Storm-0249 حملات باج‌افزاری را با ClickFix، پاورشل بدون فایل و بارگذاری جانبی DLL تشدید می‌کند

گروه تهدید سایبری Storm-0249 که پیش‌تر به‌عنوان کارگزار دسترسی اولیه (initial access broker) شناخته می‌شد، اکنون به سمت تاکتیک‌های پیشرفته‌تری همچون جعل دامنه، بارگذاری جانبی DLL و اجرای بدون فایل پاورشل برای تسهیل حملات باج‌افزاری حرکت کرده است. شرکت ReliaQuest در گزارشی اعلام کرد که این روش‌ها به مهاجمان اجازه می‌دهد از دفاع‌های امنیتی عبور کرده، به شبکه‌ها نفوذ کنند و بدون شناسایی فعالیت نمایند. این گروه که مایکروسافت نخستین‌بار در سپتامبر ۲۰۲۴ آن را شناسایی کرد، پیش‌تر دسترسی‌های اولیه به سازمان‌ها را به گروه‌های جنایتکار سایبری از جمله باج‌افزارهایی مانند Storm-0501 می‌فروخت.

یافته‌های جدید نشان می‌دهد Storm-0249 از تاکتیک مهندسی اجتماعی ClickFix برای فریب قربانیان استفاده می‌کند تا دستورات مخرب را از طریق پنجره Run ویندوز اجرا کنند. این دستورات یک اسکریپت پاورشل را از دامنه‌ای جعلی شبیه به مایکروسافت دریافت کرده و یک فایل DLL مخرب مرتبط با راه‌حل امنیتی SentinelOne را نصب می‌کنند. ReliaQuest تأکید کرد که این حملات دیگر فیشینگ انبوه نیستند بلکه حملات دقیقی هستند که برای آماده‌سازی حملات باج‌افزاری طراحی شده‌اند، به‌طوری که گروه‌های باج‌افزاری مانند LockBit و ALPHV از شناسه منحصربه‌فرد سیستم (MachineGuid) برای اتصال کلیدهای رمزنگاری به سیستم‌های قربانی استفاده می‌کنند تا حتی در صورت دستیابی مدافعان به فایل باج‌افزار، رمزگشایی بدون کلید مهاجم غیرممکن باشد.