به گزارش کارگروه حملات سایبری سایبربان؛ یک گروه هکری جدید و قدرتمند، نهادهای خصوصی و عمومی شناخته شده آمریکا را از طریق بهره برداری سرورهای سرویس اطلاعات اینترنت مایکروسافت مورد هدف قرار می دهد و به شبکه آن ها نفوذ می کند.
شرکت امنیت سایبری اسرائیلی Sygnia شرکتی است که این کمپین را شناسایی کرده و فعالیت های آن ها را تحت نظر دارد. Sygnia نام این گروه را " آخوندک" یا TG2021 گذاشته است.
طبق ادعای این شرکت صهیونیستی، TG2021 از چارچوب بدافزاری سفارشی بهره مند می باشد که به صورت اختصاصی برای استفاده در سرورهای IIS ساخته شده است. این بدافزار بر روی حافظه دستگاه بارگذاری می شود و هیچ ردی از خود را در اهداف آلوده باقی نمی گذارد.
این گروه هکری با افزایش سطح دسترسی به آسیب پذیری توپخانه وب اپلیکیشن ASP.NET مجوز ورود اولیه را به دست می آورد و با اجرای ایمپلنتی به نام NodeIISWeb، در پشتی را در سرور ایجاد می کند.
آسیب پذیری هایی که این گروه از آن بهره برداری می کنند عبارتند از:
- CVE-2021-27852
- CVE-2019-18935 and CVE-2017-11317
- آسیب پذیری VIEWSTATE Deserialization
- آسیب پذیری Altserialization Insecure Deserialization
Sygnia بر این باور است که تاکتیک ها، روش ها و پروسه های مورد استفاده این گروه شباهت زیادی با گروه Copy-Paste Compromises دارد.
