از انتشار داده تا اخاذی چندگانه باج‌ افزار Medusa

یکی از جنبه‌های قابل توجه نفوذها، تکیه بر تکنیک‌های LotL برای تلفیق با فعالیت‌های قانونی و تشخیص جانبی است. همچنین استفاده از یک جفت درایور کرنل (kernel driver) برای خاتمه دادن به لیست هاردکد شده محصولات امنیتی مشاهده شده است.

حمله LotL، یک حمله سایبری را توصیف می کند که در آن مهاجمان از نرم افزارهای قانونی و عملکردهای موجود در سیستم برای انجام اقدامات مخرب بر روی آن استفاده می کنند. اپراتورهای حمله سایبری LotL در سیستم های هدف برای یافتن ابزارهایی مانند کامپوننت های سیستم عامل یا نرم افزارهای نصب شده جستجو می کنند که می توانند برای دستیابی به اهداف خود از آنها استفاده نمایند.

مرحله دسترسی اولیه با کشف و شناسایی شبکه آسیب‌ دیده دنبال می‌شود و مهاجمان در نهایت باج‌افزار را برای شمارش و رمزگذاری (با پسوندهای medusa.، dll.، exe. و lnk.) همه فایل‌های ذخیره شده پیاده سازی و اجرا می‌کنند.

سایت نشت دادهMedusa ، برای هر قربانی هک شده به منظور اعمال فشار حداکثری بر قربانی، اطلاعاتی درباره آن شرکت، میزان باج درخواستی، مدت زمان باقی مانده تا انتشار عمومی داده‌های ربوده شده و تعداد بازدیدها را نمایش می‌دهد. مهاجمان همچنین گزینه‌های مختلفی را به قربانی پیشنهاد می‌کنند که همگی شامل نوعی اخاذی برای حذف یا دانلود داده‌های ربوده شده و جستجوی تمدید زمانی به منظور جلوگیری از انتشار داده‌ها است.

از آنجایی که این باج‌افزار همچنان به عنوان یک تهدید گسترده به کار خود ادامه میدهد و شرکت‌های فناوری، مراقبت‌های بهداشتی، زیرساخت‌های حیاتی و همه چیز را مورد هدف قرار می‌دهد، عوامل تهدید در پشت آن با تاکتیک‌های خود گستاخ‌تر شده و با توسل به تهدید به خشونت فیزیکی و حتی کانال‌های روابط عمومی اختصاصی فراتر از نام بردن و شرمساری علنی سازمان‌ها پیش می‌روند.

Medusa، علاوه بر یک تیم رسانه‌ای از یک کانال تلگرام عمومی به نام «پشتیبانی اطلاعات» استفاده می‌کند، جایی که فایل‌های سازمان‌های هک شده به اشتراک گذاشته می‌شوند و می‌توان از طریق clearnet به آنها دسترسی داشت. این کانال در جولای ۲۰۲۱ راه اندازی شده است.

منابع