به گزارش گرداب، در هر یک از مراحل اجرای حملات Human-operated مهاجمان بسته به شرایط و نتایج حاصل شده در مراحل قبلی اقدام به تصمیم‌گیری و طراحی مرحله بعد می‌کنند.

به گزارش معاونت بررسی مرکز افتا، به نقل از پایگاه اینترنتی BleepingComputer، این شرکت اقدام به ارائه توصیه‌هایی در خصوص محافظت از سیستم‌های قابل دسترس بر روی اینترنت در برابر این حملات کرده است.

نقطه شروع بسیاری از این حملات، بهره‌جویی (Exploit) از آسیب‌پذیری‌های امنیتی دستگاه‌های قابل دسترس بر روی اینترنت یا اجرای حملات موسوم به سعی‌وخطا (Brute-force) بر ضد سرورهای RDP است تا از این طریق رخنه اولیه به شبکه صورت بگیرد.

برای مثال، در جریان حمله به شرکت Travelex مهاجمان پشت‌پرده باج افزار Sodinokibi – که با نام REvil نیز شناخته می‌شود – اقدام به بهره‌جویی از دستگاه‌های Pulse VPN کردند.

یا در نمونه‌هایی دیگر می‌توان به بهره‌جویی مهاجمان از آسیب‌پذیری CVE-۲۰۱۹-۱۹۷۸ در Citrix ADC (NetScaler) برای نفوذ به شبکه و انتشار باج‌افزارهایی همچون DoppelPaymer و Ragnarok اشاره کرد.

بررسی‌های Microsoft نشان می‌دهد که مرحله نهایی توزیع باج افزار و رمزگذاری سیستم معمولاً با سرقت داده‌ها با هدف اخاذی بیشتر و استخراج اطلاعات اصالت‌سنجی به‌منظور گسترش آلودگی در سطح شبکه سازمان همراه می‌شود.

برای جلوگیری از بروز آن، Microsoft به قربانیان بالقوه توصیه می‌کند که گردانندگان پشت‌پرده کارازهای باج افزاری را از مورد بهره‌جویی قرار دادن آسیب‌پذیری‌های مورد نظر این تبهکاران عاجز کنند.

این شرکت تأکید می‌کند که اعمال اصلاحیه‌های امنیتی بر روی سیستم‌های در معرض اینترنت در مقابله با این حملات حیاتی است.

بر اساس داده‌های جمع‌آوری شده توسط Microsoft، مهاجمان در حملات باج افزاری اخیر معمولاً از حفره‌های امنیتی زیر سوءاستفاده می‌کنند:

پودمان‌های Remote Desktop Protocol – به اختصار RDP – یا نقاط پایانی Remote Desktop Protocol فاقد اصالت‌سنجی چندمرحله‌ای (MFA)

بسترهایی همچون Windows Server ۲۰۰۳ و Windows Server ۲۰۰۸ که پشتیبانی از آن‌ها پایان یافته و دیگر به‌روزرسانی‌های امنیتی برای آن‌ها عرضه نمی‌شود؛ به‌خصوص اگر از رمزهای عبور ضعیف در آن‌ها استفاده شده باشد.

سرورهای تحت وب با پیکربندی نادرست؛ شامل IIS، نرم‌افزارهای پرونده الکترونیک بیمار (EHR)، سرورهای پشتیبان (Backup) و سرورهای مدیریت سیستم‌ها

سیستم‌های Citrix Application Delivery Controller – به اختصار ADC –، آسیب‌پذیر به CVE-۲۰۱۹-۱۹۷۸۱

سیستم‌های Pulse Secure VPN، آسیب‌پذیر به CVE-۲۰۱۹-۱۱۵۱۰

در حالی که Microsoft حملات جدیدی که در جریان اجرای آن‌ها از آسیب‌پذیری‌های CVE-۲۰۱۹-۰۶۰۴ (در Microsoft SharePoint)، CVE-۲۰۲۰-۰۶۸۸ (در Microsoft Exchange) یا CVE-۲۰۲۰-۱۰۱۸۹ (در Zoho ManageEngine) سوءاستفاده شده باشد را مشاهده نکرده اما بر اساس سوابق تاریخی، مورد بهره‌جویی قرار گرفتن آن‌ها توسط مهاجمان در آینده‌ای نزدیک برای راه یافتن به شبکه قربانیان را محتمل می‌داند.

همچنین سازمان‌ها می‌بایست نشانه‌های اجرای حملات باج افزاری را در بسترهای خود به‌سرعت کشف کنند. ازجمله اینکه استفاده از پروسه‌ها/ابزارهای معتبر اما بالقوه مخرب (نظیر PowerShell، Cobalt Strike و ابزارهای مورد استفاده در آزمون‌های نفوذ)، فعالیت‌های مرتبط با سرقت اطلاعات اصالت‌سنجی یا دست‌درازی به لاگ‌های امنیتی را همواره تحت رصد قرار دهند.

