مادر این شخص شروع میکنه درواقع برای ماه ها اطلاعات مختلف از قربانیان این Hunter Moore جمع کردن یک کیس خیلی بزرگی علیه این شخص میسازه. و این با روزنامه نگاران مختلفی صحبت میکنه، با پلیس محلی، با FBI تماس میگیره، فشاری که این شخص میگذاره، مادر این قربانی. باعث میشه نهادهای دولتی مخصوصا ………. مثل FBI وارد داستان بشن واین قضیه رو بررسی کنن. چون متوجه میشه که خیلی افراد زیادی که درواقع قربانی بودن، اصلا سیستم هاشون هیچکدومشون عکسهای خودشون رو با کسی به اشتراک نگذاشتن. یعنی قطعا فقط روی ایمیلشون بوده. از طریق اکانتهای ایمیلشون شاید چند کپی از اینها داشتن. همونها در نهایت سایت از سایت IsAnyoneUp سر درآوردن. و بخاطر همین هم سر این داستان این یک کیس مهمی میتونه باشه علیه این شخص. و جالب اینجاست که این Hunter Moore حتی یک تیمی از افراد داشته. برنامه نویس ها و هکرها که اینها چک میکردن کی ورد Hunter Moore رو با ربات هایی که اگه کسی یک بلاگ پستی یا وبسایتی مطلبی علیه این می نوشته، اینها بلافاصله شروع میکردن که اون دامنه رو حالا یا هک کنن یا از کار بندازن یا مثلا DDOS اتک انجام بدن روش که مثلا خود همین شارلدلو مادر این قربانی میاد یک بلاگ پستی گویا میگذاره علیه این داستان Hunter Moore و تحقیقاتی که انجام داده و توضیح میده حتی مادرش هم آدم خیلی (خیلی جالبه در نظر بگیرید در همون اوایل اون دهه شاید 7-8 سال پیش خیلی روشنی بوده از نظر فنی برای اینکه متوجه نشدن از چه IP Address ی این بلاگ پست شده، میره یک کافی شاپی در شهر دیگه ای ، اگه اشتباه نکنم لاس وگاس گفت، میره اونجا میشینه بلاگ پست رو آپلود میکنه. و متوجه میشه بعد از مثلا چند دقیقه اون صفحه از دسترس خارج میشه. گویا مثلا هکش کردن یا همچنین داستانی. همه ای داستان ها که درواقع انجام میشه. این شارلدلو کیس رو میبره جلو و در نهایت مامورین FBI باهاش تماس میگیرن، شروع به بررسی میکنن و نکته جالبی که وجود داشته، زمانیکه اینها اکانتهای جیمیل قربانیان رو که چک میکنن، می بینن که جزو اون اکانتهایی که برای ریکاوری اکانت درج شده، یک اکانتی هست به اسم گری جونز 815 یه همچنین چیزی. گویا ایمیلی بوده که حالا اون کسی که اکانت ایمیل قربانیان رو هک کرده بوده، این Secondary Email رو اد کرده بوده اونجا که اگه باز بخواد دومرتبه پسورد رو ریست کنه از طریق این بتونه این کار رو انجام بده. یعنی ایمیلی بوده که اون هکر به ظاهر این کار رو انجام داده بوده. و حالا هکر نسبتا ناشی بوده که همچنین کاری کرده بوده. اون زمان هم شما در نظر بگیرید 10 سال پیش level امنیتی که روی جیمیل شما وجود داشت، با این چیزی که شما الان می بینید و مثلا خیلی بحث Two Factor Authentication زیاده، اگه تلاشی بشه که از Geography Location خاصی به این جیمیل شما دسترسی بشه شما بلافاصله نوتیفیکیشن میگیرید، در اون لول نبود. گویا این شخصی که تونسته بوده اکانت کایلالاس دختر شارلوت رو هک کنه و خیلی های دیگه، در نهایت FBI بررسی میکنه و متوجه میشه که یک شخصی هست به اسم گری جونز که حلا هکر خیلی آماتوری بوده که این یکبار سعی کرده بوده Hunter Moore رو هک کنه و بعد Hunter Moore این رو میفهمه بهش میگه تو بجای اینکه بیای من رو هک کنی، بیا من به تو پول میدم که بری اکانت های مختلف رو هک کنی و تصاویر برهنه شون رو برای من بیاری. علتش هم این بوده که این حجم تصاویر برهنه روی وبسایتش اونقدر زیاد نبوده، میخواسته بیاد از این طریق یعنی بحث هک کردن سیستم های افراد، ایمیل هاشون و بدست آوردن تصاویر، آپلود کردنشون روی وبسایت بتونه ترافیک وبسایت خودش رو بیشتر نگه داره تا بازدید کننده بیشتری