مهاجمان سایبری از نصب‌کننده ConnectWise ScreenConnect برای ساخت بدافزار دسترسی از راه دور امضاشده سوءاستفاده می‌کنند و با تغییر تنظیمات مخفی درون امضای Authenticode کلاینت، فایل‌های مخرب را ایجاد می‌کنند. شرکت امنیت سایبری G DATA نمونه‌هایی از باینری‌های مخرب ConnectWise را مشاهده کرده که دارای مقادیر هش یکسان در تمام بخش‌های فایل هستند، اما جدول گواهی آن‌ها حاوی اطلاعات پیکربندی مخرب جدید است و در عین حال فایل همچنان امضاشده باقی می‌ماند. این تکنیک که “authenticode stuffing” نامیده می‌شود، امکان درج داده در جدول گواهی را فراهم می‌کند بدون اینکه امضای دیجیتال آسیب ببیند.
حملات فیشینگ شناسایی‌شده از طریق فایل‌های PDF یا صفحات واسطه Canva که به فایل‌های اجرایی میزبانی‌شده روی سرورهای Cloudflare R2 لینک می‌دهند، انجام می‌شوند. مهاجمان کلاینت مشروع ConnectWise ScreenConnect را به بدافزاری تبدیل کرده‌اند که به آن‌ها اجازه دسترسی مخفیانه به دستگاه‌های آلوده را می‌دهد، با تغییر عنوان نصب‌کننده به “Windows Update” و جایگزینی پس‌زمینه با تصویر جعلی به‌روزرسانی ویندوز. پس از تماس G DATA، ConnectWise گواهی استفاده‌شده در این باینری‌ها را لغو کرد و این نمونه‌ها اکنون به عنوان Win32.Backdoor.EvilConwi و Win32.Riskware.SilentConwi شناسایی می‌شوند.
کلمات کلیدی : مهاجمان سایبری, ConnectWise ScreenConnect, بدافزار دسترسی از راه دور, authenticode stuffing, حملات فیشینگ, امنیت سایبری
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.