اخبار مهم روز
در نوامبر ۲۰۲۴، محققان امنیتی از کمپینی مخرب پرده برداشتند که وزارت امور خارجه یک کشور ناشناس در آمریکای جنوبی را هدف قرار داده بود. این کمپین که توسط Elastic Security Labs با نام REF7707 ردیابی می‌شود و شامل بدافزاری سفارشی است که دسترسی از راه دور به سیستم‌های آلوده را فراهم می‌کند. علاوه بر این، اهداف دیگری مانند یک شرکت مخابراتی و یک دانشگاه در جنوب شرقی آسیا نیز شناسایی شده‌اند.
اگرچه روش دقیق دسترسی اولیه در این حملات مشخص نیست، اما مشاهده شده است که مهاجمان از ابزار «certutil» مایکروسافت برای دانلود payloadهای اضافی از سروری مرتبط با وزارت امور خارجه استفاده کرده‌اند. دستورات certutil از طریق پلاگین Remote Shell مدیریت از راه دور ویندوز (WinrsHost.exe) از سیستمی ناشناخته در شبکه اجرا شده‌اند. این امر نشان می‌دهد که مهاجمان قبلاً به اعتبارنامه‌های شبکه دسترسی داشته و از آن‌ها برای حرکت جانبی از یک میزبان قبلاً آلوده در محیط استفاده کرده‌اند.
اولین فایل اجرایی، بدافزاری به نام PATHLOADER است که امکان اجرای shellcode رمزگذاری‌شده دریافتی از سرور خارجی را فراهم می‌کند. سپس، shellcode استخراج‌شده با نام FINALDRAFT به حافظه یک فرآیند جدید «mspaint.exe» تزریق می‌شود.
این FINALDRAFT، نوشته‌شده به زبان C++، یک ابزار مدیریت از راه دور کامل است که قابلیت اجرای ماژول‌های اضافی به‌صورت پویا را دارد و از سرویس ایمیل Outlook از طریق Microsoft Graph API برای فرمان و کنترل (C2) سوءاستفاده می‌کند. این بدافزار با تجزیه دستورات ذخیره‌شده در پوشه پیش‌نویس‌های صندوق پستی و نوشتن نتایج اجرا در ایمیل‌های پیش‌نویس جدید برای هر دستور، ارتباط برقرار می‌کند. FINALDRAFT دارای ۳۷ فرمان است که شامل تزریق فرآیند، دستکاری فایل و قابلیت‌های پروکسی شبکه می‌شود.
همچنین، این بدافزار به گونه‌ای طراحی شده است که فرآیندهای جدیدی را با استفاده از هش‌های NTLM سرقت‌شده شروع کرده و دستورات PowerShell را به‌گونه‌ای اجرا می‌کند که فایل اجرایی «powershell.exe» را فراخوانی نکند. در عوض، با پچ کردن چندین API برای دور زدن ردیابی رویداد برای ویندوز (ETW)، ابزار PowerPick را که بخشی از کیت ابزار پس از بهره‌برداری Empire است، راه‌اندازی می‌کند.
علاوه بر این، نمونه‌های باینری ELF که در VirusTotal از برزیل و ایالات متحده آپلود شده‌اند، نشان‌دهنده وجود نسخه لینوکس FINALDRAFT هستند که دارای عملکرد C2 مشابهی است. نسخه لینوکس می‌تواند دستورات شل را از طریق «popen» اجرا کرده و خود را از سیستم حذف کند.
کامل بودن ابزارها و سطح مهندسی درگیر نشان می‌دهد که توسعه‌دهندگان به‌خوبی سازمان‌دهی شده‌اند. مدت زمان طولانی عملیات و شواهد به‌دست‌آمده از تله‌متری نشان می‌دهد که احتمالاً این کمپین با هدف جاسوسی انجام شده است.
این کشف نشان‌دهنده پیچیدگی فزاینده تهدیدات سایبری و اهمیت اقدامات امنیتی قوی برای محافظت از سازمان‌ها در برابر چنین حملاتی است. سازمان‌ها باید به‌طور منظم سیستم‌های خود را به‌روزرسانی کرده، از ابزارهای امنیتی پیشرفته استفاده کنند و کارکنان خود را در مورد شیوه‌های امنیتی مناسب آموزش دهند تا خطر نقض امنیتی را به حداقل برسانند
#آکادمی_روزبه
https://thehackernews.com/2025/02/finaldraft-malware-exploits-microsoft.html?m=1
در نوامبر ۲۰۲۴، محققان امنیتی از کمپینی مخرب پرده برداشتند که وزارت امور خارجه یک کشور ناشناس در آمریکای جنوبی را هدف قرار داده بود. این کمپین که توسط Elastic Security Labs با نام REF7707 ردیابی می‌شود و شامل بدافزاری سفارشی است که دسترسی از راه دور به سیستم‌های آلوده را فراهم می‌کند. علاوه بر این، اهداف دیگری مانند یک شرکت مخابراتی و یک دانشگاه در جنوب شرقی آسیا نیز شناسایی شده‌اند.
