در یک حادثه امنیتی اخیر در سال ۲۰۲۶، یک سازمان تولیدی در خاورمیانه هدف حمله باج‌افزار PAYLOAD قرار گرفت. در این عملیات، مهاجمان به جای استفاده از متدهای سنتی رمزنگاری داده‌ها در محیط ویندوز، از زیرساخت‌های مورد اعتماد Active Directory (AD) برای ایجاد اختلال گسترده استفاده کردند.
سلاح‌سازی از طریق GPO
مهاجمان پس از دستیابی به دسترسی‌های سطح Domain Admin، یک Group Policy Object (GPO) مخرب به نام PAYLOAD ایجاد کرده و آن را در ریشه دامنه (Domain Root) لینک کردند. این رویکرد به مهاجم اجازه داد تا بدون اجرای هیچ‌گونه فایل باج‌افزاری یا بدافزار روی سیستم‌های هدف، اقدامات زیر را در تمامی ایستگاه‌های کاری (Workstations) متصل به دامنه اعمال کند:
- تغییر تصویر پس‌زمینه (Wallpaper) و صفحه قفل (Lock Screen) به پیام باج‌خواهی.
- جای‌گذاری فایل‌های متنی (Ransom Notes) در دسکتاپ و درایوهای C و D.
- فعال‌سازی بنر هشدار هنگام ورود (Logon Banner).
- غیرفعال کردن حساب کاربری Local Administrator در تمامی سیستم‌ها.
تکنیک Encryptionless Extortion (باج‌خواهی بدون رمزنگاری)
یکی از نکات کلیدی این حمله، عدم استفاده از رمزنگاری در محیط ویندوز است. مهاجمان از استراتژی Living-off-the-land بهره بردند؛ به این معنا که از ابزارهای قانونی سیستم‌عامل برای ایجاد اختلال عملیاتی استفاده کردند. از آنجایی که GPOها توسط سیستم‌عامل مورد اعتماد هستند و با دسترسی SYSTEM اجرا می‌شوند، بسیاری از ابزارهای EDR این تغییرات را به عنوان فعالیت مخرب شناسایی نمی‌کنند.
روند زمانی حمله (Attack Timeline)
تحلیل فارنزیک نشان می‌دهد که حمله در چندین مرحله اجرا شده است:
- دسترسی اولیه: نفوذ از طریق FortiGate SSL VPN با استفاده از اعتبارنامه‌های سرقتی.
- ایجاد GPO: ساخت GPO مخرب و غیرفعال کردن Windows Firewall در تمامی پروفایل‌ها برای تسهیل حرکت عرضی (Lateral Movement).
- دوره خفت (Dormancy): سیاست‌های جدید در حافظه موقت (Cache) سیستم‌ها ذخیره شدند اما تا زمان ری‌بوت شدن سیستم‌ها یا به‌روزرسانی Policy، اثری نداشتند.
- اجرا (Detonation): پس از ری‌بوت شدن سیستم‌ها، پیام‌های باج‌خواهی ظاهر شده و دسترسی مدیران محلی قطع شد.
توصیه‌های دفاعی و شناسایی
برای شناسایی این نوع حملات، تیم‌های SOC باید بر روی موارد زیر تمرکز کنند:
- مانیتورینگ تغییرات Directory Service: نظارت بر Event ID 5136 و 5137 برای شناسایی ایجاد یا تغییر GPOها، به‌ویژه زمانی که توسط حساب‌های غیرمعمول در ریشه دامنه انجام شود.
- بررسی یکپارچگی SYSVOL: مانیتورینگ پوشه
Policiesدر SYSVOL برای شناسایی فایل‌های غیرمنتظره مانند تصاویر یا اسکریپت‌های مشکوک. - تحلیل لاگ‌های Operational: بررسی لاگ‌های
Microsoft-Windows-GroupPolicy/Operationalدر ایستگاه‌های کاری برای شناسایی تغییرات ناگهانی در سیاست‌های اعمال شده.
