آسیب‌پذیری در آنتی‌ویروس ایست، ابزار نفوذ هکرهای دولتی

به گزارش کارگروه امنیت خبرگزاری سایبربان، این آسیب‌پذیری با شناسه CVE-2024-11859 ثبت شده و به مهاجمان اجازه می‌دهد تا یک فایل DLL مخرب را در سیستم کاشته و از طریق اسکنر آنتی‌ویروس ایست (ESET) آن را اجرا کنند.

به گزارش شرکت امنیت سایبری روسی کسپرسکی (Kaspersky)، این کد مخرب در پس‌زمینه اجرا می‌شود، هشدارهای سیستمی را دور می‌زند و بدون شناسایی باقی می‌ماند.

شرکت ایست که مقر آن در اسلواکی است، هفته گذشته در یک اطلاعیه این نقص را تأیید و یک به‌روزرسانی برای رفع آن منتشر کرد.

این آسیب‌پذیری در دسته‌ی متوسط ارزیابی شده و امتیاز CVSS آن ۶.۸ از ۱۰ اعلام شده است.

ایست از کاربران خواست تا سیستم‌های خود را به‌روزرسانی کنند تا از خطر بهره‌برداری جلوگیری شود.

هنوز مشخص نیست که آیا کاربران خاصی قربانی این حملات شده‌اند یا هدف اصلی چه کسانی بوده‌اند.

ایست در بیانیه‌ای اعلام کرد که تاکنون شواهدی مبنی بر سوءاستفاده از این آسیب‌پذیری در فضای واقعی مشاهده نکرده است.

کسپرسکی این کمپین را به گروه هکری موسوم به تادی کت (ToddyCat) نسبت داده است؛ گروهی که از دست‌کم سال ۲۰۲۰ فعال بوده و به هدف قرار دادن سازمان‌های دولتی و نظامی برای سرقت اطلاعات حساس شهرت دارد.

با این حال، ایست اظهار داشت:

ما دو فایل DLL مخربی را که در این گزارش به آن‌ها اشاره شده در اختیار نداریم، بنابراین نمی‌توانیم نسبت دادن آن به گروه تادی کت را تأیید کنیم.

در جریان این کمپین، هکرها ابزاری جدید با نام TCDSB را بر روی دستگاه‌های قربانی بارگذاری کردند و آن را به شکل یک DLL قانونی که نوعی فایل رایج در سیستم‌عامل ویندوز است، جا زدند.

این ابزار طوری طراحی شده که بتواند محموله‌های مخرب را به صورت پنهانی اجرا کند و از شناسایی توسط سرویس‌های امنیتی و نظارتی بگریزد.

به گفته محققان، TCDSB بر پایه ابزاری قدیمی‌تر به نام EDRSandBlast ساخته شده که مجرمان سایبری از آن برای دور زدن محافظت‌های امنیتی استفاده می‌کنند.

احتمالاً هکرها کد اصلی را اصلاح کرده‌اند تا قابلیت‌های بیشتری به بدافزار اضافه کنند؛ از جمله توانایی تغییر اجزای کلیدی سیستم‌عامل و غیرفعال‌سازی هشدارهایی که معمولاً کاربر را از ایجاد فرآیند جدید یا بارگذاری یک فایل مطلع می‌کند.

کسپرسکی اعلام کرد که TCDSB روی چندین دستگاه یافت شده، اما جزئیات بیشتری ارائه نداد.

محققان روس تاکنون گروه تادی کت را به هیچ دولت خاصی نسبت نداده‌اند، اما گزارش‌های پیشین نشان می‌دهد این گروه نهادهای مهمی را در اروپا و آسیا، از جمله زیرساخت‌های دیجیتال در تایوان و ویتنام هدف قرار داده‌اند.

برخی تحقیقات دیگر نیز تادی کت را به «فعالیت‌های جاسوسی چینی» مرتبط دانسته‌اند.

ایست تأکید کرد:

این تکنیک سطح دسترسی را ارتقاء نمی‌دهد؛ یعنی مهاجم از قبل باید دارای دسترسی مدیر (administrator) برای انجام این حمله باشد.

در یک کمپین پیشین که کسپرسکی آن را توصیف کرده، گروه تادی کت خدمات دولتی در منطقه آسیا-اقیانوسیه را برای سرقت حجم زیادی از داده‌ها هدف گرفته بود.

پس از نفوذ به شبکه قربانی، این گروه از روش‌های مختلف تونل‌زنی استفاده می‌کرد، از جمله نفوذ به نرم‌افزارهای وی پی ان (VPN) و ارائه‌دهندگان فضای ابری قانونی.

کسپرسکی عنوان کرد که تادی کت با استفاده از این روش‌های متنوع تونل‌زنی، تلاش می‌کرد تا در صورت شکست یک مسیر انتقال داده، مسیرهای دیگر همچنان قابل استفاده باشند.