در تحلیل‌های سنتی امنیت سایبری، تمرکز اصلی تیم‌های دفاعی بر شناسایی و مسدودسازی Payload (پیلود) یا همان بخش مخرب بدافزار است. اما روندهای جدید نشان می‌دهند که حملات مدرن، فرآیند توزیع خود را بسیار پیش از اجرای کد مخرب آغاز می‌کنند. یکی از نمونه‌های بارز، کیت اکسپلویت (Exploit Kit) موسوم به Coruna برای سیستم‌عامل iOS است که با دقت بسیار بالایی کاربران را فیلتر می‌کند.
تکنیک انتخاب هدف و اثرانگشت‌گذاری (Fingerprinting)
کیت‌های مدرنی مانند Coruna از ماژول‌های JavaScript Fingerprinting (اثرانگشت‌گذاری جاوااسکریپت) استفاده می‌کنند تا پیش از ارائه اکسپلویت، هویت بازدیدکننده را بررسی کنند. این سیستم‌ها بررسی می‌کنند که آیا بازدیدکننده یک دستگاه واقعی است، مدل iPhone چیست و نسخه iOS آن کدام است. در این مرحله، ابزارهای امنیتی، اسکنرها (Scanners)، دستگاه‌هایی که در حالت Lockdown Mode هستند و حتی نشست‌های مرورگر خصوصی (Private Browsing) شناسایی و از چرخه حمله حذف می‌شوند. این یعنی مهاجم تنها زمانی اکسپلویت را ارسال می‌کند که از واقعی بودن و آسیب‌پذیر بودن هدف اطمینان حاصل کرده باشد.
ساختار پنج‌گانه کمپین‌های مدرن توزیع بدافزار
یک کمپین توزیع بدافزار مدرن را باید به عنوان یک سیستم لجستیک پیچیده در نظر گرفت که از پنج مرحله اصلی تشکیل شده است:
- Acquisition (جذب): استفاده از تبلیغات پولی، نتایج جستجو، سایت‌های هک شده یا لینک‌های پیام‌رسان‌ها.
- Routing (مسیریابی): استفاده از Redirectors (ریدایرکتورها) و سیستم‌های توزیع ترافیک (TDS) برای تعیین مسیر هر بازدیدکننده.
- Trusted Infrastructure (زیرساخت‌های قابل اعتماد): بهره‌گیری از CDNها، مخازن کد و سرویس‌های اشتراک فایل برای ادغام ترافیک مخرب در میان ترافیک عادی.
- Visitor Qualification (احراز هویت بازدیدکننده): استفاده از تکنیک‌های Fingerprinting برای تصمیم‌گیری در مورد اینکه چه کسی پلتفرم مخرب را ببیند و چه کسی با یک صفحه فریبنده (Decoy) روبرو شود.
- Persuasion (اقناع): استفاده از صفحات دانلود جعلی، هشدارهای ویروس کاذب یا پیام‌های فریبنده در WhatsApp و Telegram.
تغییر پارادایم: از شناسایی فایل به بازسازی مسیر (Path Reconstruction)
در گذشته، زنجیره‌های طولانی ریدایرکت (Redirect) خبر جدیدی نبودند، اما آنچه تغییر کرده، “انتخاب‌گری” (Selectivity) مهاجمان است. برای مقابله با این تهدید، تیم‌های امنیتی و SOC باید از رویکرد Payload-centric (محور پیلود) به سمت رویکردهای بالاتر حرکت کنند:
سطوح دفاعی پیشنهادی:
- سطح ۱ (مبتنی بر پیلود): تمرکز بر هش‌ها (Hashes) و لیست‌های سیاه IoC. این سطح فقط می‌گوید “چه چیزی اجرا شد؟”
- سطح ۲ (بازسازی مسیر): بازسازی زنجیره ریدایرکت از طریق داده‌های DNS و پروکسی. این سطح می‌گوید “از کجا آمد؟”
- سطح ۳ (آگاه از توزیع): خوشه‌بندی حوادث بر اساس ویژگی‌های توزیع. این سطح می‌گوید “چه چیزهای دیگری از این مسیر استفاده می‌کنند؟”
- سطح ۴ (متصل به بالادست): اشتراک‌گذاری سیگنال‌های سطح مسیر با پلتفرم‌های تبلیغاتی و منابع ترافیکی برای پیش‌گیری از حملات آینده.
نتیجه‌گیری برای مدیران امنیت: شناسایی صرفِ فایل‌های مخرب دیگر کافی نیست. برای شناسایی زودهنگام عامل‌های تهدید، باید رفتار توزیع (Delivery Behavior) را رصد کرد. اگر یک صفحه وب، نسخه سیستم‌عامل را چک می‌کند و سپس یک اسکریپت خاص را فراخوانی می‌کند، این رفتار حتی پیش از اجرای هرگونه اکسپلویت، مشکوک و نیازمند بررسی است.
