گزارش جدید تحلیل‌های پاسخ به حوادث (Incident Response) نشان می‌دهد که فیشینگ همچنان اصلی‌ترین تکنیک برای دسترسی اولیه (Initial Access) است، هرچند سهم آن نسبت به فصل گذشته کاهش یافته است. نکته قابل توجه در این دوره، افزایش استفاده از Vishing (فیشینگ صوتی) است؛ در این حملات، عامل تهدید با جعل هویت میز کمک‌های IT، قربانی را متقاعد می‌کند تا از طریق ابزارهای مدیریت از راه دور (RMM) معتبر، دسترسی سیستم خود را در اختیار مهاجم قرار دهد.
افزایش فعالیت‌های باج‌افزاری و ظهور VYPR
حوادث مرتبط با باج‌افزار (Ransomware) در سه ماهه سوم ۲۰۲۶ به ۲۷ درصد از کل موارد رسید که افزایش قابل توجهی را نشان می‌دهد. در این میان، گروه‌های شناخته‌شده‌ای مانند Qilin، Rhysida و Interlock فعال بوده‌اند. همچنین یک گونه جدید باج‌افزاری به نام VYPR شناسایی شده است که اگرچه از نظر فنی هنوز تکامل نیافته و از کدهای قدیمی Conti استفاده می‌کند، اما از متدهای پیچیده‌ای برای نفوذ استفاده کرده است.
تکنیک‌های تخریب سیستم‌های دفاعی (EDR Killers)
یکی از روندهای نگران‌کننده، اولویت دادن مهاجمان به تخریب کامل ابزارهای امنیتی به جای دور زدن آن‌هاست. عاملان تهدید برای غیرفعال کردن سیستم‌های EDR از روش‌های زیر استفاده می‌کنند:
- BYOVD (Bring Your Own Vulnerable Driver): استفاده از درایورهای آسیب‌پذیر اما معتبر برای دسترسی به سطح Kernel و متوقف کردن پردازش‌های امنیتی.
- WDAC: بهره‌برداری از کنترل برنامه‌های ویندوز (Windows Defender Application Control) برای مسدود کردن ابزارهای دفاعی.
- استفاده از ابزارهایی مانند PsExec و taskkill برای متوقف کردن سرویس‌های بررسی یکپارچگی سیستم.
جاسوسی سایبری و عملیات Salt Typhoon
حملات پیچیده و طولانی‌مدت علیه بخش مخابرات همچنان ادامه دارد. این عملیات‌ها با اطمینان بالا به عاملان تهدید تحت حمایت دولت چین، از جمله گروه Salt Typhoon، نسبت داده شده است. این مهاجمان از آسیب‌پذیری CVE-2023-20198 در رابط‌های مدیریت وب برای دسترسی اولیه استفاده کرده و برای حفظ دسترسی (Persistence)، وب‌شل (Web Shell) موسوم به BadCandy را مستقر می‌کنند.
این گروه همچنین از تاکتیک‌های Living-off-the-land (LOTL) بهره می‌برند و با استفاده از قابلیت‌های قانونی شبکه مانند VPN و پروتکل‌های مدیریت، فعالیت‌های خود را با عملیات‌های اداری عادی ترکیب می‌کنند تا شناسایی نشوند.
هوش مصنوعی: ابزار و هدف جدید
هوش مصنوعی (AI) اکنون هم به عنوان سلاح و هم به عنوان هدف در حملات ظاهر شده است. در برخی موارد، مهاجمان تلاش کرده‌اند تا توکن‌ها و اسرار (Secrets) مربوط به دستیارهای AI مانند Anthropic Claude Code را از Keychain سیستم‌های macOS استخراج کنند. این موضوع نشان می‌دهد که مهاجمان به دنبال دسترسی به پلتفرم‌های AI هستند تا از قابلیت‌های اتوماسیون پیشرفته آن‌ها برای تسریع حملات خود استفاده کنند.
توصیه‌های امنیتی برای مدیران SOC و CISOها
برای مقابله با این تهدیدات، پیاده‌سازی موارد زیر ضروری است:
- متمرکز کردن لاگ‌ها: استفاده از SIEM با بازه نگهداری حداقل ۹۰ روزه برای جلوگیری از پاکسازی لاگ‌ها توسط مهاجم.
- ارتقای MFA: جایگزینی MFAهای مبتنی بر SMS و Push با روش‌های مقاوم در برابر فیشینگ مانند FIDO2/WebAuthn و کلیدهای سخت‌افزاری.
- مدیریت سخت‌گیرانه اسرار (Secrets): ممنوعیت ذخیره رمزها در مرورگر و استفاده از Password Managerهای سازمانی برای جلوگیری از سرایت (Infection) سریع در شبکه.
