روزنامه پرشین‌سکیوریتی — ۳۰ شهریور ۱۴۰۵ — بررسی موج حملات مهندسی اجتماعی پیشرفته و آسیب‌پذیری‌های بحرانی در زیرساخت‌های سازمانی
روایت روز
در فضای امنیتی امروز، شاهد تلاقی خطرناک میان مهندسی اجتماعی پیشرفته و بهره‌برداری از نقص‌های فنی در سطح هسته سیستم‌عامل هستیم. یکی از تکان‌دهنده‌ترین گزارش‌های اخیر، کمپین Contagious Interview است که توسط گروه‌های APT کره‌شمالی هدایت می‌شود. این مهاجمان با استفاده از ترفندهای استخدام جعلی در پلتفرم‌هایی نظیر لینکدین و دیسکورد و بهره‌گیری از هوش مصنوعی برای جعل هویت، توانسته‌اند ۳۰ هزار سیستم را آلوده کرده و بیش از ۱۰ میلیون دلار ارز دیجیتال را به سرقت ببرند. این حملات که متخصصان IT و حوزه بلاکچین را هدف قرار داده‌اند، نشان‌دهنده تغییر استراتژی مهاجمان به سمت شکار هدفمند افراد با دسترسی بالا از طریق ایجاد اعتماد کاذب است.
هم‌زمان با این حملات، موجی از بدافزارهای جدید مانند Rapuncel در قالب کمپین‌های جعل برند LastPass مشاهده می‌شود. نکته حائز اهمیت در این حملات، استفاده از تکنیک BYOVD یا «آوردن درایور خود» است. مهاجمان با توزیع درایورهای دارای امضای رسمی مایکروسافت، موفق می‌شوند ابزارهای EDR و آنتی‌ویروس‌ها را در سطح Kernel غیرفعال کنند. این رویکرد به آن‌ها اجازه می‌دهد تا بدون شناسایی توسط سیستم‌های دفاعی، اقدام به سرقت گسترده رمزهای عبور و تخلیه کیف پول‌های دیجیتال کنند، که نشان‌دهنده پیچیدگی هرچه بیشتر متدهای دور زدن لایه‌های امنیتی مدرن است.
در بخش آسیب‌پذیری‌های نرم‌افزاری، هسته وردپرس با نقص Click2Shell مواجه شده است که امکان اجرای کدهای PHP از راه دور را از طریق فریب مدیران سایت برای نصب قالب‌های مخرب فراهم می‌کند. این موضوع در کنار کشف Command Injection در نرم‌افزار ntopng (به دلیل عدم اعتبارسنجی پارامترهای nmap) و آسیب‌پذیری بحرانی در jshERP که منجر به ارتقای سطح دسترسی و نشت داده‌های تجاری Tenant می‌شود، هشدار می‌دهد که حتی ابزارهای مدیریتی و تحلیل شبکه نیز می‌توانند به نقاط ورود مهاجمان تبدیل شوند.
چالش‌های امنیتی در لایه‌های ارتباطی و احراز هویت نیز همچنان پابرجاست. در سیستم‌های ایمیل، آسیب‌پذیری RCE در ماژول Email::Sender زبان Perl برای ویندوز و نقص Buffer Overflow در Fetchmail، هر دو ریسک اجرای کد از راه دور را ایجاد کرده‌اند. همچنین، در زیرساخت‌های وب، نرم‌افزار Mailu با مشکل دور زدن احراز هویت از طریق هدرهای جعلی HTTP مواجه شده است. در حوزه اینترنت اشیا نیز، شرکت ZTE با شناسایی یک زنجیره حمله در SmartLife که امکان تصاحب حساب کاربری (Account Takeover) را بدون نیاز به کد تایید فراهم می‌کرد، مجبور به انتشار چهار CVE برای اصلاح این نقص شد.
مجموع این وقایع نشان می‌دهد که مهاجمان اکنون از ترکیبی از «اعتماد» (در مهندسی اجتماعی)، «امضا» (در درایورهای مایکروسافت) و «نقص‌های منطقی» (در احراز هویت) استفاده می‌کنند تا سدهای دفاعی را عبور کنند. برای سازمان‌ها، به‌روزرسانی فوری نرم‌افزارهایی نظیر وردپرس به نسخه ۷.۱.۱ و ntopng به نسخه ۶.۷.۲۶۰۷۱۷، و همچنین آموزش کارکنان در برابر پیشنهادهای شغلی مشکوک، از اولویت‌های حیاتی در بازه زمانی فعلی است.
اولویت SOC
- بررسی لاگ‌های سیستم برای شناسایی بارگذاری درایورهای غیرمعمول در سطح Kernel (تکنیک BYOVD).
- به‌روزرسانی فوری هسته وردپرس و نرم‌افزار ntopng جهت بستن حفره‌های RCE و Command Injection.
- مانیتورینگ ترافیک مربوط به سرویس‌های ایمیل و Mailu برای شناسایی هدرهای HTTP مشکوک و پاسخ‌های دست‌کاری شده NTLM.
پیوندهای این شماره
کمپین Contagious Interview: لینک
جعل برند LastPass و بدافزار Rapuncel: لینک
درایورهای امضا شده مایکروسافت و EDR: لینک
آسیب‌پذیری Click2Shell وردپرس: لینک
آسیب‌پذیری Command Injection در ntopng: لینک
آسیب‌پذیری jshERP: لینک
آسیب‌پذیری RCE در Email::Sender: لینک
تصاحب حساب در ZTE SmartHome: لینک
