هشدار مایکروسافت درمورد حملات باج‌افزاری در محیط‌های ابری

به گزارش کارگروه امنیت سایبربان؛ مایکروسافت هشداری در مورد حملات باج‌افزاری پیچیده در محیط‌های ابری هیبریدی در 3 ماهه اول سال 2025، صادر کرد.

این حملات از آسیب‌پذیری‌ها در تقاطع زیرساخت‌های داخلی و سرویس‌های ابری سوء استفاده می‌کنند و سازمان‌ها را با پیکربندی‌های ترکیبی به چالش می‌کشند.

در یک تغییر مهم، عامل دولتی کره شمالی موسوم به «Moonstone Sleet» باج‌افزار کیلین (Qilin) را در حملات هدفمند مستقر کرد.

این اولین عملیات آنها به عنوان یک باج‌افزار به عنوان سرویس به جای استفاده از بدافزار سفارشی است که تکامل تاکتیکی برای افزایش کارایی و در عین حال منع قابل قبول را نشان می‌دهد.

محققان اطلاعات تهدید مایکروسافت عامل تهدید «Storm-0501» را شناسایی کردند که از قابلیت‌های پیشرفته برای حرکت جانبی از سیستم‌های داخلی به زیرساخت‌های ابری استفاده می‌کند.

تجزیه و تحلیل آنها تکنیک‌های هدف قرار دادن دستگاه‌های مدیریت نشده و سوءاستفاده از حساب‌های ترکیبی ناامن برای دسترسی به منابع مهم، حذف نسخه پشتیبان و استقرار باج‌افزار را کشف کرد.

افشای چت‌های گروهی باج‌افزار «Black Basta» در ماه فوریه گذشته، روش‌های فنی آن‌ها از جمله بهره‌برداری از آسیب‌پذیری‌های سیتریکس (Citrix)، جنکینز (Jenkins) و وی‌پی‌ان را فاش کرد.

سایر گروه‌های فعال شامل «Lace Tempest» و «Storm-1175» بودند که گروه دوم از آسیب‌پذیری‌های جدید «SimpleHelp» مدت کوتاهی پس از افشای اطلاعات بهره‌برداری کردند.

محققان معتقدند که مهندسی اجتماعی همچنان رایج است و عوامل تهدید قبل از استفاده از ابزارهای دسترسی از راه دور، از طریق تماس‌های جعلی پشتیبانی فناوری اطلاعات، تماس را آغاز می‌کنند. گروه هکری «Storm-1674» با استفاده از تماس‌های جعلی فناوری اطلاعات از طریق تیم‌های مایکروسافت مشاهده شد که منجر به استفاده از «Quick Assist» و پاورشِل (PowerShell) شد.

تکنیک‌های بهره‌برداری از ابرهای ترکیبی

روش سازش ابری «Storm-0501» با حرکت جانبی از سیستم‌های داخلی در معرض خطر از طریق پیکربندی‌های هویت ترکیبی ناامن آغاز می‌شود.

مهاجمان پس از به دست آوردن دسترسی اولیه، حساب‌هایی را با مجوزهای بیش از حد در محیط‌ها هدف قرار می‌دهند. این رویکرد به آنها اجازه می‌دهد تا به طور یکپارچه بین زیرساخت‌های سنتی و منابع ابری حرکت کنند.

زنجیره حمله معمولاً شامل درخواست‌های HTTP خاصی است که فایل‌های پیکربندی را هدف قرار می‌دهند؛

این تکنیک پیمایش مسیر، نشانه‌های احراز هویت و تنظیمات فدراسیون را نشان و به مهاجمان اجازه می‌دهد تا با استفاده از روابط اعتماد بین سیستم‌های هویت، احراز هویت چندعاملی را دور بزنند.

مایکروسافت اجرای بهداشت سایبری، به کارگیری اصول حداقل امتیاز و اتخاذ معماری اعتمادصفر (Zero Trust) را برای محافظت از محیط‌های ترکیبی توصیه کرد.

به گفته کارشناسان، سازمان‌ها باید الگوهای احراز هویت غیرمعمول را که ممکن است نشان‌دهنده به خطر افتادن سیستم‌های هویت ترکیبی باشد، به دقت بررسی کنند.