شکار زیرساخت‌های حیاتی توسط گروه وارلاک با سوءاستفاده از حفره‌های شیرپوینت

گروه هکری موسوم به «وارلاک» (Warlock) که با نام‌های دیگری همچون «لانگ‌لگز» نیز شناخته می‌شود، با تمرکز بر آسیب‌پذیری‌های نرم‌افزار مایکروسافت شیرپوینت، موج جدیدی از حملات سایبری را علیه زیرساخت‌های حیاتی در کشورهای اسپانیایی و پرتغالی‌زبان آغاز کرده است. این مهاجمان که ردپای آن‌ها در حملات به سازمان‌های دولتی، آموزشی و بخش‌های خدمات عمومی مانند آب و مخابرات دیده شده، از ترکیب روش‌های پیچیده برای نفوذ و استقرار باج‌افزار استفاده می‌کنند. تداوم این حملات نشان می‌دهد که علی‌رغم گذشت زمان، همچنان بسیاری از سرورهای شیرپوینت به دلیل عدم به‌روزرسانی یا وصله‌های امنیتی ناقص، در برابر نفوذ این گروه آسیب‌پذیر باقی مانده‌اند.

استراتژی عملیاتی این گروه بسیار دقیق و چندمرحله‌ای است؛ آن‌ها پس از نفوذ اولیه از طریق وب‌شل‌ها، کلیدهای امنیتی سیستم را سرقت کرده و با جعل امضای دیجیتال، کدهای مخرب خود را در محیط شیرپوینت اجرا می‌کنند. یکی از ویژگی‌های نگران‌کننده در حملات اخیر، استفاده از تکنیک «BYOVD» است که در آن مهاجمان با بهره‌گیری از درایورهای قانونی اما آسیب‌پذیر، ابزارهای امنیتی و آنتی‌ویروس‌های نصب‌شده روی سیستم قربانی را از کار می‌اندازند. علاوه بر این، آن‌ها با استفاده از قابلیت‌های داخلی نرم‌افزارهایی مانند ویژوال استودیو کد برای ایجاد تونل‌های ارتباطی، سعی می‌کنند فعالیت‌های خود را از دید تیم‌های امنیتی پنهان نگه دارند.

اهمیت این حملات در مقیاس و سرعت عمل مهاجمان نهفته است؛ به‌طوری که آن‌ها توانسته‌اند در بازه‌های زمانی بسیار کوتاه، بدافزارهای خود را از طریق اشتراک‌گذاری‌های شبکه داخلی به ده‌ها سیستم مختلف منتقل کنند. استفاده از سرویس‌های ابری معتبر برای دانلود فایل‌های مخرب و بهره‌گیری از ابزارهای «زندگی از طریق زمین» (LotL) برای شناسایی شبکه، نشان‌دهنده سطح بالای تخصص و آمادگی این گروه برای دور زدن سیستم‌های دفاعی مدرن است. این وضعیت زنگ خطری جدی برای سازمان‌هایی است که هنوز از نسخه‌های قدیمی یا وصله‌نشده شیرپوینت استفاده می‌کنند و نشان می‌دهد که مهاجمان چگونه از شکاف‌های امنیتیِ شناخته‌شده برای ضربه زدن به زیرساخت‌های کلیدی بهره‌برداری می‌کنند.

منبع: The Hacker News — مطلب اصلی را اینجا بخوانید