مهاجمان سایبری اخیراً از QEMU، که معمولاً برای شبیه‌سازی سیستم‌عامل‌های مجازی به‌کار می‌رود، برای ایجاد تونل‌های شبکه‌ای و عبور مخفیانه از فایروال‌ها و محدودیت‌های شبکه استفاده کرده‌اند. این روش نوعی Network Tunneling محسوب می‌شود که به مهاجم اجازه می‌دهد از طریق سیستم‌های قربانی، دسترسی غیرمجاز به شبکه‌های داخلی پیدا کند.
در این تکنیک، مهاجم روی یک سیستم به نام PivotHost، که دسترسی به اینترنت دارد، QEMU را بدون راه‌اندازی کامل ماشین مجازی اجرا می‌کند. این QEMU با تنظیمات خاص مانند -netdev socket و -netdev user، یک تونل شبکه‌ای ایجاد می‌کند که ترافیک را به یک سرور دیگر مهاجم منتقل می‌کند. این سرور می‌تواند در اینترنت یا زیرساخت ابری باشد و یک QEMU دیگر روی آن اجرا شده تا ارتباط دوسویه برقرار شود.
این تونل به مهاجم اجازه می‌دهد ترافیک پروتکل‌هایی مانند RDP را که در حالت عادی فقط در شبکه داخلی مجاز است، از طریق اینترنت عبور دهد، بدون آنکه فایروال یا تجهیزات امنیتی به‌راحتی متوجه شوند.
تشخیص این نوع فعالیت دشوار است، اما چند سرنخ مهم وجود دارد:
اجرای QEMU با مقادیر غیرمعمول حافظه مانند -m 1M یا بدون دیسک و سیستم‌عامل، مشکوک است.
مشاهده فرآیندهای QEMU با پارامترهای شبکه نظیر -netdev socket باید به‌عنوان هشدار امنیتی بررسی شود.
تحلیل ترافیک شبکه برای یافتن بسته‌های TCP غیرمنتظره یا ترافیک غیرمعمول روی پورت‌هایی مانند 443 یا 4444 که حاوی encapsulated Ethernet هستند.
استفاده از EDR، NDR و قوانین Sigma برای شناسایی رفتار غیرطبیعی QEMU در شبکه و سیستم‌ها.
این تکنیک نمونه‌ای پیشرفته از سواستفاده از ابزارهای قانونی برای اهداف مخرب است و نیازمند نظارت دقیق و تحلیل عمیق در شبکه‌های سازمانی می‌باشد.
#آکادمی_روزبه
مرکز تخصصی CISSP
https://securelist.com/network-tunneling-with-qemu/111803/
در این تکنیک، مهاجم روی یک سیستم به نام PivotHost، که دسترسی به اینترنت دارد، QEMU را بدون راه‌اندازی کامل ماشین مجازی اجرا می‌کند. این QEMU با تنظیمات خاص مانند -netdev socket و -netdev user، یک تونل شبکه‌ای ایجاد می‌کند که ترافیک را به یک سرور دیگر مهاجم منتقل می‌کند. این سرور می‌تواند در اینترنت یا زیرساخت ابری باشد و یک QEMU دیگر روی آن اجرا شده تا ارتباط دوسویه برقرار شود.
این تونل به مهاجم اجازه می‌دهد ترافیک پروتکل‌هایی مانند RDP را که در حالت عادی فقط در شبکه داخلی مجاز است، از طریق اینترنت عبور دهد، بدون آنکه فایروال یا تجهیزات امنیتی به‌راحتی متوجه شوند.
تشخیص این نوع فعالیت دشوار است، اما چند سرنخ مهم وجود دارد:
اجرای QEMU با مقادیر غیرمعمول حافظه مانند -m 1M یا بدون دیسک و سیستم‌عامل، مشکوک است.
مشاهده فرآیندهای QEMU با پارامترهای شبکه نظیر -netdev socket باید به‌عنوان هشدار امنیتی بررسی شود.
تحلیل ترافیک شبکه برای یافتن بسته‌های TCP غیرمنتظره یا ترافیک غیرمعمول روی پورت‌هایی مانند 443 یا 4444 که حاوی encapsulated Ethernet هستند.
استفاده از EDR، NDR و قوانین Sigma برای شناسایی رفتار غیرطبیعی QEMU در شبکه و سیستم‌ها.
این تکنیک نمونه‌ای پیشرفته از سواستفاده از ابزارهای قانونی برای اهداف مخرب است و نیازمند نظارت دقیق و تحلیل عمیق در شبکه‌های سازمانی می‌باشد.
#آکادمی_روزبه
مرکز تخصصی CISSP
https://securelist.com/network-tunneling-with-qemu/111803/
Comments
Be the first to add a comment
Log in to comment