سرعت بالای مهاجمان در سوءاستفاده از اعتبارنامه‌های سرقتی و ابزارهای قانونی

An average of 8 minutes is all hackers need to log in with stolen credentials

گزارش جدید Elastic Security نشان می‌دهد که مهاجمان پس از آلوده‌سازی سیستم‌ها، به‌طور میانگین تنها در ۸ دقیقه از اعتبارنامه‌های سرقتی برای ورود به حساب‌ها استفاده می‌کنند. این حملات با بهره‌گیری از ابزارهای قانونی، هوش مصنوعی و تکنیک‌های فریبنده انجام می‌شود.

سوءاستفاده از ابزارهای هوش مصنوعی و نرم‌افزارهای قانونی

مهاجمان با استفاده از دستیارهای کدنویسی مانند Claude Code و Cursor که قابلیت اجرای دستورات سیستمی را دارند، به فایل‌ها و اعتبارنامه‌ها دسترسی پیدا می‌کنند. در یک مورد در ویندوز، مهاجم از طریق افزونه Visual Studio Code به Claude Code دسترسی یافت تا ابزارهای مخرب را آماده و با سرورهای خارجی ارتباط برقرار کند. در سیستم‌عامل macOS نیز، اپلیکیشن ChatGPT برای خواندن اسناد داخلی و دسترسی به مخزن رمزهای عبور کاربر مورد سوءاستفاده قرار گرفت.

علاوه بر این، مهاجمان از نرم‌افزارهای مدیریت از راه دور (RMM) مانند ScreenConnect برای حفظ دسترسی استفاده می‌کنند. این ابزارها که توسط تیم‌های IT استفاده می‌شوند، به مهاجم اجازه می‌دهند فایل‌ها را منتقل کرده و دستورات مخرب را به عنوان یک سرویس ویندوزی اجرا کنند.

تکنیک‌های نفوذ و سرقت اطلاعات

صفحات فریبنده ClickFix رایج‌ترین روش ورود اولیه هستند که در ۱۲ مورد مشاهده شده‌اند. در این روش، کاربر ترغیب می‌شود تا یک دستور مخرب را تحت عنوان مراحل تأیید یا عیب‌یابی اجرا کند. همچنین تکنیک DLL sideloading در برخی موارد تنها ۱۶ ثانیه پس از اجرای دستور توسط کاربر، منجر به آلودگی سیستم شده است.

در حملات فیشینگ از نوع Adversary-in-the-middle (AiTM)، مهاجمان با استفاده از کیت‌هایی مانند Tycoon 2FA، نشست‌های احراز هویت شده را سرقت می‌کنند. در برخی موارد، مهاجمان با استفاده از روش‌های قدیمی احراز هویت، از نیاز به عامل دوم (2FA) عبور کرده‌اند.

نکته‌های کلیدی

• میانگین زمان ورود مهاجمان با اعتبارنامه‌های سرقتی تنها ۸ دقیقه است.
• استفاده از ابزارهای قانونی مانند ScreenConnect و ابزارهای هوش مصنوعی برای اجرای دستورات مخرب.
• فریب کاربران از طریق صفحات ClickFix برای اجرای دستی دستورات مخرب.
• سرقت نشست‌های فعال (Session) از طریق حملات فیشینگ AiTM و دور زدن احراز هویت چندعاملی.
• استفاده از DLL sideloading برای اجرای سریع کدهای مخرب در سیستم‌های مورد اعتماد.

چه باید کرد

• پیاده‌سازی تحلیل رفتار کاربر و موجودیت (UEBA) برای شناسایی فعالیت‌های غیرعادی.
• ایجاد دید جامع و همبستگی داده‌ها در سراسر محیط امنیتی شبکه.
• آموزش کاربران برای شناسایی صفحات فریبنده و عدم اجرای دستورات مشکوک تحت عنوان عیب‌یابی.
• نظارت دقیق بر فعالیت ابزارهای قانونی که دسترسی به اینترنت و قابلیت اجرای دستورات سیستمی دارند.