افزایش اسکن‌های هماهنگ علیه سرورهای احراز هویت Microsoft RDP

شرکت اطلاعات اینترنتی GreyNoise گزارش داده که افزایش قابل توجهی در فعالیت‌های اسکن شامل نزدیک به ۱,۹۷۱ آدرس IP مشاهده کرده که به صورت هماهنگ در حال بررسی پورتال‌های احراز هویت Microsoft Remote Desktop Web Access و RDP Web Client هستند، که نشان‌دهنده یک کمپین شناسایی هماهنگ است. محققان می‌گویند این تغییر عظیمی در فعالیت است، زیرا شرکت معمولاً روزانه تنها ۳ تا ۵ آدرس IP را مشاهده می‌کند که این نوع اسکن را انجام می‌دهند. GreyNoise اعلام کرده که این موج اسکن‌ها در حال آزمایش نقص‌های زمان‌بندی (timing flaws) است که می‌تواند برای تأیید نام‌های کاربری استفاده شود و زمینه را برای حملات مبتنی بر اعتبارنامه مانند حملات brute force یا password-spray فراهم کند.

بر اساس گزارش، ۱,۸۵۱ آدرس IP امضای مشتری یکسانی داشتند و تقریباً ۹۲ درصد آنها قبلاً به عنوان مخرب علامت‌گذاری شده بودند. این آدرس‌های IP عمدتاً از برزیل منشأ گرفته و آدرس‌های IP در ایالات متحده را هدف قرار داده‌اند که ممکن است نشان‌دهنده یک botnet واحد یا مجموعه ابزار باشد. محققان می‌گویند زمان‌بندی این حمله با فصل بازگشت به مدرسه در آمریکا همزمان است، زمانی که مدارس و دانشگاه‌ها ممکن است سیستم‌های RDP خود را مجدداً آنلاین کنند. نوآ استون از GreyNoise توضیح می‌دهد: “زمان‌بندی ممکن است تصادفی نباشد. ۲۱ اوت دقیقاً در بازه بازگشت به مدرسه آمریکا قرار دارد، زمانی که دانشگاه‌ها و مدارس آزمایشگاه‌ها و دسترسی‌های راه دور پشتیبانی‌شده توسط RDP را آنلاین کرده و هزاران حساب جدید ایجاد می‌کنند.”