حمله فیشینگ از اعتبارنامه‌های سرقت‌شده برای نصب RMM لاگ‌می‌این جهت دسترسی مداوم استفاده می‌کند

محققان امنیت سایبری جزئیات یک کمپین دو مرحله‌ای جدید را افشا کرده‌اند که از اعتبارنامه‌های سرقت‌شده برای استقرار نرم‌افزارهای قانونی نظارت و مدیریت از راه دور (RMM) به منظور دسترسی مداوم به سیستم‌های هک‌شده استفاده می‌کند. محققان آزمایشگاه تهدیدات KnowBe4 اعلام کردند که مهاجمان به‌جای استقرار ویروس‌های سفارشی، با تبدیل ابزارهای فناوری اطلاعات مورد اعتماد مدیران سیستم به سلاح، محیط‌های امنیتی را دور می‌زنند و با سرقت “کلید اصلی” سیستم، نرم‌افزارهای RMM قانونی را به یک درب پشتی دائمی تبدیل می‌کنند.

حمله در دو موج مجزا انجام می‌شود: ابتدا مهاجمان با ارسال ایمیل‌های جعلی به نام پلتفرم Greenvelope، قربانیان را فریب داده و اعتبارنامه‌های Microsoft Outlook، Yahoo و AOL آن‌ها را از طریق لینک‌های فیشینگ سرقت می‌کنند. سپس با استفاده از این اطلاعات، در سرویس LogMeIn ثبت‌نام کرده و توکن‌های دسترسی RMM تولید می‌کنند که از طریق فایل اجرایی “GreenVelopeCard.exe” با گواهی دیجیتال معتبر، نرم‌افزار LogMeIn Resolve را به‌صورت مخفیانه نصب می‌کنند. مهاجمان پس از استقرار ابزار RMM، تنظیمات سرویس را تغییر داده تا با دسترسی نامحدود در ویندوز اجرا شود و وظایف زمان‌بندی‌شده مخفی ایجاد می‌کنند تا برنامه حتی پس از بستن دستی توسط کاربر، مجدداً راه‌اندازی شود. برای مقابله با این تهدید، توصیه می‌شود سازمان‌ها نصب و الگوهای استفاده غیرمجاز از نرم‌افزارهای RMM را رصد کنند.