بگیره. و اینجاست که FBI با توجه به قوانین هک میتونه بیاد کیسی رو علیه این شخص ایجاد کنه و این رو بکشه به دادگاه و میان این رو بازداشت میکنن، Hunter Moore و هکری که همدست باهاش و درنهایت خود شخص Hunter Moore چیزی که با توجه به همه این داستانی که ایجاد کرده بوده و افراد زیادی قربانی شده بودن، در نهایت 30 ماه بهش زندان میدن و چیزی نزدیک چند صد دلار جریمه که شاید به نظر حکمی که گرفته چیز عادلانه ای نباشه ولی خب این درواقع با توجه به اون قوانینی که اون زمان داشتن و نکته فقط خوبی که شاید وجود داشت در اون حکم، این بود که برای lifetime بن میشه از هرگونه activity و social media که درواقع هیچگونه فعالیتی اجازه نداشته باشه داشته باشه یا روی همین اینترنت خیلی فعالیت هاش محدود میشه. برای بازه زمانی طولانی اگه اشتباه نکنم تو مستند اشاره کرده بود، lifetime ولی ممکن هم هست این تغییر شده باشه، چون من یادم میاد یک اکانت توییتری اخیرا دیدم از اینکه باز هم البته توییتر ساسپندش کرده بود. و گویا خب هنوز چون این سنش الان فکرکنم در حد 35-36 سال سن داشته باشه، هنوز هست وفعالیت داره. برای اون Documenter هم که Netflix ساخته بود حتی ازش درخواست کرده بودن که توی اون Documentary شرکت کنه ولی ایشون گویا قبول نکرده بود. ولی در هرصورت این کیسی که درواقع من اشاره کردم بهش، کل این داستان Hunter Moore به عنوان Thee must hated man on the Internet یا نفرت انگیزترین مرد در اینترنت که به BBC درواقع این عنوان رو براش زده بود، وقتی شما نگاه می کنید کل کاری که این شخص انجام میداده یک کار کلی مشمئز کننده از نظر اختلاقی و اجتماعی بوده، ولی می بینید سال ها در واقع از این طریق یک بیزینس خیلی پرمنفعتی داشته و حتی قانون هم نمیتونسته جلوش رو بگیره ولی با توجه به تلاش جماعت زیادی مخصوصا مادر یکی از قربانیان وقتی شما می بینید که با اون تلاش و پیگیری که میکنه میتونه یک پرونده خیلی بزرگی علیه این مخصوصا از لحاظ اون هک درست کنه و حالا FBI وارد این قضیه بشه، بررسی انجام بده و درنهایت این رو بگیرند. این نکته ای که هست حالا قوانین الان خیلی شاید تغییر پیدا کرده، یعنی تمام قوانین رو وقتی شما نگاه می کنید، به مرور زمان خیلی تغییر پیدا کرده، مخصوصا در خورد همین آمریکا و کشورهای مختلف، مثلا در همین ایالت هایی مثل تگزاس که خیلی محافظه کارند، خب اینها قانونی گویا تصویب کرده بودن که همین انتشار تصاویر از بگیم این تیم …………. جاهای مختلف بدن یک شخص بدون داشتن رضایت، هرگونه عکسی رو اگه کسی بخواد انتشار بده در اینترنت، این جریمه داره و چیزی بالغ بر 4 هزار دلار باید جریمه بده، یا حتی به زندان بره، خب این زمان که Hunter Moore این کارها رو میکرد اگه این قانون وجود داشت، قطعا نمیتونست بیاد بیاد همچنین کاری رو انجام بده. ولی در نهایت با اون فشاری که آورده شد از طرف افکار عمومی و حالا قانون گذاران، تونستن این قانون رو بذارن. خیلی کیس های زیاد دیگه ای هم هست. یعنی فقط مخصوص این داستان نیست. من شاید جاهای مختلف هم گفتم همون https که شما دارید روی اینترنت استفاده میکنید، اون s سالها براش زحمت کشیده شده، با دولت آمریکا کیس های حقوقی علیه دولت آمریکا انجام شده EFFکه یکی از نهادهایی هستش که درمورد بحث آزادی اینترنت ، آزادی بیان فعالیت میکنه، برای اینکه بخوان حریم خصوصی افراد حفظ بشه، و بحث Encryption رو بخوان روی وب خیلی روش push کردن، کیس های حقوقی زیادی رو ران کردن، دولت آمریکا میگفت که این باید اعمال نشه تا ما بتونیم قابلیت شنود رو داشته باشیم. جلوی تبهکاران رو بگیریم . از اون طرف EFF بحث حریم خصوصی رو برد جلو تا