یک کارگزار دسترسی اولیه (Initial Access Broker) با نام Storm-0249 از راه‌حل‌های تشخیص و پاسخ نقطه پایانی (EDR) و ابزارهای معتبر ویندوز برای بارگذاری بدافزار و ایجاد ارتباط پایدار به‌منظور آماده‌سازی حملات باج‌افزاری سوءاستفاده می‌کند. محققان شرکت امنیت سایبری ReliaQuest گزارش داده‌اند که این مهاجم در یک حمله از اجزای EDR سنتینل‌وان برای پنهان‌سازی فعالیت‌های مخرب استفاده کرده است، اما این روش با سایر محصولات EDR نیز کارآمد است. حمله با مهندسی اجتماعی ClickFix آغاز شد که کاربران را فریب داد تا دستورات curl را در پنجره Run ویندوز اجرا کنند و یک بسته MSI مخرب با دسترسی SYSTEM دانلود کنند.
پس از دسترسی، مهاجم یک فایل DLL مخرب را در کنار فایل قانونی SentinelAgentWorker.exe قرار داده و از طریق بارگذاری جانبی DLL (DLL Sideloading) آن را اجرا می‌کند، که این کار پایداری مخفیانه‌ای ایجاد می‌کند که حتی پس از به‌روزرسانی سیستم‌عامل باقی می‌ماند. مهاجمان از این روش برای جمع‌آوری شناسه‌های سیستم و برقراری ارتباط رمزنگاری‌شده HTTPS با سرور فرمان و کنترل استفاده می‌کنند. محققان اشاره کرده‌اند که سیستم‌های آسیب‌دیده با استفاده از MachineGuid پروفایل‌بندی می‌شوند که گروه‌های باج‌افزاری مانند LockBit و ALPHV از آن استفاده می‌کنند، که نشان می‌دهد Storm-0249 دسترسی‌های اولیه را متناسب با نیاز مشتریان باج‌افزاری خود انجام می‌دهد.
کلمات کلیدی : باج‌افزاری, EDR, بارگذاری جانبی DLL, کارگزار دسترسی اولیه, مهندسی اجتماعی, سنتینل‌وان
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.