گروه سایبری بدنام Scattered Spider در حال هدف قرار دادن هایپروایزرهای VMware ESXi در حملاتی علیه بخش‌های خرده‌فروشی، هواپیمایی و حمل‌ونقل در آمریکای شمالی است. تیم Mandiant گوگل اعلام کرد که این گروه که با نام‌های 0ktapus، Muddled Libra، Octo Tempest و UNC3944 نیز شناخته می‌شود، از تاکتیک‌های مهندسی اجتماعی پیشرفته برای دسترسی اولیه استفاده کرده و سپس با رویکرد “زندگی روی زمین” (living-off-the-land) سیستم‌های اداری قابل اعتماد را دستکاری می‌کند تا به محیط VMware vSphere دسترسی پیدا کند.
روش حمله در پنج مرحله مجزا انجام می‌شود که شامل سازش اولیه، شناسایی و افزایش امتیازات است. مهاجمان با تماس تلفنی با میز کمک فناوری اطلاعات و جعل هویت مدیران ارشد، درخواست بازنشانی رمز عبور می‌دهند و پس از دسترسی به VMware vCenter Server Appliance، یک پوسته معکوس رمزگذاری شده ایجاد می‌کنند. آن‌ها سپس اتصالات SSH روی میزبان‌های ESXi را فعال کرده، رمزهای عبور root را بازنشانی می‌کنند و حمله‌ای به نام “disk-swap” را برای استخراج پایگاه داده Active Directory انجام می‌دهند. گوگل هشدار داد که این تهدید به دلیل سرعت و مخفی‌کاری بالا، نیازمند تغییر بنیادین در استراتژی دفاعی از شکار تهدید مبتنی بر EDR به دفاع فعال و متمرکز بر زیرساخت است.
کلمات کلیدی : Scattered Spider, VMware ESXi, مهندسی اجتماعی, vCenter Server, حملات سایبری, زیرساخت IT
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.