در نهایت اینها موفق شدن این قابلیت Encryption رو روی وب یا https رو بیان فعال کنند. بصورت بحث قانونی. از زمان کلینتون امضا شد. فرآیند خیلی طولانی و پرفراز و نشیبی هست، این داستان هم که حالا درمورد بحث ……….. من اشاره کردم، درواقع کم و بیش از این داستان نداره. یک نکته جالب دیگه هم که اگه من بخوام در ادامه ی همین …………… بدم همون بحث گروه ………… بود. شما اگه یادتون باشه فکرکنم همون نزدیک 7-8 سال پیش بود، دست اون هک شدن اکانت های سلبریتی های هالیوود خیلی سروصدا کرد. یعنی اکانت های تعداد زیادی از بازیگران هالیوود رو وقتی شما نگاه می کردید، از چهره های مختلفی رو میدید که اکانتهای اینها یک مرتبگی اکانت های iCloud اینها مخصصوصا هک شد و حجم زیادی از عکس ها و تصاویر اینها منتشر شد از اکانت Rihanna، Kim Kardashian، Emma Watson، Jennifer Lawrence یک مرتبگی یک حجم زیادی از این اطلاعات روی اینترنت منتشر شد و جالب اینه که هک اینها باز چجوری صورت گرفت. چون من دیدم توی بعضی از خبرها بحث شده بود که هکرها اومده بودن از …… استفاده کرده بودن برای انجام همچنین هک ها، درصورتی که داستان هک مخصوصا این اکانت های iCloud سلبریتی ها فقط و فقط به اوسنت و فیشینگ بوده، یعنی با استفاده Opensource Intelligence و فیشینگ این هکرها تونسته بودن این اکانت ها رو هک کنن. اون هم به چه صورت؟ خب اول اینها دنبال این بودند که ادرس ایمیل این افراد رو گیر بیارن. نکته اول. اون هم از طریق Opensource Intelligence شما میتونید آدرس ایمیل تمام این سلبریتی ها رو گیر بیارید. آدرس ایمیل که دارن بصورت روزانه چک میکنن. و بعد زمانی هم که شما توییت میکنید. مثلا روی توییتر معمولا می نویسه که شما دارید از اندروید توییت میکنید یا آیفون. متوجه میشن اونهایی که آیفون دارن حتما اکانت iCloud هم دارن. خب اکانت iCloud معمولا بصورت اتوماتیک میاد عکسها رو روی Storage خودش ذخیره میکنه که شامل تمام تصاویری هم که شما با گوشیتون گرفتید هم معمولا هست. و بعد اون هکر میاد یکسری Email Account هایی رو میسازه مثل همون Secure Help Desk مثلا @gmail.com یا Emailprotection@icloud یکسری از این تیپ ایمیل هایی که به نظر خیلی لجیت میاد، و بعد شروع میکنن از اینها ایمیل فرستادن به این شخص ، به اون هدف خودش، حالا قربانیش که یکی از این سلبریتی ها هست و بهشون میگه که آره مثلا این مشکل با اکانت شما بوده، نیاز داره که بیاید پسورد خودتون رو مثلا تغییر بدید. و بعد طرف رو ریدایرکت میکرده به یک صفحه ای که دقیقا کپی یا clone مثلا iCloud Login Page بوده و اونجا این پسورد رو به سرقت میبرده. و از همین طریق اینها سال 2013-2014 حجم فوق العاده زیادی اطلاعات از تصاویر اینها به سرقت برده شد که بعد FBI متوجه میشه چیزی نزدیک به 570 iCloud Account به سرقت رفته و بعد از اینکه چک میکنه ببینه چه IP Address هایی به این اکانت ها دسترسی پیدا کردن، یک IP مشترکی رو پیدا میکنه در شیکاگو که به همه اینها دسترسی پیدا کرده، اون هم بعد از اینکه تحقیق میکنن، میرسن به خونه یک شخصی بنام ایمیلیو هرارا که این شخص رو بازداشت میکنند. سردسته یکی از تیم هکرهایی بوده که از این طریق این عکسها رو به سرقت می برند. حالا سعی داشتن که اینها رو بفروشن روی اینترنت و متاسفانه جالبیش اینه که بعضی از این شبکه ها مثل Reddit یکی از دلایلی که خیلی popular شد شاید به نظر مسخره بیاد، همین اجازه انتشار لینک به این عکس ها روی پلتفرم خودش بود. یعنی برای بازه ی زمانی شاید چندین هفته یا ماه Reddit اینکه عکس های این سلبریتی ها رو از پلتفرم خودش برنداشت چون دید یوزرهای زیادی دارن میان به سمت این و