بکارگیری یک بدافزار جدید علیه دانشگاهی در تایوان

به گزارش کارگروه امنیت خبرگزاری سایبربان، طبق گفته محققان شرکت امنیت سایبری "سیمانتک"، برای آلوده کردن قربانیان، احتمالاً عاملان بدافزار از یک آسیب‌پذیری جدید در PHP که اخیراً اصلاح شده و با کد CVE-2024-4577 شناخته می‌شود، بهره‌برداری کرده‌اند.

این آسیب‌پذیری بیشتر بر روی نصب‌های ویندوز که از زبان‌های چینی و ژاپنی استفاده می‌کنند تأثیر می‌گذارد.

سیمانتک بیان کرد که بهره‌برداری موفق از این آسیب‌پذیری می‌تواند منجر به اجرای کد از راه دور شود.

محققان در هفته‌های اخیر مشاهده کرده‌اند که چندین عامل تهدید در حال اسکن سیستم‌های آسیب‌پذیر هستند.

آن‌ها افزودند:

تا به امروز هیچ مدرکی که بتوانیم این تهدید را به گروهی خاص نسبت دهیم نیافته‌ایم و انگیزه پشت این حمله همچنان ناشناخته است.

ویژگی خاص این بدافزار که آن را امسوپج (Msupedge) نامیده‌اند، این است که از یک تکنیک به نام تونل‌سازی سیستم نام دامنه (DNS) برای برقراری ارتباط با سرور تحت کنترل هکر استفاده می‌کند.

در مقایسه با روش‌های آشکارتر مانند تونل‌سازی HTTP یا HTTPS، این تکنیک ممکن است سخت‌تر شناسایی شود، زیرا ترافیک DNS به طور کلی بی‌خطر تلقی می‌شود و اغلب توسط ابزارهای امنیتی نادیده گرفته می‌شود.

اوایل ژوئن، محققان یک کمپین حمله از سوی هکرهای احتمالی تحت حمایت دولت چین با نام ردجولیت (RedJuliett) را کشف کردند که سازمان‌های متعددی در تایوان، از جمله دانشگاه‌ها، سازمان‌های دولتی، تولیدکنندگان الکترونیک و سازمان‌های مذهبی را هدف قرار داده بودند.

محققان اظهار کردند که مانند بسیاری از گروه‌های تهدید چینی، این گروه نیز احتمالاً آسیب‌پذیری‌های موجود در دستگاه‌های متصل به اینترنت مانند فایروال‌ها و وی پی ان‌های (VPN) سازمانی را برای دسترسی اولیه هدف قرار داده است، زیرا این دستگاه‌ها معمولاً قابلیت دید محدود و راهکارهای امنیتی ضعیف‌تری دارند.

در ماه اوت، یکی از مؤسسات تحقیقاتی وابسته به دولت تایوان که روی فناوری‌های حساس کار می‌کرد، توسط یکی از معروف‌ترین گروه‌های هکری چین، ای پی تی ۴۱ (APT41)، مورد حمله قرار گرفت.

هکرها بدافزار شدو پد (ShadowPad) را مستقر کرده و چندین ابزار اضافی به زبان چینی ساده‌شده نوشته شده بود.