به زبان ساده Named Pipeچیست؟
✍️روزبه نوروزی
یک Named Pipe یک روش برای ارتباط بین دو برنامه یا پردازش در ویندوز است، مثل یک کانال مخفی بین دو نفر که فقط خودشان می‌دانند از آن استفاده کنند.
مثال:
فرض کن یک برنامه‌ی چت داری که دو نفر از طریق آن پیام رد و بدل می‌کنند. اگر به جای استفاده از اینترنت، این دو نفر در یک اتاق مخفی باشند و فقط از یک لوله‌ی پلاستیکی برای حرف زدن استفاده کنند، این همان Named Pipe است!
هکر چطور از Named Pipe سوءاستفاده می‌کند؟
هکرها از Named Pipe برای ارتباط مخفیانه بین پردازش‌های مخرب خود استفاده می‌کنند.
چند روش رایج:
✴️اجرای دستورات از راه دور (Lateral Movement)
هکر روی یک کامپیوتر دسترسی گرفته و می‌خواهد به کامپیوتر دیگر در همان شبکه دستور بفرستد.
از Named Pipe برای ارسال فرامین به یک پروسه‌ی مخرب در کامپیوتر دیگر استفاده می‌کند.
ابزار Cobalt Strike و Metasploit از این روش زیاد استفاده می‌کنند.
✴️مخفی‌کردن ارتباطات بین بدافزارها
بدافزار اصلی، یک Named Pipe ایجاد می‌کند و یک برنامه‌ی دیگر را مجبور می‌کند که از طریق این Pipe اطلاعات را منتقل کند.
به این روش، "Command and Control (C2) مخفی" می‌گویند.
✴️دور زدن فایروال و آنتی‌ویروس
چون Named Pipe در داخل خود سیستم‌عامل اجرا می‌شود، خیلی از فایروال‌ها و آنتی‌ویروس‌ها متوجه آن نمی‌شوند.
مهاجم می‌تواند بدون ارسال داده به اینترنت، اطلاعات را بین دو پروسه رد و بدل کند.
✴️افزایش سطح دسترسی (Privilege Escalation)
بعضی برنامه‌ها از Named Pipe برای دستورات مدیریتی (Admin) استفاده می‌کنند.
هکر می‌تواند یک Pipe جعلی با نام مشابه ایجاد کند و سیستم را فریب دهد تا دستورات حساس را به جای برنامه‌ی اصلی، به هکر ارسال کند.
چگونه می‌توان جلوی این سوءاستفاده را گرفت؟
✅ پایش (Monitoring) و ثبت لاگ (Logging) → با Sysmon و Event Tracing for Windows (ETW) فعالیت‌های مشکوک Named Pipe را شناسایی کنید.
✅ محدود کردن دسترسی‌ها → فقط برنامه‌های مشخص بتوانند از Named Pipe استفاده کنند.
✅ بررسی رفتار غیرعادی پردازش‌ها → اگر یک پردازش مشکوک یک Named Pipe ایجاد کرد و از طریق آن کد اجرا شد، احتمال حمله وجود دارد.
🟣نتیجه:
هکر از Named Pipe به عنوان یک تونل مخفی برای ارتباط بین بدافزارها، اجرای دستورات از راه دور و دور زدن آنتی‌ویروس استفاده می‌کند. اگر در SOC فعالیت‌های Named Pipe را بررسی نکنید، ممکن است مهاجم به راحتی در شبکه حرکت کند بدون اینکه شناسایی شود.
#من_آموزش_میدهم
#آکادمی_روزبه
✍️روزبه نوروزی
یک Named Pipe یک روش برای ارتباط بین دو برنامه یا پردازش در ویندوز است، مثل یک کانال مخفی بین دو نفر که فقط خودشان می‌دانند از آن استفاده کنند.
مثال:
فرض کن یک برنامه‌ی چت داری که دو نفر از طریق آن پیام رد و بدل می‌کنند. اگر به جای استفاده از اینترنت، این دو نفر در یک اتاق مخفی باشند و فقط از یک لوله‌ی پلاستیکی برای حرف زدن استفاده کنند، این همان Named Pipe است!
هکر چطور از Named Pipe سوءاستفاده می‌کند؟
هکرها از Named Pipe برای ارتباط مخفیانه بین پردازش‌های مخرب خود استفاده می‌کنند.
چند روش رایج:
✴️اجرای دستورات از راه دور (Lateral Movement)
هکر روی یک کامپیوتر دسترسی گرفته و می‌خواهد به کامپیوتر دیگر در همان شبکه دستور بفرستد.
از Named Pipe برای ارسال فرامین به یک پروسه‌ی مخرب در کامپیوتر دیگر استفاده می‌کند.
ابزار Cobalt Strike و Metasploit از این روش زیاد استفاده می‌کنند.
✴️مخفی‌کردن ارتباطات بین بدافزارها
بدافزار اصلی، یک Named Pipe ایجاد می‌کند و یک برنامه‌ی دیگر را مجبور می‌کند که از طریق این Pipe اطلاعات را منتقل کند.
به این روش، "Command and Control (C2) مخفی" می‌گویند.
✴️دور زدن فایروال و آنتی‌ویروس
چون Named Pipe در داخل خود سیستم‌عامل اجرا می‌شود، خیلی از فایروال‌ها و آنتی‌ویروس‌ها متوجه آن نمی‌شوند.
مهاجم می‌تواند بدون ارسال داده به اینترنت، اطلاعات را بین دو پروسه رد و بدل کند.
✴️افزایش سطح دسترسی (Privilege Escalation)
بعضی برنامه‌ها از Named Pipe برای دستورات مدیریتی (Admin) استفاده می‌کنند.
هکر می‌تواند یک Pipe جعلی با نام مشابه ایجاد کند و سیستم را فریب دهد تا دستورات حساس را به جای برنامه‌ی اصلی، به هکر ارسال کند.
چگونه می‌توان جلوی این سوءاستفاده را گرفت؟
✅ پایش (Monitoring) و ثبت لاگ (Logging) → با Sysmon و Event Tracing for Windows (ETW) فعالیت‌های مشکوک Named Pipe را شناسایی کنید.
✅ محدود کردن دسترسی‌ها → فقط برنامه‌های مشخص بتوانند از Named Pipe استفاده کنند.
✅ بررسی رفتار غیرعادی پردازش‌ها → اگر یک پردازش مشکوک یک Named Pipe ایجاد کرد و از طریق آن کد اجرا شد، احتمال حمله وجود دارد.
🟣نتیجه:
هکر از Named Pipe به عنوان یک تونل مخفی برای ارتباط بین بدافزارها، اجرای دستورات از راه دور و دور زدن آنتی‌ویروس استفاده می‌کند. اگر در SOC فعالیت‌های Named Pipe را بررسی نکنید، ممکن است مهاجم به راحتی در شبکه حرکت کند بدون اینکه شناسایی شود.
#من_آموزش_میدهم
#آکادمی_روزبه
Comments
Be the first to add a comment
Log in to comment