هک های سریالی سرور مایکروسافت اکسچنج ادامه دارد!

به گزارش کارگروه امنیت سایبربان؛ گروه باج افزاری BlackByte (بلک بایت) با استفاده از آسیب پذیری های پراکسی شل و از طریق بهره برداری از سرورهای اکسچنج مایکروسافت در حال رخنه به شبکه های سازمانی می باشد.

از زمانی که محققین این آسیب پذیری ها را افشا کردند، بازیگران مخرب با هدف رخنه به سرورها و نصب وب شل ها، استخراج کننده های بیت کوین و باج افزار در حال بهره برداری از این آسیب پذیری ها هستند.

محققین Red Canary با بررسی یکی از حملات باج افزاری بلک بایت متوجه شدند که آن ها با هدف نصب وب شل ها بر روی سرور نا ایمن مایکروسافت اکسچنج در حال بهره برداری از آسیب پذیری های پراکسی شل هستند.

وب شل ها اسکریپت های کوچکی هستند که برای بازیگران مخرب امکانات زیر را فراهم می کنند:

• دسترسی مداوم به دستگاه
• اجرای از راه دور فرمان ها
• آپلود فایل های اضافی در سرور

این وب شل های کاشته شده سپس در جهت رها سازی Cobalt Strike beacon بر روی سرور مورد استفاده قرار می گیرد و درون پروسه Windows Update Agent ( یک برنامه در سیستم عامل ویندوز که به روز رسانی های ویندوز را به طور مستقیم از سرورهای مایکروسافت بارگیری و نصب می کند) تزریق می شود.

این برنامه تست نفوذ سپس در جهت دامپ کردن داده های احراز هویت یک حساب سرویس بر روی سیستم نا ایمن هدف، مورد استفاده قرار می گیرد.

مهاجمین در نهایت پس از به دست گرفتن کامل کنترل حساب، اقدام به نصب ابزار دسترسی از راه دور AnyDesk می کنند و حرکات بعدی خود را آغاز خواهند کرد.

بازیگران مخرب معمولا در هنگام اجرای حملات باج افزاری، از ابزاری ثالث برای افزایش سطح دسترسی به قابلیت ها و اجرای باج افزار بر روی شبکه استفاده می کنند.

در پایان کار، فایل های سرقت شده با استفاده از WinRAR و با هدف آرشیو فایل ها و پلتفرم های اشتراک فایل ناشناسی مانند "file.io"  و "anonymfiles.com." به صورت غیر مجاز انتقال داده می شوند. 

طبق بررسی های صورت گرفته بر روی گونه های جدید بلک بایت، عاملین این باج افزار ظاهرا تمرکز زیادی بر روی شناسایی نشدن، آنالیز و رمزنگاری دارند و تاکتیک های جدیدی را برای رسیدن به اهداف خود اتخاذ کرده اند.

بهره برداری از آسیب پذیری های پراکسی شل برای رها سازی باج افزار مسئله جدیدی نیست. بازیگران مخرب در اوایل نوامبر نیز از بدافزار بابوک در این جهت استفاده کرده بودند.

پراکسی شل دست کم از مارس 2021 به طور فعالی مورد بهره برداری بازیگران مخرب مختلف قرار گرفته است.