به گزارش کارگروه امنیت خبرگزاری سایبربان، هفته گذشته، چندین محقق امنیتی اعلام کردند که گروه مورا 001 (Mora_001) در حال بهره‌برداری از دو آسیب‌پذیری CVE-2024-55591 و CVE-2025-24472 است.
آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA) در ژانویه به تمام نهادهای فدرال غیرنظامی تنها یک هفته فرصت داد تا آسیب‌پذیری CVE-2024-55591 را برطرف کنند؛ این یکی از کوتاه‌ترین مهلت‌هایی است که این سازمان تاکنون تعیین کرده است.
فورتینت (Fortinet) نیز در یک اطلاعیه هشدار داد که این نقص امنیتی به‌طور فعال مورد سوءاستفاده قرار گرفته است و سپس آسیب‌پذیری CVE-2025-24472 را نیز به همان اطلاعیه اضافه کرد.
شرکت فورسکات ریسرچ (Forescout Research) روز چهارشنبه گزارش داد که از اواخر ژانویه تا مارس، یک سری نفوذهای امنیتی را شناسایی کرده که از طریق این دو آسیب‌پذیری آغاز شده و در نهایت به توزیع یک باج‌افزار جدید به نام سوپر بلک (SuperBlack) منتهی شده است.
سوپر بلک توسط گروه مورا 001 منتشر شده است.
به گفته فورسکات، این گروه از ترکیب روش‌های حملات فرصت‌طلبانه با عناصر مرتبط با اکوسیستم لاکبیت (LockBit) استفاده می‌کند.
لاکبیت یکی از خطرناک‌ترین گروه‌های باج‌افزاری بود تا زمانی که یک عملیات بین‌المللی اجرایی بسیاری از ابزارها و سیستم‌های آن‌ها را از کار انداخت.
فورسکات اعلام کرد که مورا 001 از نسخه درز کرده لاکبیت بیلدر (LockBit builder) استفاده کرده است، اما برند لاکبیت را از یادداشت باج‌گیری حذف کرده و از ابزار استخراج داده خود استفاده کرده است.
یادداشت باج‌گیری که این گروه در سیستم‌های قربانیان به جا می‌گذارد، حاوی نشانه‌هایی است که کارشناسان امنیتی را به این نتیجه رسانده که مورا 001 ممکن است یکی از وابستگان فعلی لاکبیت باشد که روش‌های منحصربه‌فردی را اتخاذ کرده است یا این گروه ممکن است یک همکار لاکبیت باشد که از کانال‌های ارتباطی مشترک استفاده می‌کند.
یک تحلیلگر امنیتی در شرکت آرکتیک وولف (Arctic Wolf) اظهار داشت که این گروه از اواخر ژانویه در حال سوءاستفاده از آسیب‌پذیری‌های فورتینت بوده و اولین حمله‌های شناسایی‌شده در ۲ فوریه رخ داده‌اند.
فورتینت یک پچ برای برطرف کردن هر دو آسیب‌پذیری منتشر کرده است، اما مهاجمان همچنان سازمان‌هایی را که نتوانسته‌اند پچ را نصب کنند یا پیکربندی فایروال خود را تقویت کنند، هدف قرار می‌دهند.
فورسکات اعلام کرد که گروه مهاجم در این حملات از همان مجموعه ابزارهایی که در فعالیت‌های قبلی باج‌افزار دیده شده، استفاده کرده اما روش‌های نفوذ اولیه خود را تغییر داده است.
تحلیلگر آرکتیک وولف اظهار کرد که پس از نشت لاکبیت 3.0 بیلدر (LockBit 3.0 builder) در سال ۲۰۲۲، بسیاری از گروه‌های هکری شروع به ایجاد نسخه‌های خاص خود از باج‌افزارها کردند.
اما گروه شناسایی‌شده توسط فورسکات روش‌های خود را با تاکتیک‌های سایر گروه‌های باج‌افزاری، از جمله گربه سیاه (بلک کت)/ای ال پی اج وی (BlackCat/ALPHV)، ترکیب کرده است.
آرکتیک وولف از اوایل دسامبر متوجه افزایش تلاش‌های مهاجمان برای هدف قرار دادن رابط‌های مدیریتی دستگاه‌های فایروال فورتینت فورتی گیت (FortiGate) شده بود، و این فعالیت‌ها حتی پیش از انتشار توصیه امنیتی فورتینت درباره این آسیب‌پذیری ادامه داشت.
فورتینت تاکنون هیچ واکنشی به این موضوع نشان نداده است.