به‌محض مواجهه با هر یک از این نشانه‌ها گروه امنیت سازمان باید انجام اقدامات زیر را برای ارزیابی میزان تأثیر و جلوگیری از گسترش احتمالی تهدید در دستور کار قرار دهد:

بررسی نقاط پایانی و اطلاعات اصالت‌سنجی تأثیر پذیرفته

قرنطینه کردن نقاط پایانی هک/آلوده شده

توجه ویژه به دستگاه‌ها آلوده به بدافزارهای مرتبط نظیر Emotet و Trickbot که در مواقعی مهاجمان از آن‌ها به‌عنوان ناقل باج افزار استفاده می‌کنند

یافتن آسیب‌پذیری‌های در معرض اینترنت که مهاجمان از آن‌ها به‌عنوان درگاهی برای ورود به شبکه استفاده می‌کنند و ترمیم آن‌ها از دیگر اقدمات مهم در دفاع از سازمان در برابر حملات باج افزاری است.

همچنین Microsoft‌ اعلام کرده گروه‌هایی از مهاجمان با دسترسی یافتن به شبکه‌های هدف برای چندین ماه حضور خود را در آن شبکه‌ها تثبیت کرده بوده و طی دو هفته اول آوریل ۲۰۲۰ اقدام به توزیع ده‌ها باج افزار بر روی سیستم‌های متصل به شبکه‌های مذکور کردند.

به گفته این شرکت، تا به حال سازمان‌های کمک‌رسان، شرکت‌های معروف به Medical Billing، کارخانجات، شرکت‌های فعال در حوزه حمل‌ونقل، مؤسسات دولتی و تأمین‌کنندگان نرم‌افزارهای آموزشی مورد هدف این حملات قرار گرفته‌اند که نشان می‌دهد که باج‌گیران سایبری ارزشی برای سرویس‌های حیاتی و بحران جهانی قائل نیستند.

لازم به ذکر است که سازمان‌های سلامت و درمان و سرویس‌های حیاتی تنها مواردی نیستند که توسط گروه‌های باج افزاری هدف قرار می‌گیرند؛ لذا تمامی سازمان‌های دولتی و خصوصی باید با لحاظ کردن اقدامات پیشگیرانه برای مقابله با چنین ریسک‌هایی و انجام واکنش‌های لازم در هر زمانی آماده باشند.

همانطور که آمار Microsoft نشان می‌دهد تاریخ اولیه رخنه به شبکه سازمان‌های مورد اخاذی به اوایل سال میلادی جاری باز می‌گردد که در آن‌ها مهاجمان در انتظار فرصت مناسب برای توزیع کدهای مخرب باج افزار می‌مانند تا حداکثر منافع مالی را برای آن‌ها داشته باشد.

Microsoft اضافه کرده که برخلاف آن دسته از حملات باج افزاری که از طریق ایمیل منتشرشده و در مدتی کوتاه پس از اجرای فایل مخرب توسط کاربر ناآگاه، دستگاه به باج افزار آلوده می‌شود حملات ماه آوریل مشابه با کارزارهای باج افزار Doppelpaymer در سال ۲۰۱۹ است که مهاجمان از ماه‌ها قبل از اجرای باج افزار به شبکه اهداف خود دسترسی پیدا می‌کردند.

آن‌ها در ادامه بی‌سروصدا در بستر مخفی می‌ماندند تا در فرصتی مناسب باج افزار را در سطح شبکه توزیع کنند.

در این حملات در حین توزیع باج افزار، مهاجمان عمداً حضورشان را بر روی برخی از نقاط پایانی ماندگار می‌کنند تا بتوانند اقدامات مخرب خود را پس از پرداخت باج یا بازسازی سیستم از سربگیرند.

گر چه تنها تعداد اندکی از گروه‌های باج افزاری به سرقت داده‌ها معروف شده‌اند اما به گفته Microsoft تقریباً در تمامی آن‌ها دیده‌شده که داده‌ها در جریان حمله، خوانده و حتی استخراج می‌شود؛ حتی در مواردی که مهاجمان فروش اطلاعات سرقت شده را تبلیغ نکرده‌اند.

در اوایل مارس نیز Microsoft اطلاعاتی در خصوص بردارهای ورود و تکنیک‌های پس از بهره‌جویی در باج افزارهای DoppelPaymer، Dharma و Ryuk را به اشتراک گذاشت که بررسی آن‌ها نشان می‌دهد تنظیمات نادرست امنیتی که این مهاجمان از آن‌ها سوءاستفاده می‌کنند بسیار به یکدیگر شباهت دارد.

Microsoft از اول آوریل به بیمارستان‌ها در خصوص دستگاه‌های VPN و درگاه‌های در معرض اینترنت در شبکه‌های آن‌ها هشدار داده است.

باج افزارها ازجمله مخرب‌ترین تهدیدات سایبری محسوب می‌شوند. بر اساس تحلیل کیف‌های ارز رمز و اطلاعیه‌های باج‌گیری، طی سال گذشته، قربانیان بیش از ۱۴۰ میلیون دلار باج را به گردانندگان این بدافزارهای مخرب پرداخت کردند.