به گزارش کارگروه امنیت سایبربان ؛ به نقل از مرکز مدیریت راهبردی افتا، بدافزار «لمون داک» مکانیزمهای امنیتی ناقص را دور زده و به اجرای محصولات امنیتی خاتمه میدهد.
نمونههای جدید بدافزار Lemon Duck با استفاده از دستور ویندوزی certutil و کدهای اجرایی مخرب، روی دیسک ذخیره و در ادامه با استفاده از PowerShell اجرا میشوند.
یکسان بودن نام کاربری و رمز عبور ایجاد شده در فرمانها با حسابهای کاربری ساخته شده در حملات مبتنی بر دستور ویندوزی certutil ، به همراه عواملی دیگر موجب شده است که گردانندگان همه این حملات، یک فرد یا گروه تلقی شوند.
مهاجمان در کمپین بدافزار Lemon Duck با استفاده از ProxyLogon برای استخراج ارز دیجیتال به اهداف خود نفوذ میکنند و برخی از سرورهای ایرانی را نیز هدف قرار دادهاند.
شرکت امنیتیSophos اعلام کرده است که نسخه جدید بدافزار لمون داک، برای ماندگاری روی سیستمها، ماینر را به عنوان سرویس ویندوزی نصب میکند و آلودگی را در سطح شبکه گسترش میدهد.
مهاجمان سایبری همچنین با استفاده از تیم بدافزار، حساب کاربری با قابلیت دسترسی از راه دور، در سرورهای قربانی ایجاد و به خوبی از سرورهای آسیبپذیر Exchange سوءاستفاده میکنند.
کارشناسان مرکز مدیریت راهبردی افتا میگویند: در صورت مجهز بودن محصول امنیتی به قابلیت حفاظت از دستکاری (Tamper Protection)، تکنیکهای مهاجمان لمون داک، بیثمر خواهند بود.
مشروح اطلاعات فنی، نشانههای آلودگی سرورهای قربانی شده و لینک دسترسی به گزارش شرکت امنیتی Sophos در پایگاه اینترنتی مرکز مدیریت راهبردی افتا در دسترس است.
