یک سرور استیجینگ (Staging Server) متعلق به مهاجمان که به صورت عمومی در دسترس قرار گرفته بود، جزئیات نادری از یک عملیات نفوذ متمرکز بر Microsoft SQL Server را فاش کرد. این سرور که در آدرس 151.243.232.123 میزبانی می‌شد، هم به عنوان نقطه توزیع ابزار (Tool-delivery) و هم به عنوان مخزنی برای داده‌های سرقتی مورد استفاده قرار می‌گرفت.
مکانیزم نفوذ و اجرای کد
تحلیل‌های انجام شده توسط ThreatMon نشان می‌دهد که عامل تهدید از قابلیت xp_cmdshell در Microsoft SQL Server برای اجرای دستورات سیستم‌عامل استفاده کرده است. این روش به مهاجم اجازه می‌دهد تا از طریق یک نشست SQL، دستورات ویندوز و Payloadهای Base64-encoded PowerShell را تحت حساب کاربری سرویس SQL Server اجرا کند.
- خطرات کلیدی: این رویکرد در محیط‌هایی که سرورهای دیتابیس دارای دسترسی‌های بالا (Privileged Credentials) هستند یا به اشتراک‌های فایل داخلی دسترسی دارند، بسیار خطرناک است.
- تکنیک انتقال داده: مهاجمان از اسکریپت‌هایی استفاده کردند که فایل‌ها را خوانده، به قطعات Base64 تبدیل کرده و از طریق خروجی کوئری‌های MSSQL بازمی‌گرداندند تا نیاز به ایجاد کانکشن‌های outbound جدید نباشد.
ابزارهای شناسایی شده در سرور افشاش شده
در این سرور ۱۷ ابزار پس از نفوذ (Post-exploitation) شناسایی شد که شامل موارد زیر است:
- استخراج اعتبارنامه‌ها: اسکریپت‌های
chrome_dump.ps1،cred_dump.ps1وcred_enum.ps1برای استخراج پسوردها از مرورگرها و Windows Credential Store. - تست نفوذ داخلی: ابزارهای
sqlspray.ps1وmssqltest.ps1برای تست اعتبارنامه‌ها روی سایر اهداف SQL Server. - مدیریت داده‌ها: اسکریپت‌های
exfil.pyوupload.pyبرای انتقال فایل‌ها. - تحلیل متاداده‌ها: جمع‌آوری تنظیمات کاربر SSMS (SQL Server Management Studio) که می‌تواند نقشه‌ای از دیتابیس‌های داخلی و حساب‌های دارای دسترسی بالا را در اختیار مهاجم قرار دهد.
تحلیل نهایی و توصیه‌های امنیتی
اگرچه شواهدی مبنی بر جابجایی جانبی (Lateral Movement) موفق یا سرقت داده‌های حساس مسافران و پرداخت‌ها یافت نشد، اما این حادثه نشان‌دهنده تلاش گسترده برای برداشت اعتبارنامه‌ها (Credential Harvesting) است. همچنین، عدم رعایت امنیت عملیاتی (OPSEC) توسط مهاجم باعث شد تا سایر کاربران اینترنت بتوانند به ابزارها و داده‌های سرقتی دسترسی پیدا کنند.
توصیه‌های فنی برای تیم‌های SOC و مهندسین امنیت:
- هرگونه فعالیت غیرمعمول در
xp_cmdshell، به‌ویژه اجرایcmd.exeیاpowershell.exeرا به عنوان یک هشدار با اولویت بالا (High-priority) تلقی کنید. - قابلیت
xp_cmdshellرا در تمامی سرورهایی که به آن نیاز ندارند، غیرفعال کنید. - اعتبارنامه‌های دیتابیس‌های مشکوک را تغییر داده و سطح دسترسی‌های حساب‌های سرویس SQL Server را بازبینی کنید.
