تیم امنیت داخلی یک بانک اروپایی پس از شناسایی فعالیت‌های غیرعادی در سیستم‌های IT مرکزی، متوجه تلاش‌های غیرمجاز برای دسترسی از طریق VPN شدند که برای چندین ماه ادامه داشته بود. برای بررسی ابعاد کامل این نفوذ، شناسایی نقاط ماندگاری (Persistence) و ایمن‌سازی محیط، از تیم Unit 42 کمک گرفته شد.
شناسایی داخلی: کمپینی پر سر و صدا (Noisy)
این نفوذ از طریق یک Gateway خارجی که توسط تامین‌کننده ثالث (Third-party) مدیریت می‌شد و پیکربندی مناسبی برای اعمال احراز هویت سخت‌گیرانه نداشت، آغاز شد. عامل تهدید (Threat Actor) با استفاده از اعتبارنامه‌های (Credentials) سرقتی، توانست به سیستم‌های داخلی دسترسی پیدا کند و سپس یک کمپین شناسایی گسترده در شبکه داخلی به راه انداخت.
عامل تهدید چندین دور Reconnaissance را انجام داد و اسکن‌های گسترده‌ای را روی میزبان‌ها و شبکه با پروتکل‌های مختلف اجرا کرد. این رویکرد گسترده و پر سر و صدا، بیشتر شبیه به انداختن تور برای یافتن هر نقطه دسترسی ممکن بود تا یک حمله هدفمند و دقیق.
سوءاستفاده از احراز هویت و استخراج مستندات
در ادامه، عامل تهدید وارد مرحله تست اعتبارنامه‌ها شد. طی چندین ماه، کمپین‌های حدس رمز عبور (Password-guessing) متعددی را علیه سیستم‌های داخلی، به‌ویژه حساب‌های Administrator، با استفاده از روش Brute-force اجرا کرد.
به طور همزمان، مهاجم به صورت سیستماتیک مستندات داخلی و اشتراکات داده (Data Shares) را هدف قرار داد. با استفاده از درخواست‌های وب خودکار (Automated web requests)، صفحات و پیوست‌های سیستم‌های داخلی را استخراج (Scrape) و اشتراکات عملیاتی و شبکه را فهرست‌بندی کرد.
رفتارهای مشاهده شده با الگوهای عاملان تهدید پیشرفته مطابقت نداشت. میزان نویز در اسکن‌ها و تلاش‌های ورود، در کنار استفاده از شناسه‌های رایج سیستم، نشان‌دهنده یک مهاجم فرصت‌طلب بود که تلاش چندانی برای پنهان ماندن یا اجتناب از شناسایی نکرد.
تلاش برای ارتقاء سطح دسترسی و مهار حمله
در مراحل نهایی، نفوذگر سعی کرد با اکسپلویت کردن یک آسیب‌پذیری Remote Code Execution (RCE) در سرویس WSUS روی سرور مدیریت پیکربندی مرکزی، کنترل خود را گسترش دهد. این سرور مسئول توزیع نرم‌افزار در سراسر بانک بود و هدفی ایده‌آل برای Privilege Escalation و ایجاد ماندگاری بلندمدت محسوب می‌شد.
اما در لحظه تلاش برای اجرای کد غیرمجاز، سیستم Cortex XDR فعالیت را شناسایی و تهدید را پیش از آنکه بتواند گسترش یابد، مهار کرد. این اقدام مانع از آن شد که مهاجم بتواند جای پایی ماندگار ایجاد کند یا به صورت Lateral Movement در شبکه حرکت نماید.
درس‌های آموخته شده برای مدیران امنیت
این مورد یادآور آن است که هر تهدید سایبری لزوماً پیشرفته یا چندوجهی نیست. عاملان فرصت‌طلب با کمال میل از اشتباهات ساده‌ای مانند نبود Multi-Factor Authentication (MFA) در VPN یا به‌روز نبودن دستگاه‌های Edge برای نفوذ به محیط استفاده می‌کنند. عدم پیچیدگی حمله به معنای بی‌خطر بودن آن نیست.
دفاع در برابر این نوع نفوذها بر پایه بهداشت سایبری (Security Hygiene) و پاسخ سریع استوار است. ترکیب مهار به‌موقع با Threat Hunting جامع، از تبدیل این نفوذ به یک حادثه فاجعه‌بار جلوگیری کرد.
