تحقیقات امنیتی نشان می‌دهد که گروه مرتبط با چین، که توسط مایکروسافت تحت عنوان Storm-2603 ردیابی می‌شود، در ماه‌های اخیر سازمان‌های متعددی از جمله شرکت‌های آب و فاضلاب، ارائه‌دهندگان مخابراتی، نهادهای دولتی و دانشگاه‌ها را هدف قرار داده است. این حملات که در کشورهای مختلف در اروپا، آفریقا و آمریکای لاتین رخ داده، از طریق اکسپلویت کردن آسیب‌پذیری‌های On-premises Microsoft SharePoint انجام شده است.
تاکتیک‌های نفوذ و انتشار باج‌افزار
مهاجمان با استفاده از آسیب‌پذیری‌های شناخته شده و حتی برخی از باگ‌های قدیمی که Patch شده بودند اما همچنان در سرورهای غیر به‌روزرسانی شده وجود داشتند، وارد شبکه می‌شوند. پس از نفوذ اولیه، آن‌ها مراحل زیر را طی می‌کنند:
- نقشه‌برداری (Mapping): شناسایی دامنه و ایجاد دسترسی‌های از راه دور مخفیانه.
- ارتقاء سطح دسترسی: ایجاد حساب‌های کاربری جعلی با نام‌های مشابه سرویس‌های SharePoint برای کسب دسترسی Local Administrator.
- خاموش کردن محافظت‌ها: این بخش حیاتی‌ترین مرحله است؛ مهاجمان ابزاری را برای غیرفعال کردن نرم‌افزارهای امنیتی اجرا می‌کنند. در یک مورد، حدود ۴۰ میز کار (Host) تنها در مدت ۱۲۰ دقیقه، یعنی به طور میانگین هر ۳ دقیقه یک بار، محافظت خود را از دست دادند.
- انتشار از طریق SYSVOL: پس از از کار انداختن ابزارهای امنیتی، باج‌افزار Warlock در پوشه SYSVOL قرار گرفته و از طریق مکانیزم Replication ویندوز، به سرعت در سراسر دامنه پخش می‌شود.
چالش‌های استراتژیک برای مدیریت امنیت
این نوع حملات نشان می‌دهند که بسیاری از بودجه‌های امنیتی بر پایه یک فرض اشتباه بنا شده‌اند: اینکه ابزارهای امنیتی همیشه در لحظه حمله فعال و در دسترس خواهند بود. اگر یک عامل تهدید بتواند سنسورها و ابزارهای مانیتورینگ را پیش از اجرای Payload اصلی خاموش کند، تمام سرمایه‌گذاری‌های بعدی در بخش شناسایی (Detection) بی‌اثر خواهد بود.
برای مقابله با این تهدید، متخصصان توصیه می‌کنند که استراتژی‌های امنیتی نباید صرفاً به سنسورهای متصل به Cloud یا پاسخ‌های انسانی وابسته باشند. تمرکز باید بر روی محافظت‌های محلی (Local Protection) و ابزارهایی باشد که تصمیمات امنیتی را مستقیماً روی خودِ دستگاه (On-device) و بدون نیاز به ارتباط با کنسول مرکزی اتخاذ می‌کنند تا حتی در صورت قطع شدن ارتباط سنسورها، سیستم همچنان در برابر حملات مقاوم باشد.
