محققان امنیت سایبری یک گروه تهدید ناشناخته با نام «OP-512» را شناسایی کرده‌اند که سرورهای مایکروسافت IIS (Internet Information Services) را هدف قرار داده و یک چارچوب اختصاصی پوسته وب (web shell framework) روی آن‌ها مستقر می‌کند. شرکت ReliaQuest با اطمینان متوسط تا بالا این فعالیت جاسوسی‌محور را به چین مرتبط دانسته است. این گروه چهارمین خوشه تهدید وابسته به چین در کمتر از یک سال گذشته است که سرورهای IIS را هدف گرفته؛ پس از CL-STA-0048، DragonRank و GhostRedirector. چارچوب پوسته وب این گروه از سه پوسته وب تشکیل شده که دسترسی از راه دور به سرورهای آلوده را فراهم می‌کند و با تکنیک‌هایی مانند دستکاری زمان‌برچسب فایل‌ها (timestomping) از شناسایی مبتنی بر امضا (signature-based detection) فرار می‌کند.
ReliaQuest تأکید کرده که OP-512 از ابزارهای عمومی استفاده نمی‌کند، بلکه یک چارچوب هدفمند و اختصاصی به‌کار می‌گیرد که برای دور زدن روش‌های شناسایی مؤثر علیه سه گروه دیگر طراحی شده است. در حمله مشاهده‌شده، این گروه یک سرور IIS قدیمی با ویندوز سرور ۲۰۱۶ و چارچوب .NET نسخه ۴.۰ که دیگر پشتیبانی نمی‌شود را هدف قرار داد و پس از استقرار پوسته‌های وب، تلاش کرد با استفاده از ابزار Potato Suite سطح دسترسی خود را به سطح SYSTEM ارتقا دهد. این شرکت هشدار داد که سرورهای IIS اینترنت‌محور با نرم‌افزارهای قدیمی و بدون پشتیبانی، همچنان نقطه ورود ترجیحی این اکوسیستم تهدید باقی مانده‌اند.
کلمات کلیدی : حمله سایبری چین, گروه OP-512, پوسته وب مایکروسافت IIS, جاسوسی سایبری, ارتقاء سطح دسترسی SYSTEM, سرورهای IIS آسیب‌پذیر
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.