به گزارش کارگروه امنیت سایبربان؛ تحلیلگران تهدید موفق به شناسایی موج جدیدی از حملات شده اند که بیکن های کوبالت استرایک را بر روی سرورهای آسیب پذیر SQL (اس کیو ال) مایکروسافت نصب می کند که موجب نفوذ عمیق تر و آلودگی های بدافزاری خواهد شد.
اس کیو ال سرور مایکروسافت یک سیستم مدیریت پایگاه داده معروف می باشد که برای ذخیره سازی و مدیریت اطلاعات در نظر گرفته شده است.
طبق گزارش Ahn Labs، بسیاری از این استفاده ها به اندازه کافی ایمن نیستند و به علت دارا بودن پسوردهای ضعیف، در معرض خطر هستند. ظاهرا یک بازیگر مخرب در حال بهره برداری از این موضوع است.
این حملات با اسکن برای شناسایی سرورهایی با پورت 1433 تی سی پی باز آغاز می شود. ( احتمالا همان سرورهای اس کیو ال عمومی) مهاجم سپس با انجام حملات بروت فورس و دیکشنری سعی بر کرک کردن پسوردها خواهد کرد.
در صورتی که مهاجمین به حساب ادمین دسترسی پیدا کنند و به سرور وارد شوند، اقدام به رها سازی استخراج کننده هایی مانند لمون داک، کینگ ماینر و وُلگار خواهند کرد. مهاجمین همچنین با ایجاد در پشتی در سرور به وسیله کوبالت استرایک، در سیستم باقی می مانند و حرکات جانبی انجام خواهند داد.
کوبالت استرایک از طریق فرآیند فرمان شل بر روی اس کیو ال های نا ایمن دانلود خواهند شد و سپس با هدف شناسایی نشدن، در MSBuild.exe تزریق و اجرا می شوند.
پس از اجرا، یک بیکن در فرآیند wwanmm.dll ویندوز تزریق خواهد شد و سپس به انتظار فرمان مهاجم خواهد نشست. این بیکن پس از دریافت فرمان، به اجرای فعالیت های مخرب خواهد پرداخت.
بازیگران مخرب زیادی به دلیل قابلیت های بالا از کوبالت استرایک استفاده می کنند. از جمله این قابلیت ها می توان به موارد زیر اشاره کرد:
- اجرای فرمان
- کی لاگینگ
- عملیات های فایل
- پراکسی SOCKS
- افزایش سطح دسترسی به امتیازات
- سرقت داده های احراز هویت
- اسکن پورت
