کارشناسان Microsoft Defender متوجه کمپین‌های فیشینگ گسترده‌ای شده‌اند که سازمان‌های مختلف را در صنایع گوناگون هدف قرار داده‌اند. در این حملات، عامل تهدید (Threat Actor) از یک نصب‌کننده جعلی ابزار مدیریت از راه دور MSP360 RMM استفاده می‌کند که از طریق دعوت‌نامه‌های جلسات، فایل‌های PDF جعلی، اعلان‌های به‌روزرسانی نرم‌افزار و سایر روش‌های مهندسی اجتماعی توزیع می‌شود.
زنجیره حمله و استقرار ابزارهای مدیریت
پس از اجرای فایل نصب‌کننده که با نام‌های فریبنده توزیع شده است، این ابزار دسترسی مدیریت از راه دور را روی دستگاه‌های آسیب‌دیده برقرار کرده و به عامل تهدید اجازه می‌دهد تا با استفاده از نرم‌افزارهای مدیریتی مورد اعتماد، جای پایی (Foothold) در شبکه ایجاد کند. طبق مشاهدات، پس از استقرار MSP360، یک کلاینت ConnectWise ScreenConnect نیز دانلود و نصب می‌شود تا یک کانال دسترسی ثانویه و پشتیبان ایجاد گردد.
نکته قابل توجه این است که در این حملات، هیچ آسیب‌پذیری خاصی در نرم‌افزار ScreenConnect اکسپلویت نشده است؛ بلکه مهاجمان صرفاً از قابلیت‌های قانونی این ابزارهای مدیریت سیستم برای حفظ دسترسی و مخفی کردن فعالیت‌های خود در میان عملیات‌های عادی IT استفاده می‌کنند.
جزئیات فنی دسترسی اولیه
این حملات از یک زنجیره تحویل چندمرحله‌ای استفاده می‌کنند. ایمیل‌های فیشینگ، کاربران را به صفحات فرود (Landing Pages) هدایت می‌کنند که از پورتال‌های اشتراک‌گذاری اسناد، صفحات دانلود Adobe Reader یا پلتفرم‌های همکاری تجاری تقلید می‌کنند. فایل‌های مخرب از زیرساخت‌های تحت کنترل مهاجم یا سرویس‌های ابری معتبری مانند Amazon S3، Cloudflare R2، Dropbox، GitLab و Supabase توزیع می‌شوند تا شناسایی آن‌ها دشوارتر شود.
مراحل استقرار و ایجاد تداوم (Persistence)
پس از اجرای نصب‌کننده MSP360، مراحل زیر طی می‌شود:
- ارتقای سطح دسترسی: نصب‌کننده از طریق مکانیزم User Account Control (UAC) درخواست ارتقای سطح دسترسی می‌کند تا بتواند سرویس‌های مورد نیاز را نصب نماید.
- ایجاد سرویس‌های ویندوزی: برای تضمین دسترسی طولانی‌مدت، دو سرویس
RMM.Agent.exeوRMM.Agent.Launcher.exeدر سیستم ثبت می‌شوند. - تغییرات در رجیستری و فایروال: ورودی‌های Autorun در رجیستری برای اجرای خودکار برنامه در هنگام ورود کاربر ایجاد شده و یک قانون (Rule) در Windows Firewall برای اجازه ترافیک UDP روی پورت 48678 تعریف می‌شود.
فعالیت‌های پس از نفوذ
پس از استقرار موفق MSP360، این ابزار از طریق PowerShell دستوراتی را اجرا کرده و بسته MSI مربوط به ScreenConnect را به صورت Silent نصب می‌کند. پس از برقراری ارتباط، عامل تهدید از قابلیت RunFile در ScreenConnect برای انتقال و اجرای ابزارهای تکمیلی استفاده می‌کند. این ابزارها معمولاً برای اهداف زیر به کار می‌روند:
- جمع‌آوری اطلاعات حساس از سیستم (Information Collection).
- سرقت اعتبارنامه‌ها (Credential Access).
- کاهش دید سیستم‌های دفاعی و مخفی‌سازی فعالیت‌ها.
در برخی موارد، ابزارهای دیگری مانند FaronicsDeployAgent.exe نیز به عنوان پلتفرم اولیه برای نصب ScreenConnect مشاهده شده است که نشان می‌دهد مهاجمان از هر ابزار RMM معتبری که بتوانند برای دور زدن سیستم‌های امنیتی استفاده می‌کنند.
