مهاجمان با جعل هویت کارکنان میز کمک‌فنی (IT Help Desk)، از طریق تماس‌های تلفنی، ایمیل و Microsoft Teams، کاربران را فریب می‌دهند تا جلسات دسترسی از راه دور (Remote Access) را برقرار کنند. گزارش‌های اخیر تیم پاسخ به حوادث (Incident Response) سیسکو تالوس نشان می‌دهد که این روش‌ها مستقیماً منجر به سرایت باج‌افزار و سرقت اطلاعات شده است.
حمله باج‌افزار VYPR و تکنیک BYOVD
در یکی از موارد بررسی شده، عامل تهدید (Threat Actor) از باج‌افزار جدیدی به نام VYPR استفاده کرد که بر پایه کدهای لو رفته Conti توسعه یافته است. این گروه برای دور زدن ابزارهای EDR، از تکنیک Bring Your Own Vulnerable Driver (BYOVD) استفاده کرده و با بارگذاری درایورهای آسیب‌پذیر، دسترسی در سطح هسته (Kernel-level) کسب کردند. برخلاف بسیاری از حملات باج‌افزاری، فرآیند استخراج داده‌ها (Data Exfiltration) در این مورد چندین روز به طول انجامید.
هدف قرار دادن اعتبارنامه‌های Claude Code در macOS
در سناریوی دیگر، مهاجمان از طریق یک اپلیکیشن آلوده (Trojanized Application)، دستوراتی را برای جستجو در Keychain سیستم‌عامل macOS اجرا کردند تا اعتبارنامه‌های مربوط به دستیار هوش مصنوعی Anthropic Claude Code را سرقت کنند.
آمار و نقاط ضعف امنیتی
- فیشینگ (Phishing): همچنان با ۳۷ درصد، اصلی‌ترین روش دسترسی اولیه است.
- آسیب‌پذیری اپلیکیشن‌ها: ۳۳ درصد حملات از طریق اکسپلویت اپلیکیشن‌های متصل به اینترنت انجام شده است.
- مدیریت هویت: ۳۳ درصد موارد مربوط به ضعف در MFA و مدیریت اعتبارنامه‌ها بود.
- ثبت وقایع (Logging): بیش از ۴۰ درصد از سازمان‌ها با مشکل عدم کفایت لاگ‌ها مواجه هستند که باعث می‌شود ردپای مهاجمان پاک شود.
توصیه می‌شود سازمان‌ها از روش‌های احراز هویت مقاوم در برابر فیشینگ مانند FIDO2/WebAuthn استفاده کرده و حداقل ۹۰ روز لاگ‌های خود را در یک سیستم متمرکز (Centralized Logging) نگهداری کنند.
