گزارش‌های جدید نشان می‌دهد که عامل‌های تهدید (Threat Actors) تنها به طور متوسط ۸ دقیقه پس از سرایت (Infection) بدافزارهای سرقت اطلاعات، از اعتبارنامه‌های سرقتی برای ورود به سیستم‌های هدف استفاده می‌کنند. این تحلیل که بر اساس بررسی ۲۷ مورد تایید شده از حملات Infostealer انجام شده، به بررسی روش‌های جدید برای حفظ دسترسی و اجرای دستورات در محیط‌های سازمانی می‌پردازد.
سوءاستفاده از ابزارهای هوش مصنوعی برای اجرای دستورات
یکی از یافته‌های قابل توجه، استفاده مهاجمان از دستیارهای کدنویسی AI مانند Claude Code و Cursor است. این ابزارها به دلیل قابلیت دسترسی به فایل‌ها، اعتبارنامه‌ها و سایر اپلیکیشن‌ها، به مهاجمان اجازه می‌دهند تا از طریق نرم‌افزارهای متداول کاری، دستورات سیستمی را اجرا کنند.
- در محیط Windows: مهاجمان با استفاده از افزونه Claude Code در Visual Studio Code، ابزارهای مورد نیاز خود را آماده کرده و از طریق اتصالات پنهان به سرورهای خارجی متصل شده‌اند.
- در محیط macOS: دستوراتی که از طریق اپلیکیشن دسکتاپ ChatGPT اجرا شده‌اند، توانسته‌اند اسناد زیرساختی داخلی را بخوانند و به ذخیره‌ساز رمزهای عبور کاربر دسترسی پیدا کنند.
لازم به ذکر است که این موارد نشان‌دهنده وجود یک آسیب‌پذیری (Vulnerability) در خود این اپلیکیشن‌ها نیست، بلکه نتیجه سوءاستفاده از قابلیت‌های آن‌ها پس از دسترسی اولیه است.
مسیرهای دسترسی اولیه و تکنیک‌های سرایت
تحقیقات نشان می‌دهد که مهاجمان از برنامه‌هایی که توسط کاربر یا سیستم‌عامل مورد اعتماد هستند (مانند ابزارهای مانیتورینگ از راه دور، به‌روزرسان‌های مرورگر و ابزارهای اسکریپت‌نویسی Apple) برای عملیات خود استفاده می‌کنند.
رایج‌ترین نقطه ورود، صفحات تایید هویت به سبک ClickFix بوده است. در این روش، کاربران متقاعد می‌شوند تا یک دستور مخرب را کپی و اجرا کنند (معمولاً تحت عنوان مراحل عیب‌یابی یا تایید هویت). این تکنیک به دلیل اینکه دستور توسط خود کاربر اجرا می‌شود، بسیاری از سیستم‌های دفاعی که بر اسکن پیوست‌های ایمیل متمرکز هستند را دور می‌زند.
همچنین در برخی موارد، تکنیک DLL Sideloading برای بارگذاری کدهای مخرب در قالب برنامه‌های معتبر به کار گرفته شده است که در یک مورد مربوط به بخش بهداشت و درمان، تنها ۱۶ ثانیه پس از کلیک کاربر اجرا شده است.
سوءاستفاده از نرم‌افزارهای RMM و سرویس‌های احراز هویت
نرم‌افزارهای مدیریت و مانیتورینگ از راه دور (RMM) ابزاری ایده‌آل برای مهاجمان جهت کنترل دستگاه‌ها و تحویل بدافزارهای تکمیلی هستند. در ۲۳ مورد از موارد بررسی شده، سوءاستفاده از این ابزارها تایید شده که در این میان ScreenConnect بیشترین تکرار را داشته است.
علاوه بر این، مهاجمان از کیت‌های فیشینگ Adversary-in-the-Middle (AiTM) مانند Tycoon 2FA برای دور زدن احراز هویت چندعاملی (MFA) استفاده می‌کنند. در این روش، مهاجم با قرار گرفتن بین قربانی و صفحه ورود واقعی، نشست‌های (Sessions) احراز شده را سرقت می‌کند.
راهکارهای دفاعی
با توجه به اینکه مهاجمان در قالب نرم‌افزارهای مورد اعتماد یا به نام کاربران مجاز فعالیت می‌کنند، استفاده از امضاهای سنتی (Signatures) برای شناسایی آن‌ها کافی نیست. متخصصان توصیه می‌کنند که سازمان‌ها برای مقابله با این تهدیدات بر موارد زیر تمرکز کنند:
- پیاده‌سازی تحلیل رفتار کاربر و موجودیت (UEBA) برای شناسایی فعالیت‌های غیرعادی.
- ایجاد دید جامع (Visibility) در دامنه‌های مختلف شبکه.
- همبستگی فعال (Active Correlation) رویدادها در محیط امنیتی.
