باج‌افزار GodDamn با درایور امضاشدهٔ مایکروسافت
خلاصهٔ کامل‌تر
سیمانتک گزارش داده که یه گروه باج‌افزاری تازه‌برندشده، با یه درایور مخرب ولی مورد تأیید مایکروسافت، بدافزارش رو وارد سازمان‌های آمریکایی می‌کنه. گروه با اسم Hyadina شناخته میشه؛ یه عملیات باج‌افزار به‌عنوان سرویس چهارساله که حالا قفل‌کنندهٔ جدیدی به اسم GodDamn داره، ادامهٔ قفل‌کننده‌های قبلیش Beast و Monster.
طبق گزارش، این گروه معمولاً سراغ سازمان‌های آمریکایی می‌ره و از کشورهای شوروی سابق دوری می‌کنه. اهدافش هم پراکنده‌ن: درمان، تولید، آموزش و هر جای دیگه‌ای که فرصتی پیدا کنه. تو موردی که بررسی شده، محققان نتونستن بفهمن نفوذ اولیه و مهندسی اجتماعیش دقیقاً چطور انجام شده.
اولین نشانهٔ بد، یه نسخهٔ غیرمنتظره از AnyDesk بوده که ۲۹ مه به شکل غیرعادی تو پوشهٔ Music یکی از کامپیوترهای آلوده لود شده بود. AnyDesk یه نرم‌افزار کاملاً قانونیه، ولی مهاجم‌ها زیاد ازش به‌جای شل‌های سنتی استفاده می‌کنن. یه روز بعد، فایل اجرایی دیگه‌ای روی کامپیوتر دوم افتاده که با گستاخی اسمش رو symantec.exe گذاشته بودن.
همین فایل، درایور کرنل مخربی به اسم PoisonX رو انداخته؛ درایوری که به شکل توضیح‌ناپذیری امضای معتبر Microsoft Hardware Compatibility رو گرفته بود. کاری که می‌کرد ساده و ویرانگره: کشتن پروسه‌های مرتبط با امنیت و برداشتن قلاب‌های API در سطح کاربر، که عملاً ابزارهای امنیتی اندپوینت رو فلج می‌کنه.
قدم بعدی یه جعبه‌ابزار چهارده‌تایی بوده، همه‌شون نرم‌افزار متن‌باز برای انواع سرقت اعتبارنامه تو ویندوز: دزدهای مرورگر و ایمیل و پیام‌رسان، شنودکننده‌های وای‌فای و ترافیک زندهٔ شبکه و چیزهای مشابه. جز Mimikatz، بقیه از NirSoft اومده بودن؛ یه سایت رایگان ابزارهای ویندوزی. گروه در نهایت با ترکیب نرم‌افزار مدیریت از راه دور تجاری، درایور امضاشده، این دزدها و حرکت جانبی با PsExec، تو محیط قربانی جا خوش کرده و بعد باج‌افزار رو اجرا کرده.
بریجید اُ گورمن از سیمانتک می‌گه متأسفانه تقریباً هر ابزاری تو دست اشتباه می‌تونه مخرب باشه، و دقیقاً به همین خاطر محافظت رفتاری و تطبیقی این‌قدر اهمیت داره: چیزی که رفتار مشکوک رو تو شبکه مسدود می‌کنه، حتی اگه از یه ابزار به‌ظاهر قانونی بیاد، نه اینکه فقط فایل‌های آشکارا مخرب رو ببنده.
دربارهٔ خود PoisonX هم ابهام هست: ۷ آوریل روی گیت‌هاب منتشر شده و نویسنده‌ش که با نام مستعار فعالیت می‌کنه اونو «ابزار پژوهشی» توصیف کرده و تو لینکدین خودشو پژوهشگر امنیتی روس معرفی می‌کنه که تخصصش مهندسی معکوس و تست نفوذه. سیمانتک ولی تردیدی نداره و اسمشو بدافزار می‌ذاره؛ به گفتهٔ گورمن این درایور کاربرد قانونی نداره و نباید امضا می‌شده، هرچند معلوم نیست مهاجم‌ها چطور مایکروسافت رو به امضا کردنش راضی کردن.
مایکروسافت برای همین سناریو یه فهرست سیاه درایورهای آسیب‌پذیر نگه می‌داره تا جلوی حمله‌های BYOVD رو بگیره، ولی سازمان‌ها نمی‌تونن فقط به همون تکیه کنن. گورمن هشدار می‌ده بین شناسایی یه درایور و رسیدن به‌روزرسانی فهرست به اندپوینت‌های سازمانی، چند روز تا اغلب چند هفته فاصله‌ست؛ یعنی هر لحظه فقط زیرمجموعه‌ای از درایورهای خطرناک شناخته‌شده مسدودن و مهاجم‌ها اغلب از فهرست جلوترن.
نکات کلیدی:
- Hyadina با قفل‌کنندهٔ جدید GodDamn، ادامهٔ Beast و Monster، به سازمان‌های آمریکایی حمله می‌کنه
- درایور کرنل PoisonX امضای رسمی مایکروسافت داشت و پروسه‌های امنیتی رو می‌کشت
- ۱۴ ابزار متن‌باز سرقت اعتبارنامه، اکثراً از NirSoft، در کنار AnyDesk و PsExec به کار رفت
- فهرست سیاه درایورهای مایکروسافت با تأخیر چندروزه تا چندهفته‌ای به اندپوینت‌ها می‌رسه
- توصیهٔ سیمانتک: تکیه بر محافظت رفتاری و تطبیقی، نه فقط مسدودکردن فایل‌های آشکارا مخرب