از این استفاده میکنن. یعنی ویو میگیره این صفحات. اون زمانی که انقدر فشار زیاد شد از طرف افکار عمومی و خود این سلبریتی ها هم تهدید کردن که با استفاده از DMCA علیه این کیس میبرن به دادگاه. اونوقت بود که این لینک ها به این عکس های سلبریتی ها که منتشر شده بود رو آمد حذف کرد. این یک فرآیندی بود که انجام شد. و نکته ش اینه که درواقع همین بحثی که میخواستم اشاره کنم هیچ بحثی درخصوص زیرودی نبود، یعنی با استفاده از یکسری تکنیک های خیلی ساده ایمیل های فیشینگ و یکسری صفحات فیک تونسته بودن سلبریتی هایی که روی بحث Security شاید زیاد اطلاعاتی نداشته بودن، براحتی به اون اکانت آیکلودشون و تصاویری که روی گوشی آیفونشون ذخیره شده بود، درواقع بیان دسترسی پیدا کنن. که این بیشتر همون بحث آموزش هست. یعنی نگاه کنید کل این داستان اگر قبل از اینکه حالا اینها روی همون لینکی که میخواستن کلیک کنن یه مقدار بیشتر دقت می کردن که درواقع اونجا هیچ اینکه ببینن Sender اون ایمیل کی هستش، وریفای کنند یا وقتی ایمیلی یه چیزی رو دارید می بینید که تو اون ساختار ایمیلی که دریافت کردید شک میکنید، قطعا روی اون لینک کلیک نکنید. کیس های زیادی هم بوده که ما معمولا تو این اتاق بهش اشاره کردیم. و حالا بحث Multi Factor Authentication خب الان دیگه یک feature ی هست که همه جا باید برای اکانت های ایمیلتون، Social Media، اکانت های بانکی و هر اکانت آنلاینی که میدونید که یکسری اطلاعات Sensitive یا Important روش وجود داره، حتما این بحث MFA رو Enable کنید، و تا جاییکه امکان داره مخصوصا دوستانی که در ایران هستند، از شماره تلفن به عنوان بحث فاکتور دوم در کنار پسورد استفاده نکنن. بیشتر سعی کنید از Mobile Application یا Authenticator های روی موبایل استفاده کنید که حالا گوگل خودش داره، یا پلتفرم های دیگه که خیلی میتونه کمک کنه حتی اگه اون شبکه موبایل دچار مشکل بشه یا از کار بیوفته (منظورم اپراتورتون هست)، همچنان شما بتونید از طریق اون Mobile Application بتونید بحث فاکتور دوم رو بتونید انجام بدید. این یک خلاصه ای بود، حالا من روی این مبحث بازم اشاره میکنم دو رفرسنی که در اول مبحثم من بهش اشاره کردم ، اپیزود 34 ………………………. و خود اون Mini Series که در Netflix منتشر شده، سه تا قسمت یک ساعته هست تقریبا. اگه علاقه مند بودید میتونید اونهارو مطالعه کنید. موارد زیاد دیگه ای هم در این حوزه وجود داره. ما سعی میکنیم برای هفته های آینده هم با دوستان ، با سهیل و مهدی عزیز روی موضوعات مشابه یا درواقع سابجکت های تخصصی تر بتونیم صحبت کنیم. ممنونم از همه دوستان من صحبتم تموم شد. مهدی جان استیج در اختیار شماست.

خیلی ممنون دکتر جان بابت این اخبار و اطلاعات مفیدی که در اختیار ما گذاشتید، دوستان اگه میخوان بیان بالا و نقطه نظرشون رو بیان کنن یا اگه پرسشی دارن با ما درمیون بذارن. بسیار ازتون ممنون که تا اینجای کار با ما بودید، تو جلسات با ما هستین، از سهیل جان و داود جان دوباره متشکرم. و اینکه باز توضیح همیشگی رو به شما بگم، هر هفته ما شنبه شب ها ما اخبار امنیت سایبری رو تحت اتاقی تحت همین نام پنتر پوشش میدیم. اگه مایل بودید خود کلاب پنتر، سخنرانان و شبکه های اجتماعیشون رو فالو کنید. تا از زمان دقیق تشکیل اتاق ها با خبر بشید. اگر هم علاقه مند به شنیدن جلسات برگزار شده کلاب هستید، از طریق Replay کلاب ، کانال یوتیوب یا بلاگ ما به آدرس peneter.com میتونید به فایل صوتی این جلسات دسترسی داشته باشید. امیدوارم که در هفته های آینده هم باز درخدمتتون باشیم با موضوعات جذاب و اخبار خوب. لحظات شادی رو براتون آرزومندم، شب و روزتون خوش.