شرکت مایکروسافت اخیراً ارتباط میان یک گروه وابسته به باج‌افزار (Ransomware Affiliate) و حملاتی را شناسایی کرده است که در نهایت منجر به استقرار چهار خانواده مختلف باج‌افزاری شده‌اند. این گروه که با نام Storm-2570 ردیابی می‌شود، از متدهای یکسانی برای تصاحب شبکه‌ها، سرقت داده‌ها و آماده‌سازی سیستم‌ها برای رمزنگاری استفاده می‌کند.
تغییر برند برای گمراه کردن تحلیل‌گران
طبق گزارش مایکروسافت، این عامل تهدید (Threat Actor) از چندین سرویس باج‌افزاری مختلف استفاده می‌کند و لزوماً به یک عملیات خاص متعهد نیست. این انعطاف‌پذیری باعث شده است که حملات در مراحل نهایی متفاوت به نظر برسند، زیرا این گروه از باج‌افزارهای مختلفی نظیر Qilin، DragonForce، Anubis و BERT استفاده کرده است. با این حال، تحلیل الگوهای رفتاری نشان می‌دهد که اپراتور پشت این حملات یکسان است.
زنجیره حمله و ابزارهای مورد استفاده
پس از نفوذ اولیه، Storm-2570 مراحل زیر را طی می‌کند:
- تثبیت دسترسی: نصب نرم‌افزارهای مدیریت از راه دور (Remote Management) مانند MeshAgent، Atera، NinjaRMM و ScreenConnect. آن‌ها گاهی نام فایل‌های MeshAgent را به گونه‌ای تغییر می‌دهند که شبیه به فایل‌های سازمان قربانی باشد.
- برقراری تونل ارتباطی: استفاده از ابزارهایی مانند Cloudflare Tunnel و ngrok برای حفظ دسترسی خروجی و دور زدن محدودیت‌های شبکه.
- سرقت اعتبارنامه‌ها: استفاده از اسکنرهای شبکه و ابزارهایی نظیر Mimikatz، LaZagne و pypykatz برای استخراج پسوردها و دسترسی به داده‌های Active Directory.
- پخش گسترده (Lateral Movement): غیرفعال کردن آنتی‌ویروس‌ها و تغییر در Registry، و سپس اجرای دستورات از راه دور با استفاده از PsExec، Impacket و NetExec.
سرقت داده‌ها و فشار مضاعف
پیش از اجرای نهایی باج‌افزار، این گروه فایل‌های حساس را به فضای ابری تحت کنترل خود منتقل می‌کند. برای این منظور از ابزارهای s5cmd (برای انتقال به S3 buckets) و Rclone استفاده می‌کنند. این استراتژی باعث می‌شود حتی در صورت بازیابی سیستم‌ها از بک‌آپ، قربانی همچنان تحت فشار افشای داده‌های سرقت شده باشد.
توصیه‌های امنیتی برای مدیران SOC و CISO
مایکروسافت توصیه می‌کند سازمان‌ها برای مقابله با این تهدید اقدامات زیر را انجام دهند:
- محدود کردن دسترسی‌های حساب‌های کاربری و تقویت سیاست‌های مدیریت اعتبارنامه‌ها.
- اجباری کردن احراز هویت چندعاملی (MFA) برای تمامی ابزارهای مدیریت از راه دور.
- مانیتورینگ دقیق انتقال‌های غیرعادی داده به سرویس‌های Cloud Storage.
- بررسی نصب‌های غیرمجاز ابزارهای مدیریت سیستم و بازنشانی (Reset) اعتبارنامه‌های مربوطه.
