یک عامل تهدید بدافزار جدیدی به نام OVERSTEP را مستقر کرده که فرآیند بوت دستگاه‌های SonicWall Secure Mobile Access را تغییر می‌دهد. این بک‌دور یک روت‌کیت حالت کاربری (user-mode rootkit) است که به هکرها امکان پنهان‌سازی اجزای مخرب، حفظ دسترسی مداوم و سرقت اعتبارنامه‌های حساس را می‌دهد. محققان گروه اطلاعات تهدید گوگل (GTIG) این روت‌کیت را در حملاتی مشاهده کردند که احتمالاً از “آسیب‌پذیری ناشناخته اجرای کد از راه دور روز صفر” استفاده کرده‌اند. این عامل تهدید با نام UNC6148 شناخته می‌شود و حداقل از اکتبر گذشته فعال بوده، با هدف قرار دادن سازمانی تا اخیراً در ماه می.
هکرها دستگاه‌های پایان عمر (EoL) سری SMA 100 سونیک‌وال را هدف قرار می‌دهند که دسترسی امن از راه دور به منابع سازمانی فراهم می‌کنند. GTIG با اطمینان بالا ارزیابی می‌کند که UNC6148 از آسیب‌پذیری شناخته‌شده‌ای برای سرقت اعتبارنامه‌های مدیر قبل از به‌روزرسانی دستگاه استفاده کرده است. پس از نفوذ، این گروه روت‌کیت OVERSTEP را مستقر کرده که قابلیت‌های ضدتحلیل جنایی دارد و به مهاجم امکان حذف انتخابی ورودی‌های لاگ را می‌دهد. از آنجا که فایل‌های سرقت‌شده از قربانی بعداً در سایت نشت داده World Leaks منتشر شد، محققان معتقدند UNC6148 در حملات سرقت داده و اخاذی درگیر است و ممکن است باج‌افزار Abyss را نیز مستقر کند.
کلمات کلیدی : بدافزار OVERSTEP, روت‌کیت, SonicWall, آسیب‌پذیری روز صفر, سرقت اعتبارنامه, باج‌افزار
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.