گروه جاساسی NightEagle (که با نام APT-Q-95 نیز شناخته می‌شود)، عملیات خود را از اهداف آسیایی به سازمان‌های روسیه گسترش داده است. این گروه از یک زنجیره نفوذ چندلایه استفاده می‌کند که هدف نهایی آن، به دست آوردن کنترل کامل بر روی Domain Controllerهای محیط Active Directory است.
مسیر نفوذ اولیه و تثبیت جایگاه
این مهاجمان برای دسترسی اولیه، از اعتبارنامه‌های (Credentials) سرقتی برای سرویس‌های VPN سازمانی استفاده کردند. برای پنهان کردن ردپای خود، از تونل‌های Cloudflare WARP و زیرساخت‌های VPS در اروپا بهره بردند تا ترافیک مخرب خود را مشابه لاگین‌های قانونی نمایش دهند.
پس از ورود به شبکه، گروه NightEagle بدافزار GhostContainer را روی سرورهای Microsoft Exchange مستقر کرد. این Implant که بر پایه .NET توسعه یافته، از ابزارهایی نظیر Neo-reGeorg و کلاس‌های GhostWebShell استفاده می‌کند. تحلیل‌ها نشان می‌دهد که مهاجمان با استخراج کلیدهای رمزنگاری ASP.NET و دستکاری پارامتر VIEWSTATE، کد مخرب را به جای ذخیره روی دیسک، مستقیماً در حافظه (In-memory) اجرا کرده‌اند تا شناسایی نشوند.
جابجایی جانبی و تکنیک‌های تونل‌زنی
برای جابجایی جانبی (Lateral Movement)، این گروه از ترکیب Microsoft Dev Tunnels و ابزار rdp2tcp استفاده کرد. این روش به آن‌ها اجازه می‌دهد ترافیک RDP را از طریق دامنه‌های *.devtunnels.ms منتقل کرده و بدون باز کردن پورت‌های مشکوک در فایروال، دسترسیات خود را گسترش دهند.
تیم‌های SOC باید به طور ویژه رویدادهای 132 و 148 در لاگ‌های Microsoft-Windows-RemoteDesktopServices-RdpCoreTS/Operational توجه کنند؛ ایجاد کانال‌های مجازی با نام‌های غیرمعمول مانند rdp2tcp می‌تواند نشانهه فعالیت‌های تونل‌زنی باشد.
هدف نهایی: تسخیر Active Directory
بحرانی‌ترین بخش این عملیات، بهره‌برداری از آسیب‌پذیری BlueKeep (CVE-2019-0708) در پروتکل RDP بود. مهاجمان با استفاده از این Exploit، حساب‌های محلی ایجاد کرده و آن‌ها را به گروه‌های Administrators و Remote Desktop Users اضافه کردند.
در مراحل نهایی، NightEagle از تکنیک DCSync برای تکثیر داده‌های رمز عبور از Active Directory استفاده کرد. در این روش، مهاجم با جعل هویت یک Domain Controller، درخواست دریافت Hashهای رمز عبور حساب‌های привиleged را می‌دهد که در صورت موفقیت، منجر به کنترل کامل کل دامنه سازمان می‌شود.
توصیه‌های امنیتی برای مدیران SOC و CISO
- به‌روزرسانی فوری: پچ کردن سریع سیستم‌های آسیب‌پذیر به BlueKeep و غیرفعال کردن RDP در صورت عدم نیاز.
- احراز هویت قوی: پیاده‌سازی MFA مقاوم در برابر فیشینگ برای تمامی دسترسی‌های VPN.
- مانیتورینگ Exchange: نظارت بر رفتارهای غیرعادی VIEWSTATE و بارگذاری اسمبلی‌های مشکوک .NET.
- تحلیل ترافیک DNS: شناسایی درخواست‌های DNS مشکوک به دامنه‌های *.devtunnels.ms.
- رصد AD: شناسایی تلاش‌های تکثیر دایرکتوری (Directory Replication) توسط میزبان‌هایی که Domain Controller نیستند.
