هزاران سیستم سازمانی به بدافزار جدید گروه مجرم سایبری blue mockingbird آلوده شدند

کارشناسان امنیتی ادعا می‌کنند بدافزار پیچیده‌ی جدیدی با هدف معدن‌کاوی رمزارز، هزاران سیستم و سرور سازمانی را هدف قرار داده است.

ظاهرا هزاران کامپیوتر و سرور سازمانی به بدافزار معدن کاو رمزارز جدیدی آلوده شده اند که رد آن به گروه مجرم سایبری موسوم به Blue Mockingbird می رسد. بدافزار مذکور، چندی پیش توسط تحلیل گر بدافزار شرکت امنیت سایبری ابری Red Canary شناسایی شد. محققان ادعا می کنند که گروه Blue Mockingbird احتمالا از ماه دسامبر سال ۲۰۱۹ مشغول به فعالیت بوده اند.محققان ادعا می کنند گروه Blue Mockingbird سرورهای عمومی مجهز به ASP.NET را هدف قرار می دهند که از فریمورک Telerik به عنوان رابط کاربری اصلی بهره می برند. آن ها از آسیب پذیری CVE-2019-18935 سوءاستفاده کرده و یک وب شل را در سرور قربانی جانمایی می کنند. مجرمان سایبری سپس از روش موسوم به Juicy Potato برای کسب دسترسی ادمین استفاده کرده و پیکربندی سرور را تغییر دستکاری می کنند. این اقدام ها باعث می شود تا کد آلوده، پس از بوت شدن سرور نیز به فعالیت ادامه شود.مجرمان سایبری پس از نفوذ و به دست گرفتن کنترل سیستم، نسخه ای از بدافزار معدن کاو XMRRig را دانلود و نصب می کنند. این بدافزار، مانند بسیاری دیگر از معدن کاوهای غیرقانونی رمزارز، برای معدن کاوی رمزارز مونرو (XMR) استفاده می شود. این رمزارز ساختار حریم خصوصی و فعالیت ناشناس بسیار پیچیده ای دارد و بیش از تمامی انواع موجود، مورد سوءاستفاده ی مجرمان قرار می گیرد.مجرمان سایبری از بدافزار برای معدن کاوی رمزارز مونرو استفاده می کنندمتخصصان Red Canary می گویند که اگر سرورهای IIS عمومی به شبکه های داخلی سازمان ها متصل باشند، مجرمان سایبری تلاش می کنند تا به شبکه ی داخلی هم نفوذ کنند. آن ها با سوءاستفاده از ساختار RDP (مخفف Remote Desktop Protocol) یا SMB (مخفف Server Messagd Block) ضعیف در شبکه های داخلی، به کامپیوترهای دیگر نفوذ می کنند.شرکت امنیتی Red Canary در مصاحبه ای که چندی پیش با ZDNet انجام داد، اعلام کرد که اطلاعات دقیقی از گستردگی عملیاتی گروه Blue Mockingbird در دست نیست. البته آن ها تخمین می زدند که تاکنون هزار مورد آلوده سازی توسط بدافزار انجام شده باشد. فراموش نکنید که Red Canary چشم انداز محدودی نسبت به دامنه ی فعالیت داشت و همین تعداد نفوذ هم نگران کننده به نظر می رسد. نماینده ی شرکت در مصاحبه می گوید: «ما مانند هر شرکت امنیتی دیگری، نگرش و دیدگاه محدودی نسبت به حوزه ی نفوذ تهدید امنیتی داریم و به هیچ وجه نمی توانیم به صورت دقیق، دامنه ی فعالیت را تخمین بزنیم. این تهدید، درصد بسیار پایینی از سازمان های تحت نظارت ما را آلوده کرده است. به هرحال ما در مدت کوتاهی توانستیم حدود هزار مورد آلودگی را در آن سازمان ها تشخیص دهیم». درنهایت Red Canary اعتقاد دارد که احتمالا سازمان های بسیار زیادی تحت تأثیر نفوذ و آلودگی بوده اند. به علاوه، آن هایی که تصور امن بودن دارند نیز شاید به بدافزار آلوده شوند.همان طور که گفته شد، بخش رابط کاربری Telerik UI در سرورهای مجهز به ASP.NET، آسیب پذیری اصلی و راه نفوذ را برای مجرمان فراهم می کند. کارشناسان اعتقاد دارند این بخش در سرورهای مجهز به آخرین نسخه از ASP.NET هم دیده می شود و در بسیاری موارد، شاید به درستی به روز نشده باشد. همین به روز نبودن رابط کاربری، شرکت ها را در معرض خطرهای جدی قرار می دهد. بسیاری از شرکت ها و توسعه دهنده ها احتمالا حتی نمی دانند که Telerik UI به عنوان بخشی داخلی در اپلیکیشن آن ها اجرا می شود.پس از اینکه جزئیات آسیب پذیری Telerik UI در سال گذشته به صورت عمومی منتشر شد، سوءاستفاده های زیادی از آن صورت گرفت. مجرمان سایبری با سوء استفاده از اطلاعات، روش های نفوذ خود را بهبود دادند و راه های جدیدی برای تزریق بدافزار پیدا کردند. دراین میان کارشناسان IT در سازمان ها اطلاعات کاملی از اخبار نداشتند و ساختار شرکت را در معرض خطر قرار دادند. به عنوان مثال، آژانس امنیت ملی ایالات متحده NSA، در ماه آوریل آسیب پذیری های Telerik UI CVE-2019-18935 را در صدر آسیب پذیری هایی قرار داد که ازسوی مجرمان سایبری برای نصب وب شل در سرورها استفاده می شود.مقاله های مرتبط:از گزارش های دیگر پیرامون آسیب پذیری خطرناک سروری می توان به گزارش اخیر مرکز امنیت سایبری استرالیا ACSC اشاره کرد که چند روز پیش منتشر شد. این مرکز نیز آسیب پذیری Telerik UI CVE-2019-18935 را به عنوان یکی از پرکاربردترین ابزارها و روش های نفوذ به سازمان های استرالیایی در سال های ۲۰۱۹ و ۲۰۲۰ نامید.بسیاری از سازمان ها احتمالا امکان به روزرسانی اپلیکیشن های آسیب پذیر را به جدیدترین نسخه ها ندارند. در چنین مواردی آن ها باید مطمئن شوند که رویکردهای نفوذ مبتنی بر Telerik UI CVE-2019-18935 در سطح فایروال، مسدود می شود. اگر سازمانی به فایروال وب مجهز نباشد، باید به دنبال نشانه هایی از نفوذ در سطح سرور و ورک استیشن باشد. Red Canary اخیرا گزارشی منتشر کرد که نشانه های نفوذ با سوءاستفاده از آسیب پذیری مذکور را برای شرکت ها و کارشناسان امنیتی شرح می دهد.Red Canary در پایان مصاحبه با ZDNet اطلاعات زیر را پیرامون حمله های Blue Mockingbird شرح می دهد: «ما مانند همیشه با انتشار اطلاعات سعی داریم تا به تیم های امنیتی کمک کنیم. آن ها با تکیه بر اطلاعات می توانند استراتژی های تشخیصی قوی تری توسعه دهند که تهدیدهای احتمالی علیه سیستم هایشان را بهتر شناسایی کنند. به نظر ما بهتر است که تیم های امنیتی، توانایی خود را در شناسایی مواردی همچون پایداری COR_PROFILE در سیستم و دسترسی اولیه ی آن ازطریق آسیب پذیری Telerik، افزایش دهند».