ابزار KMS Auto یک ابزار غیرقانونی برای مدیریت کلیدها و فعال‌سازی محصولات مایکروسافت است. اگرچه این ابزار ذاتاً مخرب نیست، اما نسخه‌های کرک شده یا بازبسته‌بندی شده (Repackaged) آن مدت‌هاست که توسط عامل‌های تهدید (Threat Actors) به عنوان مکانیزمی برای توزیع بدافزارها مورد استفاده قرار می‌گیرند.
زنجیره حمله (Kill Chain)
تحلیل‌های صورت گرفته روی یک مورد اخیر نشان می‌دهد که اجرای یک فعال‌ساز معمولی KMS Auto می‌تواند نقطه شروع یک نفوذ پیچیده و چندمرحله‌ای باشد. این زنجیره شامل مراحل زیر است:
- مرحله اول: KMS Auto به عنوان بردار اولیه (Initial Vector): نفوذ با اجرای KMS Auto آغاز می‌شود که معمولاً از مخازن غیررسمی یا سایت‌های تورنت دانلود شده است. کاربران تصور می‌کنند تنها یک ابزار فعال‌ساز دریافت کرده‌اند، در حالی که بسته‌های مخرب در لایه‌های زیرین آن قرار دارد.
- مرحله دوم: استقرار XMRig: پس از اجرای فعال‌ساز، ابزار متن‌باز XMRig برای استخراج رمزارز (Cryptocurrency Mining) روی سیستم نصب می‌شود. ماینرها به دلیل توانایی تولید سود مالی در حالی که در پس‌زمینه و با پروفایل پایین فعالیت می‌کنند، برای مهاجمان جذاب هستند.
- مرحله سوم: دسترسی از راه دور (Remote Access): چند ساعت پس از استقرار ماینر، ابزارهای مدیریت از راه دور قانونی مانند ScreenConnect و MeshAgent نصب می‌شوند. مهاجمان از این ابزارهای RMM برای حفظ دسترسی تعاملی و ایجاد Persistence (ماندگاری) در سیستم استفاده می‌کنند تا در صورت شناسایی کانال اصلی، دسترسی خود را از دست ندهند.
- مرحله چهارم: فریب باج‌افزاری (Ransomware Hoax): در مرحله نهایی، بدافزاری روی سیستم قرار می‌گیرد که در ابتدا شبیه به باج‌افزار به نظر می‌رسد، اما در واقع یک Scareware است. این بدافزار هیچ فایلی را رمزنگاری نمی‌کند، بلکه با تغییر تصویر پس‌زمینه دسکتاپ به پرچم پاکستان و نمایش پیام‌های هشداردهنده، کاربر را می‌ترساند تا تصور کند داده‌هایش قفل شده‌اند.
تحلیل ارتباط با APT36
در متادیتای بدافزار نهایی، به APT36 (معروف به Transparent Tribe) اشاره شده و از آیکون پرچم پاکستان استفاده شده است. APT36 یک گروه تهدید وابسته به دولت پاکستان است که در جاسوسی سایبری تخصص دارد. با این حال، تحلیل رفتار این بدافزار نشان می‌دهد که هدف آن جاسوسی یا سرقت داده‌ها نبوده و بیشتر شبیه به یک شوخی (Prank) یا فریب ساده است، زیرا هیچ عملیات رمزنگاری یا استخراج اطلاعاتی مشاهده نشد.
نتیجه‌گیری برای تیم‌های SOC
نکته کلیدی در این حادثه، تحلیل همبستگی (Correlation) ابزارهای مختلف است. ابزارهایی مانند KMS Auto، XMRig و ScreenConnect به تنهایی ممکن است به عنوان ناهنجاری‌های کم‌اهمیت شناسایی شوند، اما توالی اجرای آن‌ها در بازه‌های زمانی کوتاه، گواه قطعی بر نفوذ هدفمند به سیستم است. این مورد نشان می‌دهد که مهاجمان چگونه از ترکیب ابزارهای مدیریت قانونی و ترفندهای بصری برای حفظ دسترسی به سیستم‌های قربانی استفاده می‌کنند.
