گروه هکری روسی Curly COMrades از فناوری Hyper-V مایکروسافت در ویندوز برای دور زدن راه‌حل‌های تشخیص و پاسخ نقطه پایانی (endpoint detection and response) سوءاستفاده می‌کند و با ایجاد یک ماشین مجازی مخفی مبتنی بر Alpine Linux، بدافزار خود را اجرا می‌کند. این گروه تهدید که از اواسط سال ۲۰۲۴ فعال است و فعالیت‌هایش با منافع ژئوپلیتیک روسیه همسو است، قبلاً نهادهای دولتی و قضایی گرجستان و شرکت‌های انرژی مولداوی را هدف قرار داده بود.
محققان Bitdefender کشف کردند که مهاجمان پس از دسترسی از راه دور به دو دستگاه در اوایل ژوئیه، دستوراتی برای فعال‌سازی Hyper-V و غیرفعال کردن رابط مدیریت آن اجرا کردند. آن‌ها یک ماشین مجازی سبک Alpine Linux با حجم تنها ۱۲۰ مگابایت و ۲۵۶ مگابایت حافظه ایجاد کردند که ابزارهای سفارشی CurlyShell (پوسته معکوس) و CurlCat (پروکسی معکوس) را میزبانی می‌کرد. با نام‌گذاری ماشین مجازی به عنوان ‘WSL’ برای تشبیه به ویژگی Windows Subsystem for Linux، مهاجمان توانستند از تشخیص EDR سنتی مبتنی بر میزبان که فاقد قابلیت‌های بازرسی شبکه بودند، فرار کنند و تمام ترافیک مخرب از آدرس IP دستگاه میزبان مشروع منشأ می‌گرفت.
کلمات کلیدی : گروه هکری روسی, Hyper-V مایکروسافت, endpoint detection and response, Alpine Linux, بدافزار, CurlyShell
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.