گروه تهدید کره شمالی از تکنیک “ربودن RID” (RID hijacking) برای فریب ویندوز استفاده کرده تا حساب‌های کاربری با دسترسی محدود را به عنوان حساب‌های مدیریتی شناسایی کند. محققان شرکت امنیت سایبری آن‌لب (AhnLab) کره جنوبی این حملات را به گروه “اندریل” (Andariel) نسبت داده‌اند که با گروه هکری لازاروس کره شمالی مرتبط است. این تکنیک شامل تغییر شناسه نسبی (RID) حساب‌های کم‌دسترسی برای تطبیق با مقادیر حساب‌های مدیریتی است، که باعث اعطای دسترسی بالا توسط ویندوز می‌شود.
مهاجمان ابتدا با استفاده از ابزارهایی مانند PsExec و JuicyPotato دسترسی SYSTEM به دست آورده، سپس حساب کاربری مخفی با دسترسی محدود ایجاد کرده و با تغییر رجیستری SAM، سطح دسترسی آن را به مدیریتی ارتقا می‌دهند. برای پنهان‌سازی ردپای خود، آن‌ها تنظیمات رجیستری تغییریافته را صادر کرده، کلید و حساب جعلی را حذف کرده و سپس از پشتیبان ذخیره‌شده مجدداً ثبت می‌کنند. برای کاهش خطرات این نوع حملات، مدیران سیستم باید از سرویس LSA برای بررسی تلاش‌های ورود استفاده کرده، دسترسی غیرمجاز به رجیستری SAM را محدود کرده و احراز هویت چندعاملی را حتی برای حساب‌های کم‌دسترسی فعال کنند.
کلمات کلیدی : RID hijacking, کره شمالی, اندریل, لازاروس, امنیت سایبری, رجیستری SAM
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.