استخراج داده‌ها

استخراج داده‌ها اکنون بخش بزرگی از حملات Ransomware را تشکیل می‌دهد، به‌طوری که تقریباً تمام حملات شامل باج‌گیری دوگانه (double extortion) هستند، جایی که مهاجمان قبل از رمزگذاری داده‌ها، آن‌ها را از شبکه قربانی استخراج می‌کنند تا فشار بیشتری بر قربانیان برای پرداخت تقاضای باج وارد کنند.

بیشتر ابزارهای مورد استفاده برای استخراج داده‌ها، ابزارهای دوگانه (dual-use) هستند—نرم‌افزارهای قانونی که توسط مهاجمان برای اهداف مخرب استفاده می‌شوند. از جمله ابزارهایی که مهاجمان برای استخراج داده‌ها استفاده می‌کنند، می‌توان به نام‌های آشنا مانند PowerShell، پروتکل دسکتاپ از راه دور (RDP)، Cobalt Strike و WinRAR اشاره کرد. یکی دیگر از ابزارهای محبوب، Rclone است، ابزاری منبع باز که به‌طور قانونی برای مدیریت محتوا در ابر استفاده می‌شود اما توسط مهاجمان رنسوم‌ویر برای استخراج داده‌ها از ماشین‌های قربانی سوءاستفاده شده است.

یکی از محبوب‌ترین انواع نرم‌افزارهای قانونی که مهاجمان رنسوم‌ویر از آن استفاده می‌کنند، نرم‌افزارهای دسترسی از راه دور و نرم‌افزارهای نظارت و مدیریت از راه دور (RMM) هستند. مهاجمان می‌توانند از این نرم‌افزارها که بسیاری از آن‌ها کاربردهای قانونی دارند، برای طیف گسترده‌ای از فعالیت‌ها از جمله صدور دستورات و رها کردن بارهای مخرب استفاده کنند، اما استخراج داده‌ها از ماشین‌های قربانی یکی از اصلی‌ترین روش‌هایی است که آن‌ها از این نوع نرم‌افزارها در طول حملات رنسوم‌ویر بهره‌برداری می‌کنند. نرم‌افزارهای دسترسی از راه دور قانونی که توسط مهاجمان استفاده شده‌اند، شامل:

• AnyDesk: استفاده مخرب از AnyDesk اکنون یک TTP شناخته‌شده است و در برخی موارد، مهاجمان برای جلوگیری از برانگیختن سوءظن‌ها، سعی می‌کنند فایل اجرایی AnyDesk را به نامی تغییر دهند که ممکن است بی‌ضرر به‌نظر برسد، که به این تکنیک ماسکرادینگ (masquerading) گفته می‌شود. AnyDesk به‌طور گسترده‌ای در فعالیت‌های پیش از استقرار رنسوم‌ویر استفاده شده است که منجر به استقرار بدافزارهایی مانند AvosLocker، Monster، Noberus (با نام مستعار BlackCat)، BlackByte و Lunamoth شده است.

• Atera: Atera به‌عنوان یک ابزار RMM قانونی استفاده می‌شود و می‌تواند عملکرد و سلامت دستگاه‌های ویندوز و مک، چاپگرها، سرورها، روترها و غیره را نظارت کند. مهاجمان از آن برای دسترسی از راه دور استفاده کرده و مشاهده شده است که از آن برای دانلود Rclone از ابر استفاده می‌شود تا احتمالاً برای استخراج داده‌ها به کار رود. همچنین مشاهده شده است که در کنار سایر ابزارهای دسترسی از راه دور مانند ScreenConnect استفاده می‌شود. Atera در زنجیره‌های حمله‌ای که منجر به استقرار رنسوم‌ویرهایی مانند Lunamoth، BlueSky، Ransom Cartel، Conti و Royal شده است، به‌کار گرفته شده است.

• ScreenConnect (قبلاً ConnectWise): یک ابزار برنامه دسکتاپ از راه دور توسط ConnectWise که برای فراهم کردن دسترسی از راه دور به کامپیوترها استفاده می‌شود. این ابزار به‌طور قانونی برای نظارت و مدیریت از راه دور، پشتیبان‌گیری و بازیابی پس از فاجعه و غیره به کار می‌رود. مشاهده شده است که در کنار رنسوم‌ویرهایی مانند Royal، AvosLocker، Noberus و Yanluowang استفاده شده است.