اگرچه روش دقیق دسترسی اولیه در این حملات مشخص نیست، اما مشاهده شده است که مهاجمان از ابزار «certutil» مایکروسافت برای دانلود payloadهای اضافی از سروری مرتبط با وزارت امور خارجه استفاده کرده‌اند. دستورات certutil از طریق پلاگین Remote Shell مدیریت از راه دور ویندوز (WinrsHost.exe) از سیستمی ناشناخته در شبکه اجرا شده‌اند. این امر نشان می‌دهد که مهاجمان قبلاً به اعتبارنامه‌های شبکه دسترسی داشته و از آن‌ها برای حرکت جانبی از یک میزبان قبلاً آلوده در محیط استفاده کرده‌اند.
اولین فایل اجرایی، بدافزاری به نام PATHLOADER است که امکان اجرای shellcode رمزگذاری‌شده دریافتی از سرور خارجی را فراهم می‌کند. سپس، shellcode استخراج‌شده با نام FINALDRAFT به حافظه یک فرآیند جدید «mspaint.exe» تزریق می‌شود.
این FINALDRAFT، نوشته‌شده به زبان C++، یک ابزار مدیریت از راه دور کامل است که قابلیت اجرای ماژول‌های اضافی به‌صورت پویا را دارد و از سرویس ایمیل Outlook از طریق Microsoft Graph API برای فرمان و کنترل (C2) سوءاستفاده می‌کند. این بدافزار با تجزیه دستورات ذخیره‌شده در پوشه پیش‌نویس‌های صندوق پستی و نوشتن نتایج اجرا در ایمیل‌های پیش‌نویس جدید برای هر دستور، ارتباط برقرار می‌کند. FINALDRAFT دارای ۳۷ فرمان است که شامل تزریق فرآیند، دستکاری فایل و قابلیت‌های پروکسی شبکه می‌شود.
همچنین، این بدافزار به گونه‌ای طراحی شده است که فرآیندهای جدیدی را با استفاده از هش‌های NTLM سرقت‌شده شروع کرده و دستورات PowerShell را به‌گونه‌ای اجرا می‌کند که فایل اجرایی «powershell.exe» را فراخوانی نکند. در عوض، با پچ کردن چندین API برای دور زدن ردیابی رویداد برای ویندوز (ETW)، ابزار PowerPick را که بخشی از کیت ابزار پس از بهره‌برداری Empire است، راه‌اندازی می‌کند.
علاوه بر این، نمونه‌های باینری ELF که در VirusTotal از برزیل و ایالات متحده آپلود شده‌اند، نشان‌دهنده وجود نسخه لینوکس FINALDRAFT هستند که دارای عملکرد C2 مشابهی است. نسخه لینوکس می‌تواند دستورات شل را از طریق «popen» اجرا کرده و خود را از سیستم حذف کند.
کامل بودن ابزارها و سطح مهندسی درگیر نشان می‌دهد که توسعه‌دهندگان به‌خوبی سازمان‌دهی شده‌اند. مدت زمان طولانی عملیات و شواهد به‌دست‌آمده از تله‌متری نشان می‌دهد که احتمالاً این کمپین با هدف جاسوسی انجام شده است.
این کشف نشان‌دهنده پیچیدگی فزاینده تهدیدات سایبری و اهمیت اقدامات امنیتی قوی برای محافظت از سازمان‌ها در برابر چنین حملاتی است. سازمان‌ها باید به‌طور منظم سیستم‌های خود را به‌روزرسانی کرده، از ابزارهای امنیتی پیشرفته استفاده کنند و کارکنان خود را در مورد شیوه‌های امنیتی مناسب آموزش دهند تا خطر نقض امنیتی را به حداقل برسانند
#آکادمی_روزبه
https://thehackernews.com/2025/02/finaldraft-malware-exploits-microsoft.html?m=1
Comments
Be the first to add a comment
Log in to comment