مهاجمان با بهره‌برداری از اعتبارنامه‌های سرقتی (Compromised Credentials) و یک گیت‌وی VPN که توسط شخص ثالث مدیریت می‌شد و دارای پیکربندی نادرست بود، به شبکه یک بانک اروپایی نفوذ کردند. این عامل تهدید (Threat Actor) برای چندین ماه عملیات شناسایی و حملات احرازی را انجام داد تا در نهایت تلاش آن‌ها برای ارتقای سطح دسترسی توسط سیستم‌های دفاعی نقطه انتهایی (Endpoint Defenses) متوقف شد.
جزئیات نفوذ و شناسایی
تیم امنیتی داخلی بانک پس از مشاهده فعالیت‌های غیرعادی در زیرساخت‌های IT مرکزی و شناسایی تلاش‌های غیرمجاز برای دسترسی از راه دور، از خدمات Unit 42 متعلق به شرکت Palo Alto Networks کمک گرفت. اگرچه در ابتدا این فعالیت‌ها مشابه جاسوسی سایبری به نظر می‌رسید، اما بررسی‌ها نشان داد که مهاجم بر استفاده از اعتبارنامه‌های معتبر، اسکن‌های گسترده و حدس زدن رمز عبور (Password Guessing) تکیه کرده است.
- نقطه ورود: یک دستگاه گیت‌وی خارجی که پیکربندی احرازی آن به اندازه کافی سخت‌گیرانه نبود.
- تحرکات داخلی: پس از ورود از طریق VPN، مهاجم به سیستم‌های داخلی دسترسی پیدا کرده و شروع به نقشه‌برداری از محیط شبکه کرد.
- عملیات شناسایی: اسکن‌های مکرر میزبان (Host) و شبکه در پروتکل‌های مختلف روی هزاران سیستم انجام شد تا سرویس‌های در دسترس و مسیرهای نفوذ عمیق‌تر شناسایی شوند.
تلاش برای ارتقای سطح دسترسی و توقف حمله
مهاجم در طول چندین ماه، کمپین‌های حدس رمز عبور را به‌ویژه علیه حساب‌های مدیر (Administrator) اجرا کرد و به طور سیستماتیک مستندات داخلی و اشتراک‌های داده (Data Shares) را بررسی نمود. در نهایت، مهاجم تلاش کرد از یک آسیب‌پذیری اجرای کد از راه دور (RCE) در سرویس به‌روزرسانی سرورهای ویندوز (WSUS) روی سرور مدیریت پیکربندی مرکزی بانک استفاده کند.
با توجه به اینکه این سرور مسئول توزیع نرم‌افزار بود، تسلط بر آن می‌توانست مسیر گسترده‌ای برای کنترل بیشتر و ایجاد تداوم (Persistence) در شبکه فراهم کند. با این حال، پلتفرم Cortex XDR اجرای غیرمجاز را شناسایی کرده و تهدید را پیش از موفقیت در ارتقای سطح دسترسی مهار کرد.
درس‌های آموخته شده و توصیه‌ها
تحقیقات Unit 42 نشان داد که این حادثه بیش از آنکه نتیجه یک زنجیره اکسپلویت پیچیده باشد، ناشی از ضعف در کنترل‌های امنیتی پایه بود. در نهایت، مدیریت بانک اقدام به چرخش (Rotation) اعتبارنامه‌های سرقتی و گسترش پوشش ابزارهای امنیتی کرد.
این مورد تایید می‌کند که مدیریت هویت (Identity Management) بحرانی‌ترین نقطه ضعف است. توصیه می‌شود برای جلوگیری از چنین حوادثی اقدامات زیر صورت گیرد:
- پیاده‌سازی MFA مقاوم در برابر فیشینگ (Phishing-resistant MFA).
- کاهش امتیازات مدیریتی دائمی (Standing Administrative Privileges).
- سخت‌گیرانه‌تر کردن کنترل‌های نشست (Session Controls) و نظارت مستمر بر نقاط انتهایی.
