ادعای بی اساس چک پوینت؛ استفاده هکرهای ایرانی از در پشتی پاورشل جدید در حملات Log4j

به گزارش کارگروه امنیت سایبربان؛ شرکت صهیونیستی چک پوینت مدعی شد هکرهای گروه ایرانی APT35 (چارمینگ کیتِن یا Phosphorus) با بهره گیری از حملات Log4Shell اقدام به رها سازی یک در پشتی پاورشِل جدید کرده اند. 

این پی لود چند بخشی می تواند ارتباطات کنترل و فرمان را مدیریت، نام های کاربری، نام سیستم ها، منابع شبکه، Share ها و سرویس ها از یک سیستم را استخراج و در نهایت ماژول های اضافی را دریافت، رمزگشایی و بارگذاری کند. 

Log4Shell یک آسیب پذیری جدی اجرای راه دور کد در کتابخانه جاوا log4j آپاچی است که در ماه دسامبر افشا شد.

طبق ادعای محققین چک پوینت، APT35 جزو اولین بازیگران مخربی بود که پیش از اعمال آپدیت امنیتی از سوی هدف، این آسیب پذیری را مورد سوء استفاده قرار داد.

چک پوینت که این تلاش ها را زیر نظر داشت، این بهره برداری را گروه APT35 ارتباط داد چون حملات این گروه با استفاده از زیرساخت های پیشن و افشا شده این گروه صورت پذیرفته است. (به دلیل عجله آن ها)

تحلیلگران این شرکت در بخشی از تحقیقات خود مورد جدیدی به نام CharmPower (چارم پاور) را به شکل یک در پشتی چند بخشی پاورشل شناسایی کردند. 

بهره برداری از آسیب پذیری CVE-2021-44228 به اجرای یک فرمان پاورشل با پی لود کد گذاری شده base64 و انتقال ماژول چارم پاور از ذخیره ساز ابری S3 bucket ختم خواهد شد. (این ذخیره ساز ابری توسط مهاجمین کنترل می شود)

این ماژول اصلی می توانید کارهای زیر را اجرا کند:

• تایید اعتبار اتصال شبکه
• استخراج و جمع آوری نام های کاربری، نام سیستم ها، منابع شبکه، Share ها و سرویس ها
• بازیابی دامین کنترل و فرمان 
• دریافت، رمزگشایی و اجرای ماژول های بعدی

این ماژول مرکزی و اصلی به ارسال درخواست های HTTP POST به سرور کنترل و فرمان ادامه می دهد. این کار می تواند دانلود پاورشل یا ماژول C# اضافی را آغاز کند. 

چارم پاور مسئول رمزگشایی و بارگذاری این ماژول ها می باشند. این کار می تواند کانال ارتباطی مستقلی را با سرور کنترل و فرمان ایجاد کند. 

لیست ماژول های ارسالی به نقاط انتهایی آلوده به صورت خودکار مبتنی بر داده های اولیه بازیابی شده توسط چارم پاور تولید می شود. ( در مرحله شناسایی)

لیست ماژول های اضافی ارسال شده توسط سرور کنترل و فرمان:

• اپلیکیشن ها: استفاده از فرمان wmic برای شناسایی اپلیکیشن های نصب شده بر روی سیستم آلوده
• اسکرین شات: تهیه اسکرین شات و آپلود آن ها بر روی سرور FTP با استفاده از داده های احراز هویت کد گذاری شده
• فرآیند: کنترل فرآیندهای با استفاده از فرمان تسک لیست
• اطلاعات سیستم: اجرای دستور "systeminfo" برای جمع آوری اطلاعات سیستم
• اجرای فرمان: مژول اجرای راه دور کد
• پاکسازی: از بین بردن تمامی رد پاهای باقی مانده در سیستم در معرض خطر 

چک پوینت شباهت های میان چارم پاور و جاسوس افزار اندرویدی مورد استفاده APT35 در گذشته را مورد توجه قرار داد. از جمله این شباهت ها می توان به عملکردهای مشابه لاگینگ و فرمت اشاره کرد. 

همین شباهت ها باعث شد تا چک پوینت طی یک ادعای بی اساس، این کمپین را به APT35 ارتباط دهد. 

بر اساس ادعای چک پوینت، CharmPower نمونه ای از پاسخ سریع بازیگران مخرب پیچیده به پیدایش آسیب پذیری هایی مانند CVE-2021-44228 و کنار هم قرار دادن کد ابزارهای افشا شده پیشین برای ساخت موارد موثر در عبور از لایه های امنیتی است.