تیم تحقیقاتی GReAT کسپرسکی گروه Head Mare را از دسته‌بندی هکتیویست‌ها به یک گروه APT بازطبقه‌بندی کرده است، پس از اینکه کشف شد این گروه از دو آسیب‌پذیری ناشناخته در سرور کنفرانس تصویری TrueConf برای نفوذ به زیرساخت سازمان‌ها استفاده کرده است. این حمله نشان می‌دهد نرم‌افزارهای ارتباطات ویدئویی که کمتر مورد بررسی امنیتی قرار می‌گیرند، می‌توانند مسیری جدی برای نفوذ مهاجمان باشند.
روش نفوذ: از آسیب‌پذیری تا نصب وب‌شل
مهاجمان از دو آسیب‌پذیری ناشناخته در نسخه‌های ۵.۳.x تا ۵.۵.۵ سرور TrueConf بر روی پورت ۴۳۰۷/TCP استفاده کرده‌اند: یک آسیب‌پذیری اجرای اسکریپت دلخواه روی سرور را ممکن می‌کند و دیگری امکان فرار از محیط اجرای ایزوله را فراهم می‌کند. پس از رسیدن به سطح دسترسی سیستم (NT AUTHORITYSYSTEM)، مهاجمان فایل locale.php را با یک وب‌شل جایگزین می‌کنند و سپس نصب‌کننده‌های قانونی کلاینت را با نسخه‌های آلوده به بدافزار جایگزین می‌کنند.
بدافزارهای PhantomCore و PhantomGraph
PhantomCore یک بکدر پایدار است که از طریق نصب‌کننده‌های دستکاری‌شده کلاینت TrueConf مستقر می‌شود. PhantomGraph شامل دو ماژول است: SysExcSvc.dll برای دریافت دستور و SysReadSvc.dll برای اجرا — که ارتباطات خود را از طریق مایکروسافت OneDrive (به‌عنوان کانال C2) برقرار می‌کنند — روشی که شناسایی را برای ابزارهای امنیتی سنتی مشکل‌تر می‌کند.
نشانه‌های هشدار و IOCها
- دامنه‌های مشکوک C2: penzadogshelter.site، trendy-market.site، bright-deals.site و موارد مشابه.
- سرویس‌های مشکوک: SysExcSvc و SysReadSvc.
- تغییر رجیستری: وجود کلید CLSID غیرمعمول در مسیر InprocServer32.
- نصب‌کننده‌های جعلی TrueConf: جایگزین فایل‌های نصب اصلی با نسخه‌های آلوده.
چرا این تهدید برای سازمان‌های ایرانی مهم است؟
اگرچه این حمله مشخصاً سازمان‌های روسی را هدف قرار داده، اما درس مهم این است که هر سازمانی که از نرم‌افزارهای کنفرانس تصویری کاربردی استفاده می‌کند باید به روزرسانی و امنیت زیرساخت این نرم‌افزارها به اندازه سرورهای مالی و ایمیل توجه کند، چرا که هر نرم‌افزاری می‌تواند هدف آسیب‌پذیری‌های مشابه باشد.
توصیه‌های عملی برای سازمان‌ها
- به‌روزرسانی فوری TrueConf Server: ارتقاء فوری به نسخه‌های ۵.۳.۹، ۵.۴.۹ یا ۵.۵.۵.
- بررسی امضای نصب‌کننده: اطمینان از امضای دیجیتال معتبر پیش از نصب.
- پایش فایل‌های اجرایی غیرمجاز: کنترل تغییرات رجیستری مشکوک.
- راهکار پچ‌مدیریت: استفاده از راهکارهای مدیریت آسیب‌پذیری و پچ رسمی توسط کسپرسکی برای رفع سریع نرم‌افزارها.
جمع‌بندی
این حمله یادآور مهمی است که هرگونه نرم‌افزاری که در سطح سروری نصب می‌شود و به‌روزرسانی نمی‌شود، می‌تواند دروازه‌ای برای نفوذ به کل زیرساخت باشد. دفاع مؤثر نیازمند مدیریت منظم وصله‌های پچ از راه دور و به‌روزرسانی منظم نرم‌افزارهاست. جزئیات کامل فنی این گزارش در مقاله اصلی کسپرسکی روی Securelist در دسترس است.
مشاوره امنیتی رایگان با کارشناسان فدک رایان
اگر سازمان شما از نرم‌افزارهای کنفرانس تصویری یا هر سرویس تحت وب دیگری استفاده می‌کند و می‌خواهید مطمئن شوید در برابر این دست حملات ایمن هستید، کارشناسان فدک رایان با راهکارهای امنیتی ویژه و EDR و XDR کسپرسکی آماده پاسخگویی به سؤالات شما هستند. برای دریافت مشاوره تخصصی یا بررسی وضعیت امنیتی سازمان، همین امروز از طریق صفحه تماس با ما با ما در ارتباط باشید؛ کارشناسان ما در اسرع وقت پاسخگوی سؤالات شما خواهند بود.