شرکت انرژی آذربایجانی هدف بهره‌برداری مکرر از Microsoft Exchange قرار گرفت

یک گروه هکری وابسته به چین موسوم به FamousSparrow (با نام‌های مستعار UAT-9244، Earth Estries و Salt Typhoon) در فاصله اواخر دسامبر ۲۰۲۵ تا اواخر فوریه ۲۰۲۶ در یک حمله سایبری چندمرحله‌ای، یک شرکت نفت و گاز ناشناس آذربایجانی را هدف قرار داد. شرکت امنیت سایبری رومانیایی Bitdefender این حمله را با اطمینان متوسط تا بالا به این گروه نسبت داده است. مهاجمان از همان نقطه ورودی آسیب‌پذیر، یعنی سرور Microsoft Exchange از طریق زنجیره ProxyNotShell، در سه موج مجزا بهره‌برداری کردند و هر بار با وجود تلاش‌های ترمیمی، بدافزارهای متفاوتی از جمله Deed RAT (جانشین ShadowPad) و TernDoor را مستقر ساختند. Bitdefender تأکید کرد که این هدف‌گیری با توجه به نقش فزاینده آذربایجان در امنیت انرژی اروپا پس از انقضای قرارداد ترانزیت گاز روسیه از طریق اوکراین در ۲۰۲۴ و اختلالات تنگه هرمز در ۲۰۲۶، از اهمیت ژئوپلیتیکی ویژه‌ای برخوردار است.

این عملیات که Bitdefender آن را «پایدار و انطباق‌پذیر» توصیف کرده، شامل تکنیک‌های پیشرفته‌ای نظیر DLL side-loading تکامل‌یافته با استفاده از فایل اجرایی مشروع LogMeIn Hamachi، استقرار web shell برای ایجاد جای‌پای دائمی، و حرکت جانبی (lateral movement) در شبکه قربانی بود. در موج سوم، نسخه اصلاح‌شده‌ای از Deed RAT با زیرساخت فرمان و کنترل (C2) جعلی «sentinelonepro[.]com» به‌کار گرفته شد. این شرکت امنیتی هشدار داد که مهاجمان تا زمانی که آسیب‌پذیری اصلی وصله نشود، اعتبارنامه‌های (credentials) در معرض خطر تغییر نیابند و توانایی بازگشت مهاجم به‌طور کامل مسدود نگردد، به بهره‌برداری مکرر از همان مسیر دسترسی ادامه خواهند داد.