تیم تحقیقاتی GReAT کسپرسکی یک روش جدید و ساده از افزایش امتیاز را شناسایی کرده که در آن، مهاجمان بدون نیاز به طراحی بدافزار پیچیده، از قابلیت بومی BitLocker ویندوز برای رمزنگاری سیستم‌های سازمان استفاده می‌کنند و سپس درخواست مبلغی نسبتاً کم (حدود $3,000) می‌کنند. این روش، که به گروه مهاجم با نام XEntry Team شناخته می‌شود، نشان می‌دهد که برای حمله موفق، لزومی نیست بدافزار پیچیده توسعه داد — فقط کافیست از تنظیمات غلط سازمانی سوءاستفاده کرد.
روند حمله: از دسترسی اولیه تا رمزنگاری کل سازمان
مهاجمان از دو راه اصلی برای نفوذ اولیه استفاده می‌کنند: سرویس‌های RDP در معرض اینترنت با رمز عبور ضعیف، و سرورهای Microsoft SQL Server با قابلیت xp_cmdshell فعال، که امکان اجرای دستور را فراهم می‌کند. در برخی موارد، مهاجمان حتی از اطلاعات کاربری هاردکد‌شده که روی GitHub لیک شده بود نیز بهره برده‌اند. پس از دسترسی اولیه، ابزارهای مدیریت از راه دور (RMM) مانند ManageEngine Endpoint Central، Mesh Agent و Tactical RMM را نصب می‌کنند و وب‌شل‌هایی در مسیرهای قابل‌دسترس می‌گذارند.
مرحله رمزنگاری: سوءاستفاده از GPO و BitLocker
برخلاف باج‌افزارهای مرسوم که بدافزار مخصوص خود را تزریق می‌کنند، مهاجمان اینجا از ویژگی بومی ویندوز به نام BitLocker سوءاستفاده می‌کنند. آن‌ها با اجرای Group Policy Objects (GPO) در سطح دامنی، BitLocker را روی تمام سیستم‌های متصل فعال کرده و کلید‌های بازیابی منحصربه‌فرد را فقط برای خود نگه می‌دارند. ابتدا داده‌های حیاتی و سپس کل سازمان را رمزنگاری می‌کنند و پیام آبی آبی رنگ با متن “Hacked by XEntry Team” روی صفحه نمایش می‌دهند — و حتی یادداشت را از طریق پرینترهای متصل به شبکه چاپ می‌کنند.
نشانه‌های هشدار و IOCها
- استقرار ابزارهای RMM غیرمنتظره: نصب ناگهانی چند ابزار مدیریت از راه دور در بازه زمانی کوتاه.
- فعال بودن xp_cmdshell در MSSQL: قابلیتی که به‌طور پیش‌فرض غیرفعال است و باید غیرفعال بماند.
- وب‌شل‌های مشکوک: وجود فایل‌های غیرمنتظره در مسیرهای قابل‌دسترس وب‌سرور.
- اجرای GPO غیرمنتظره: تغییرات ناگهانی در سیاست‌های گروهی مرتبط با رمزنگاری.
- امضای شناسایی: Trojan.Multi.Agent.gen, Trojan.Win32.GenAutorunMsSqlServerCommandRun.a, Exploit.Win32.SCShell.a
چرا این تهدید برای سازمان‌های ایرانی مهم است؟
بسیاری از سازمان‌های ایرانی برای دسترسی از راه، سرویس‌های RDP را مستقیم روی اینترنت باز می‌گذارند، بدون اینکه توجهی به ریسک‌های آن داشته باشند. جالب اینجاست که این حمله نیازی به بدافزار پیچیده ندارد و فقط از ابزارهای خود ویندوز و تنظیمات غلط استفاده می‌کند — یعنی حتی سازمان‌هایی که آنتی‌ویروس دارند ولی پیکربندی امنیتی را رعایت نکرده‌اند، می‌توانند قربانی این حمله باشند. طبق گزارش کسپرسکی، بیش از ۱۳٪ حوادث مرتبط با نقض سیاست‌ها و خطاهای پیکربندی است.
توصیه‌های عملی برای سازمان‌ها
- محدود کردن RDP: غیرفعال‌سازی یا محدودکردن دسترسی RDP به شبکه خصوصی/VPN.
- غیرفعال‌سازی xp_cmdshell: بررسی و غیرفعال‌سازی قابلیت‌های غیرضروری در SQL Server.
- مدیریت امن رمزها: عدم هاردکد‌کردن اطلاعات حساس در کد منبع، استفاده از مدیریت امن رمزها.
- کنترل ابزارهای RMM: محدود کردن نصب و اجرای ابزارهای مدیریت از راه دور فقط برای موارد مجاز.
- پشتیبان‌گیری آفلاین: پشتیبان‌گیری غیرقابل‌تغییر و آفلاین برای حذف نیاز به مذاکره با مهاجمان.
- استفاده از EDR/XDR: راهکارهای EDR قادر به شناسایی استقرار غیرمنتظره ابزارهای RMM و تغییرات مشکوک GPO هستند.
جمع‌بندی
این کمپین نشان می‌دهد که مهاجمان دیگر نیازی به توسعه بدافزار پیچیده ندارند — ابزارهای قانونی موجود در ویندوز مانند BitLocker، اگر بدون مدیریت امن دسترسی بمانند، خود می‌توانند به ابزار اخاذ تبدیل شوند. دفاع مؤثر نیازمند کنترل دسترسی، کنترل ابزارهای مدیریتی، و پشتیبان‌گیری منظم است، نه صرفاً آنتی‌ویروس. جزئیات کامل فنی این گزارش در مقاله اصلی کسپرسکی روی Securelist در دسترس است.
مشاوره امنیتی رایگان با کارشناسان فدک رایان
اگر سازمان شما هم سرویس‌های RDP یا پایگاه‌های داده در معرض اینترنت دارد و می‌خواهید مطمئن شوید در برابر این نوع حملات ایمن هستید، کارشناسان فدک رایان با راهکارهای EDR و XDR کسپرسکی آماده پاسخگویی به سؤالات شما هستند. برای دریافت مشاوره تخصصی یا بررسی وضعیت امنیتی سازمان، همین امروز از طریق صفحه تماس با ما با ما در ارتباط باشید؛ کارشناسان ما در اسرع وقت پاسخگوی سؤالات شما خواهند بود.