در یک عملیات نفوذ مرتبط با محیط Viva Aerobus، مهاجمان موفق شدند یک سرور Microsoft SQL Server را به ابزاری برای اجرای دستورات سیستم‌عامل و انتقال فایل‌های سرقتی تبدیل کنند. نکته قابل توجه این است که سرور مورد استفاده مهاجمان به دلیل پیکربندی نادرست، به صورت عمومی در دسترس قرار گرفت و باعث شد ابزارهای حمله و داده‌های سرقتی در معرض دید کاربران غیرمرتبط در اینترنت قرار گیرد.
مکانیسم حمله و سوءاستفاده از قابلیت‌های SQL
مهاجمان برای دستیابی به اهداف خود از قابلیت xp_cmdshell در SQL Server استفاده کردند. این ویژگی در صورت فعال بودن، اجازه می‌دهد تا دستورات سیستم‌عامل مستقیماً از طریق محیط دیتابیس اجرا شوند. تحلیل‌ها نشان می‌دهد که مهاجمان با ارسال دستورات Windows و کدهای PowerShell رمزگذاری شده از طریق نشست‌های دیتابیس، دسترسی به SQL را به یک کانال عملیاتی برای نفوذ به سیستم‌عامل Windows تبدیل کردند.
علاوه بر اجرای دستورات، این اتصال برای استخراج داده‌ها (Exfiltration) نیز به کار گرفته شد. ابزارهای بازیابی شده نشان می‌دهند که مهاجمان محتوای فایل‌ها را خوانده، آن‌ها را به قطعات کوچک تقسیم کرده و سپس با تبدیل به فرمت Base64، نتایج را از طریق خروجی کوئری‌های SQL بازگرداندند. این روش باعث شد تا مهاجمان بدون نیاز به ایجاد یک کانال ارتباطی مجزا یا استفاده از سرورهای کنترل (C2) متداول، داده‌ها را خارج کنند.
تحلیل ابزارها و سرایت در شبکه
پژوهشگران ThreatMon در جریان عملیات Threat Hunting، زیرساخت‌های افشا شده مهاجمان را شناسایی کردند. این سرور حاوی ۱۷ ابزار مختلف بود که جزئیات دقیقی از عملیات پس از نفوذ را فاش می‌کرد. برخی از مهم‌ترین یافته‌ها عبارتند از:
- سرقت اعتبارنامه‌ها: استفاده از اسکریپت‌هایی برای استخراج پسوردهای مرورگر و Windows و همچنین استفاده از ابزار Mimikatz برای Credential Dumping.
- تحلیل محیط: بازیابی تاریخچه اتصالات SQL Server Management Studio و نام‌های کاربری دیتابیس.
- تلاش برای گسترش نفوذ: استفاده از ابزارهایی مانند
sqlspray.ps1برای تست اعتبارنامه‌ها روی سایر سیستم‌های SQL و بررسی دسترسی به SMB Administrative Shares.
توصیه‌های امنیتی برای مدیران SOC و مهندسان امنیت
با توجه به این مدل حمله، توصیه می‌شود موارد زیر به طور جدی بررسی شوند:
- بررسی لاگ‌های شبکه برای شناسایی اتصالات مشکوک به IPهای شناسایی شده.
- مانیتورینگ دقیق هرگونه استفاده غیرمنتظره از
xp_cmdshell، به‌ویژه زمانی که توسط اکانت‌های سرویس SQL Server اجرا شود. - جستجوی PowerShellهای رمزگذاری شده یا عملیات غیرعادی فایل در دایرکتوری‌های موقت (مانند
C:WindowsTemp). - در نظر گرفتن تمام اعتبارنامه‌ها و Secrets ذخیره شده در دیتابیس‌هایی که در معرض نفوذ بوده‌اند به عنوان Compromised.
