HalhulTech
تكنلوجيا - حلحول
- إنضم
- 29 يونيو 2022
- المشاركات
- 4,045
- مستوى التفاعل
- 0
- النقاط
- 16
توصل بحث جديد إلى أن شركة تطوير برمجيات كبيرة تستخدم برامجها من قبل كيانات حكومية مختلفة في أوكرانيا كانت في الطرف المتلقي لقطعة "غير شائعة" من البرامج الضارة.
البرنامج الضار ، الذي لوحظ لأول مرة في صباح 19 مايو 2022 ، هو متغير مخصص للباب الخلفي مفتوح المصدر المعروف باسم GoMet وهو مصمم للحفاظ على الوصول المستمر إلى الشبكة.
وقالت سيسكو تالوس في تقرير تمت مشاركته مع The Hacker News : "يمكن الاستفادة من هذا الوصول بعدة طرق ، بما في ذلك وصول أعمق أو شن هجمات إضافية ، بما في ذلك احتمال اختراق سلسلة إمداد البرامج" .
على الرغم من عدم وجود مؤشرات ملموسة تربط الهجوم بجهة فاعلة واحدة أو مجموعة واحدة ، إلا أن تقييم شركة الأمن السيبراني يشير إلى نشاط الدولة القومية الروسية.
كشفت التقارير العامة عن استخدام GoMet في هجمات العالم الحقيقي حتى الآن عن حالتين موثقتين فقط حتى الآن: واحدة في عام 2020 ، بالتزامن مع الكشف عن CVE-2020-5902 ، وهو عيب خطير في تنفيذ التعليمات البرمجية عن بُعد في شبكات BIG-IP الخاصة بـ F5 الأجهزة.
استلزم المثيل الثاني الاستغلال الناجح لـ CVE-2022-1040 ، وهي ثغرة أمنية في تنفيذ التعليمات البرمجية عن بُعد في Sophos Firewall ، من قبل مجموعة تهديد مستمر متقدم (APT) غير مسمى في وقت سابق من هذا العام.
"لم نر تطبيق GoMet عبر المؤسسات الأخرى التي كنا نعمل معها عن كثب ونراقبها ، وهذا يعني أنها مستهدفة بطريقة ما ولكن يمكن استخدامها ضد أهداف إضافية لا يمكننا رؤيتها" ، نيك بياسيني ، قال رئيس الاتصال بشركة سيسكو تالوس لصحيفة The Hacker News.
"لقد أجرينا أيضًا تحليلًا تاريخيًا صارمًا نسبيًا ونرى استخدامًا ضئيلًا جدًا لـ GoMet تاريخيًا مما يشير أيضًا إلى أنه يتم استخدامه بطرق مستهدفة للغاية."
GoMet ، كما يوحي الاسم ، مكتوب في Go ويأتي مع ميزات تسمح للمهاجم بالتحكم عن بعد في النظام المخترق ، بما في ذلك تحميل الملفات وتنزيلها وتشغيل أوامر عشوائية واستخدام موطئ قدم أولي للانتشار إلى الشبكات والأنظمة الأخرى عبر ما تسمى سلسلة ديزي .
ميزة أخرى بارزة للغرسة هي قدرتها على تشغيل المهام المجدولة باستخدام cron . بينما يتم تكوين الكود الأصلي لتنفيذ مهام cron مرة واحدة كل ساعة ، فإن الإصدار المعدل من الباب الخلفي المستخدم في الهجوم مصمم للتشغيل كل ثانيتين والتأكد مما إذا كانت البرامج الضارة متصلة بخادم الأوامر والتحكم.
وقال بياسيني: "غالبية الهجمات التي شهدناها مؤخرًا تتعلق بالوصول ، إما بشكل مباشر أو من خلال الاستحواذ على بيانات الاعتماد". "هذا مثال آخر على ذلك مع نشر GoMet كباب خلفي."
"بمجرد إنشاء الوصول ، يمكن أن يتبع ذلك عمليات استطلاع إضافية وعمليات أكثر شمولاً. نحن نعمل على قتل الهجمات قبل أن تصل إلى هذه المرحلة ، لذلك من الصعب التنبؤ بأنواع الهجمات اللاحقة."
تأتي النتائج في الوقت الذي شاركت فيه القيادة الإلكترونية الأمريكية يوم الأربعاء مؤشرات التسوية (IoCs) المتعلقة بأنواع مختلفة من البرامج الضارة مثل GrimPlant و GraphSteel و Cobalt Strike Beacon و MicroBackdoor التي تستهدف الشبكات الأوكرانية في الأشهر الأخيرة.
ومنذ ذلك الحين ، عزت شركة الأمن السيبراني Mandiant هجمات التصيد إلى اثنين من جهات التجسس التي تم تعقبها باسم UNC1151 (المعروف أيضًا باسم Ghostwriter) و UNC2589 ، والتي يُشتبه في أن الأخيرة "تعمل لدعم مصالح الحكومة الروسية وتقوم بجمع تجسس واسع النطاق في أوكرانيا".
يُعتقد أيضًا أن مجموعة التهديدات غير المصنفة UNC2589 كانت وراء هجمات ممسحة البيانات WhisperGate (المعروفة أيضًا باسم PAYWIPE) في منتصف يناير 2022. وقد قامت Microsoft ، التي تتعقب المجموعة نفسها تحت اسم DEV-0586 ، بتقييمها على أنها تابعة لـ GRU الروسية المخابرات العسكرية .