گروه‌های باج‌افزاری (ransomware) به طور فزاینده‌ای از تاکتیک جدیدی استفاده می‌کنند که شامل بمباران ایمیل و سپس جعل هویت پشتیبانی فنی در تماس‌های مایکروسافت تیمز است تا کارمندان را فریب دهند و کنترل از راه دور سیستم‌ها را به دست آورند. محققان شرکت امنیت سایبری سوفوس (Sophos) گزارش داده‌اند که مهاجمان ابتدا هزاران پیام هرزنامه در مدت زمان کوتاهی ارسال می‌کنند و سپس از طریق حساب Office 365 تحت کنترل خود، خود را به عنوان پشتیبانی فناوری اطلاعات معرفی کرده و با هدف تماس می‌گیرند. این روش که از اواخر سال گذشته در حملات مرتبط با باج‌افزار Black Basta مشاهده شده، اکنون توسط سایر گروه‌های تهدید که احتمالاً با گروه FIN7 مرتبط هستند نیز استفاده می‌شود.
در یکی از کمپین‌های بررسی شده، مهاجمان در عرض ۴۵ دقیقه ۳۰۰۰ ایمیل ارسال کردند و سپس از طریق تماس تیمز با نام “Help Desk Manager” قربانی را متقاعد کردند تا جلسه کنترل از راه دور برقرار کند. سپس فایل‌های مخرب جاوا و اسکریپت‌های پایتون (شامل RPivot backdoor) را نصب کردند که کانال ارتباطی رمزگذاری شده با سرورهای کنترل ایجاد می‌کند. در کمپین دوم، مهاجمان از Microsoft Quick Assist برای دسترسی مستقیم به صفحه‌کلید استفاده کردند و بدافزاری را نصب کردند که کلیدهای فشرده شده را ثبت می‌کند و اعتبارنامه‌های ذخیره شده را جمع‌آوری می‌کند. سوفوس توصیه می‌کند سازمان‌ها دامنه‌های خارجی را از شروع پیام و تماس در تیمز مسدود کنند.
کلمات کلیدی : باج‌افزار, ransomware, مایکروسافت تیمز, امنیت سایبری, Black Basta, کنترل از راه دور
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.