مهاجمانی که از باج‌افزار Anubis استفاده می‌کنند (گروهی که توسط Symantec با نام Hawkmoth ردیابی می‌شود)، در یک حمله اخیر، یک بک‌دور (Backdoor) اختصاصی و پیش‌تر مستند نشده و تعداد غیرمعمولی از ابزارهای غیرفعال‌ساز نرم‌افزارهای امنیتی را به کار گرفته‌اند.
گروه Hawkmoth و باج‌افزار Anubis
گروه Hawkmoth یک عملیات باج‌افزار به عنوان سرویس (RaaS) را مدیریت می‌کند که در دسامبر ۲۰۲۴ به عنوان بازسازی برند باج‌افزار Sphinx ظهور کرد. این گروه از طریق یک برنامه همکاری (Affiliate Program) فعالیت می‌کند که باعث می‌شود حملات Anubis توسط گروه‌های مختلفی از Affiliates انجام شود. الگوهای هدف‌گیری این گروه نشان می‌دهد که تمرکز اصلی آن‌ها بر سازمان‌های آمریکایی است.
بک‌دور اختصاصی Lindnor
در جریان بررسی‌های انجام شده، یک بک‌دور جدید با نام Backdoor.Lindnor شناسایی شد. این بک‌دور با نام‌گذاری‌های فریبنده مانند healthcontroller64.exe (مشابه کامپوننت‌های Chrome) یا svchelper.exe (در پوشه‌های VMware) نصب شده و به صورت یک سرویس اجرا می‌گردد. این بدافزار اطلاعات سیستم، نام کاربری، دامنه و اطلاعات سرور فرماندهی و کنترل (C&C) را از طریق پورت ۴۴۳ ارسال می‌کند. استفاده از بک‌دور اختصاصی در حملات باج‌افزاری امری غیرمعمول است و نشان‌دهنده سطح بالای آمادگی و تخصصی بودن مهاجمان است.
تکنیک BYOVD و دفاع‌گریزی (Defense Evasion) پیشرفته
یکی از جنبه‌های برجسته این حمله، استفاده از تکنیک Bring Your Own Vulnerable Driver (BYOVD) بود. مهاجمان با استفاده از حداقل ۱۳ فایل اجرایی، تلاش کردند محصولات امنیتی را متوقف کنند. آن‌ها با استفاده از ۵ درایور امضا شده اما آسیب‌پذیر، دسترسی سطح هسته (Kernel-level access) را به دست آوردند تا بتوانند فعالیت‌های خود را از دید نرم‌افزارهای امنیتی پنهان کنند.
علاوه بر این، مهاجمان از ابزار دسترسی از راه دور AnyDesk استفاده کرده و آن را به گونه‌ای پیکربندی کردند که حتی در حالت Safe Mode نیز همچنان فعال باقی بماند. این کار با تغییر در رجیستری سیستم انجام شد تا راه دسترسی آن‌ها حتی در صورت بازنشانی سیستم به حالت ایمن (Safe Mode with Networking)، قطع نشود.
نتیجه حمله
اگرچه مهاجمان با تلاش‌های گسترده برای از کار انداختن دفاع‌ها و استفاده از ابزارهای متنوع، سعی در پیشروی داشتند، اما در مرحله نهایی یعنی اجرای ماژول رمزنگاری (Encryption payload) با شکست مواجه شدند، زیرا محصولات امنیتی توانستند از اجرای فایل iservice.exe جلوگیری کنند.
