چیزی که این کمپین را منحصربه‌فرد می‌کند، روشی است که Geppei از گزارش‌های خدمات اطلاعات اینترنتی (IIS) برای شناسایی نشدن سوء استفاده می‌کند، چیزی که محققان می‌گویند قبلاً در حملات مورد استفاده قرار نگرفته‌اند.
O Gorman توصیه می‌کند: «سازمان‌ها باید یک استراتژی دفاعی عمیق را اتخاذ کنند و از فناوری‌های متعدد شناسایی، حفاظت و سخت‌سازی برای کاهش خطر در هر نقطه از زنجیره حمله احتمالی استفاده کنند.»
گزارش‌های IIS بخشی از خدمات سرور ویندوز را تشکیل می‌دهند و معمولاً برای عیب‌یابی برنامه‌های کاربردی وب، همراه با ارائه اطلاعاتی درباره نحوه تعامل کاربران با وب‌سایت‌ها و برنامه‌ها استفاده می‌شوند.
تکنیک‌هایی که سازمان‌ها می‌توانند برای کمک به جلوگیری یا شناسایی حملات استفاده کنند شامل استفاده از احراز هویت دو مرحله‌ای در حساب‌ها، اتخاذ تقسیم‌بندی شبکه و اجتناب از استفاده از رمزهای عبور پیش‌فرض است.
اطلاعات بیشتر در مورد امنیت سایبری
منبع: https://www.zdnet.com/article/this-stealthy-hacking-campaign-uses-a-new-trick-to-deliver-its-malware/#ftag=RSSbaffb68
کمپین بوده است جزئیات توسط محققان امنیت سایبری در Symantec، که می گویند مهاجمان می توانند بیش از 18 ماه را در شبکه های قربانیان سپری کنند و همه اینها در حالی است که اقداماتی را انجام می دهند تا اطمینان حاصل شود که فعالیت آنها زیر رادار باقی می ماند تا از شناسایی در آنچه تصور می شود یک عملیات جمع آوری اطلاعات و جاسوسی است جلوگیری شود.
این حملات به گروهی مرتبط هستند که سیمانتک آن را کرنفلای می نامد – همچنین به عنوان UNC3524 شناخته می شود. محققان پیشنهاد می‌کنند که روش‌های بدیع و بسیار پنهانی مورد استفاده در این کمپین نشان می‌دهد که این کار یک «بازیگر تهدید نسبتاً ماهر» است که با جمع‌آوری اطلاعات انگیزه دارد.
Brigid O Gorman، “استفاده از گزارش‌های IIS توسط مهاجم یکی از جالب‌ترین چیزها در مورد این کمپین است. تکنیک خواندن دستورات از گزارش‌های IIS چیزی نیست که محققان سیمانتک تا به امروز شاهد استفاده از آن در حملات دنیای واقعی بوده‌اند.” تحلیلگر ارشد اطلاعاتی در تیم Symantec Threat Hunter به ZDNET گفت.
همچنین: آینده ترسناک اینترنت: چگونه فناوری فردا تهدیدات امنیتی سایبری بزرگتری را ایجاد خواهد کرد
مهاجمان سعی می‌کنند با نصب درب‌های پشتی روی وسایلی که از ابزارهای امنیتی پشتیبانی نمی‌کنند، مانند آرایه‌های SANS، متعادل‌کننده‌های بار و کنترل‌کننده‌های نقطه دسترسی بی‌سیم، زیر رادار بمانند.
“توسعه بدافزارهای سفارشی و ابزارهای جدید نیاز به سطح خاصی از مهارت ها و منابع دارد که همه عوامل تهدید از آن برخوردار نیستند، بنابراین به این معنی است که کسانی که پشت کرانفلای هستند سطح خاصی از مهارت ها را دارند که آنها را قادر می سازد حملات سایبری مخفیانه و خلاقانه انجام دهند.” گفت ای گورمن.
سیمانتک این حملات را به مهاجم خاصی مرتبط نکرده است. اما محققان در Mandiant قبلاً خاطرنشان کردند که روش‌های مورد استفاده در کمپین‌های Cranefly/UNC3524 “با تکنیک‌های مورد استفاده توسط چندین بازیگر تهدید جاسوسی مستقر در روسیه همپوشانی دارند”.
نحوه شروع حمله هنوز نامشخص است، اما قربانیان به یک بدافزار که قبلاً مستند نشده بود به نام Geppei آلوده می‌شوند که برای ارائه شکل دیگری از بدافزار در پشتی به نام Danfuan استفاده می‌شود که دسترسی مخفیانه به ماشین‌های در معرض خطر را همراه با توانایی فراهم می‌کند. برای ردیابی داده های ذخیره شده یا وارد شده در سیستم ها.