فعالیت دوباره باج‌افزار LockBit ۳.۰

به گزارش خبرگزاری صدا و سیما به نقل از روابط عمومی مرکز مدیریت راهبردی افتا، محققان امنیتی، در فروردین ۱۴۰۱ اعلام کرده بودند که LockBit (که به LockBit Black نیز معروف است) از ابزار معتبر خط فرمان VMware، به نام VMwareXferlogs.exe، برای بارگذاری و تزریق Cobalt Strike استفاده می‌کند.
Cobalt Strike یک ابزار آزمایش نفوذ معتبر با ویژگی‌های گسترده‌ای است که در بین مهاجمان برای شناسایی شبکه و گسترش آلودگی در آن، پیش از سرقت و رمزگذاری داده‌ها استفاده می‌شود.
در این حملات، از طریق آسیب‌پذیری Log۴j نفوذ اولیه به هدف موردنظر در سرور VMWare Horizon صورت می گیرد که وصله نشده است..
پس از نفوذ اولیه، مهاجمان با استفاده از فرمان‌هایی تلاش می‌کنند که چندین ابزار را به کار گیرند و روش جدیدی برای بارگذاری و تزریق Cobalt Strike اجرا کنند.
در این حملات، به طور خاص، هنگام اجرای Cobalt Strike، از ابزار معتبر جدیدی برای بارگذاری یک DLL مخرب استفاده می‌شود که کد مخرب را رمزگشایی می‌کند.
کد بدافزاری، DLL مخرب و ابزار معتبر را، مهاجمان با به‌کارگیری ابزار معتبر خط فرمان، از سرور کنترل و فرماندهی خود دانلود می‌کنند.
استفاده از ابزار‌ها و توابع عادی و سالم سیستم‌عامل و دیگر نرم‌افزار‌های کاربردی به دست مهاجمان سایبری برای اهداف خرابکارانه خود بر روی شبکه قربانی، یکی از روش‌هایی است که مهاجمان برای مخفی ماندن از دید سامانه های امنیتی و ضدویروس‌های قدیمی و شناسایی نشدن به کار می‌گیرند. به این روش «کسب روزی از زمین» یا Living off the Land - به‌اختصار LotL - گفته می‌شود.
کارشناسان مرکز مدیریت راهبردی افتا تاکید می‌کنند که استفاده از محصولات معتبری همچون VMware و Windows Defender باید همواره با بررسی دقیق همراه باشد چرا که به طور گسترده در سازمان‎ها به کار گرفته می‌شوند و از ظرفیت خوبی برای بهره‌جویی مهاجمان برخوردارند، درعین‌حال راهبران امنیتی موظفند وصله‌های منتشر شده را برای تمام محصولات، به موقع به‌روزرسانی کنند.
راهبران امنیتی سازمان‌ها و دستگاه‌های دارای زیر ساخت حیاتی کشور می‌توانند برای اطلاع از جزئیات فنی و نحوه عملکرد جدید باج افزار LockBit ۳.۰ به پایگاه اینترنتی مرکز مدیریت راهبردی افتا به نشانی https:/https://afta.gov.ir/fa-IR/Portal/4927/news/view/14608/2169//afta.gov.ir/fa-IR/Portal/4927/news/view/14608/2169/ مراجعه کنند.