بدافزار مبتنی بر پایتون باعث تقویت باج‌افزار RansomHub برای سوءاستفاده از آسیب‌پذیری‌های شبکه می‌شود

محققان امنیت سایبری جزئیات حمله‌ای را منتشر کردند که در آن مهاجمان از یک بک‌دور مبتنی بر پایتون برای حفظ دسترسی مداوم به سیستم‌های هدف استفاده کرده و سپس باج‌افزار RansomHub را در سراسر شبکه مورد نظر گسترش دادند. بر اساس گزارش GuidePoint Security، دسترسی اولیه از طریق بدافزار جاوا اسکریپت SocGholish (معروف به FakeUpdates) تسهیل شده که از طریق کمپین‌های فریبکارانه توزیع می‌شود و کاربران را به دانلود به‌روزرسانی‌های جعلی مرورگر وادار می‌کند. این حملات معمولاً از وب‌سایت‌های مشروع اما آلوده استفاده می‌کنند که قربانیان از طریق تکنیک‌های سئوی کلاه سیاه (Black Hat SEO) به آنها هدایت می‌شوند.

در حادثه مورد بررسی، بک‌دور پایتون حدود ۲۰ دقیقه پس از آلودگی اولیه توسط SocGholish نصب شد و مهاجم آن را از طریق جلسات RDP به سایر دستگاه‌های شبکه منتقل کرد. این اسکریپت به عنوان یک پروکسی معکوس عمل کرده و تونلی بر اساس پروتکل SOCKS5 ایجاد می‌کند که به مهاجم امکان حرکت جانبی در شبکه را می‌دهد. همزمان، محققان Halcyon گزارش دادند که کمپین‌های باج‌افزار اخیر از ابزارهای متنوعی شامل EDRSilencer برای غیرفعال کردن راه‌حل‌های تشخیص نقطه پایانی (EDR) و LaZagne برای سرقت اعتبارنامه‌ها استفاده می‌کنند. علاوه بر این، مهاجمی با نام Codefinger با سوءاستفاده از کلیدهای AWS عمومی، باکت‌های Amazon S3 را هدف قرار داده و با استفاده از رمزگذاری سمت سرور AWS، داده‌های قربانیان را رمزگذاری کرده و آنها را تهدید به حذف فایل‌ها ظرف هفت روز می‌کند.