• Splashtop: یک خانواده از نرم‌افزارهای دسکتاپ از راه دور و پشتیبانی از راه دور که توسط Splashtop Inc. توسعه یافته است. این نرم‌افزار به کاربران این امکان را می‌دهد که به‌طور از راه دور به کامپیوترها از دستگاه‌های دسکتاپ و موبایل دسترسی پیدا کنند.

• TeamViewer: یک برنامه دسترسی از راه دور و همکاری که به‌طور قانونی برای دسترسی از راه دور به کامپیوترهای یک شبکه استفاده می‌شود.

غیرفعال‌سازی نرم‌افزارهای امنیتی

یکی از تاکتیک‌های معمولی که مهاجمان رنسوم‌ویر به‌طور مکرر در حال استقرار آن هستند، آسیب‌پذیر کردن دفاع‌ها است، معمولاً با تلاش برای غیرفعال کردن نرم‌افزارهای آنتی‌ویروس (AV) یا محصولات تشخیص و پاسخ نقطه پایانی (EDR). استفاده از تکنیک‌ها و ابزارهای آسیب‌پذیرسازی در میان مهاجمان رنسوم‌ویر در دو سال گذشته به‌طور چشمگیری افزایش یافته است، که به‌احتمال زیاد در پاسخ به بهبود توانایی فروشندگان برای شناسایی الگوهای فعالیت‌های مخرب قبل از استقرار رنسوم‌ویر است.

مهاجمان مشاهده شده‌اند که از تکنیک‌های زندگی بر روی زمین برای غیرفعال‌سازی نرم‌افزارهای امنیتی، مانند استفاده از ابزارهای ویندوز برای غیرفعال کردن Windows Defender، استفاده می‌کنند. با این حال، رایج‌ترین تکنیک برای تضعیف دفاع‌ها، تکنیک BYOVD (Bring Your Own Vulnerable Driver) است. مهاجمان یک درایور آسیب‌پذیر امضا شده را به شبکه هدف استقرار می‌دهند و سپس از آن برای غیرفعال کردن نرم‌افزارهای امنیتی استفاده می‌کنند. از آن‌جا که درایورها با دسترسی به هسته سیستم عمل می‌کنند، قادر به خاتمه دادن فرآیندها هستند، که آن‌ها را به ابزاری مؤثر برای مختل کردن تدابیر امنیتی تبدیل می‌کند.

در بیشتر موارد، درایور آسیب‌پذیر همراه با یک فایل اجرایی مخرب استقرار می‌یابد که از آن برای صدور دستورات استفاده می‌کند. این درایورها “آسیب‌پذیر” تلقی می‌شوند زیرا نباید قادر به بهره‌برداری از آن‌ها به این شکل باشند. BYOVD به دلیل اثربخشی و وابستگی به فایل‌های قانونی امضا شده که احتمال کمتری برای ایجاد هشدار دارند، محبوبیت زیادی در میان مهاجمان پیدا کرده است.

ابزارهای BYOVD که در دو سال گذشته به‌طور مکرر مشاهده شده‌اند عبارتند از:

• TrueSightKiller: ابزاری عمومی که از درایور آسیب‌پذیر به نام truesight.sys استفاده می‌کند. این درایور امضا شده در ابتدا برای استفاده در RogueKiller Anti-Malware توسط Adlice Software توسعه داده شده بود.

• Gmer: اسکنر روت‌کیت که می‌تواند برای خاتمه دادن به فرآیندها استفاده شود.

• Warp AVKiller: یک نسخه از تهدید سرقت اطلاعات مبتنی بر Go به نام Warp Stealer که به‌نظر می‌رسد فقط برای دور زدن محصولات امنیتی استفاده می‌شود. این ابزار از یک درایور ضد روت‌کیت آسیب‌پذیر Avira برای غیرفعال کردن محصولات امنیتی استفاده می‌کند.

نگاهی به آینده

به‌نظر می‌رسد که رنسوم‌ویر یکی از تهدیدات اصلی جرایم سایبری در سال 2025 باقی خواهد ماند. توانایی مهاجمان برای تغییر فعالیت‌های خود به‌منظور اجتناب از شناسایی، همراه با ظهور تهدیدات جدید زمانی که اجرای قانون عملیات موجود را مختل می‌کند، به این معنا است که مقابله با رنسوم‌ویر احتمالاً همچنان یک چالش بزرگ برای کسب‌وکارها، دولت‌ها، فروشندگان امنیتی و مقامات اجرای قانون در آینده‌ای نزدیک خواهد بود.