نسخه جعلی LastPass Authenticator در گیت‌هاب
مهاجمان برای توزیع این نسخه جعلی، صفحه‌ای در گیت‌هاب با آدرس github.com/LastPass-Authenticator ایجاد کرده‌اند؛ صفحه‌ای که با جست‌وجوی عباراتی مانند «دانلود LastPass» در نتایج ظاهر می‌شود و از نظر طراحی نیز شباهت زیادی به صفحه رسمی محصول دارد.
با کلیک روی گزینه دانلود، کاربر از میان چند صفحه در گیت‌هاب عبور کرده و در نهایت به سرور مهاجم هدایت می‌شود؛ جایی که یک فایل ZIP با حجم بالا برای دانلود در اختیار او قرار می‌گیرد. نسخه اصلی LastPass Authenticator از طریق وب‌سایت رسمی و فروشگاه‌های معتبر اپلیکیشن ارائه می‌شود و فایل نصب آن در گیت‌هاب قرار ندارد.
این فایل ZIP حاوی نسخه تغییرنام‌یافته ابزار دیباگ مایکروسافت با نام vsdbg.exe است که در کنار یک فایل مخرب با نام vsdbg.dll قرار دارد. با اجرای نصب‌کننده جعلی، ویندوز فایل DLL مخرب را از همان پوشه بارگذاری می‌کند؛ روشی که بارگذاری جانبی DLL (DLL Side-Loading) نام دارد.
سپس لودر با استفاده از سه روش مختلف، مجوزهای مدیریتی را به دست می‌آورد و در نهایت به سطح دسترسی سیستم (SYSTEM)، یعنی بالاترین سطح دسترسی در ویندوز، دسترسی پیدا می‌کند. در ادامه، لودر درایور کرنل را به‌عنوان یک سرویس روی سیستم نصب می‌کند.
فایل‌های ZIP شناسایی‌شده در این کمپین، به‌ترتیب 148 مگابایت و 127.9 مگابایت حجم داشتند. بخش زیادی از این حجم به فایل‌های اضافی و بی‌استفاده اختصاص داده شده بود تا برخی ابزارهای امنیتی که برای اسکن فایل‌های بزرگ محدودیت حجمی دارند، از بررسی فایل‌ها صرف‌نظر کنند.
نحوه عملکرد درایور مخرب و دلیل اعتماد ویندوز به آن
درایور کرنل مستقیماً در کرنل ویندوز اجرا می‌شود و به همین دلیل می‌تواند پردازه‌های آنتی‌ویروس و ابزارهای تشخیص و پاسخ Endpoint (EDR) را خاتمه دهد. پژوهشگران این درایور را Alinubx.sys نام‌گذاری کرده‌اند. این درایور فهرستی از 145 پردازه مرتبط با آنتی‌ویروس‌ها و سایر نرم‌افزارهای امنیتی را در خود دارد و هر پردازه‌ای از این فهرست را که روی سیستم در حال اجرا باشد، شناسایی کرده و خاتمه می‌دهد.
این درایور با دسترسی مستقیم به کرنل می‌تواند پردازه‌های مرتبط با نرم‌افزارهای امنیتی را خاتمه دهد. از آنجا که آنتی‌ویروس‌ها و ابزارهای EDR در حالت کاربر (User Mode) اجرا می‌شوند، نمی‌توانند جلوی این عملیات را بگیرند یا آن را مشاهده کنند.
استفاده از یک درایور قانونی و دارای امضای معتبر برای دستیابی به سطح کرنل و اجرای عملیات مخرب، روشی شناخته‌شده با عنوان «درایور آسیب‌پذیر خود را بیاورید» (BYOVD) است. در این روش، مهاجم از یک درایور مورد اعتماد سیستم سوءاستفاده می‌کند تا به قابلیت‌های سطح کرنل دسترسی پیدا کرده و عملیات مخرب خود را اجرا کند.
این درایور از طریق زنجیره امضای مرجع تأیید سخت‌افزار ویندوز مایکروسافت (Microsoft Windows Hardware Compatibility Publisher) تأیید شده است و تاریخ امضای آن به مارس 2023 یعنی چند سال پیش از اجرای این کمپین بازمی‌گردد. پژوهشگران تأکید می‌کنند که این تأییدیه نشان می‌دهد درایور مراحل بررسی مایکروسافت را پشت سر گذاشته است، اما این تأییدیه به‌تنهایی ایمن بودن درایور را تضمین نمی‌کند.
در این حمله، تنها قابلیت درایور برای خاتمه دادن به پردازه‌های امنیتی فعال بود. کد این درایور قابلیت‌های دیگری مانند مخفی کردن فایل‌ها، تزریق کد به برنامه‌های دیگر و تغییر مسیر ترافیک وب را نیز دارد، اما فعال‌سازی این قابلیت‌ها به یک فایل پیکربندی نیاز دارد که در نمونه مورد استفاده مهاجمان وجود نداشت. به همین دلیل، قابلیت‌های مذکور در این حمله فعال نشدند.
با این حال، همین قابلیت برای مهاجمان کافی بود. پس از غیرفعال شدن نرم‌افزارهای امنیتی، بدافزار رباینده اطلاعات (Infostealer) که همراه نسخه جعلی LastPass Authenticator اجرا می‌شد، شروع به جمع‌آوری اطلاعات حساس کرد. این بدافزار رمز عبورهای ذخیره‌شده در بیش از 20 مرورگر، فایل‌های کیف پول‌های رمزارزی و نشست‌های ورود به حساب‌های دیسکورد (Discord)، استیم (Steam) و تلگرام را سرقت می‌کرد. اطلاعات ذخیره‌شده در بخش مدیریت اعتبارنامه‌های ویندوز (Windows Credential Manager) و همچنین فایل‌هایی با نام‌هایی مانند password، seed و recovery نیز در میان داده‌های هدف قرار داشتند.
در کروم و اِج (Edge) که برای محافظت از رمز عبورهای ذخیره‌شده از رمزنگاری وابسته به اپلیکیشن (App-Bound Encryption) استفاده می‌کنند، بدافزار با تزریق کد به مرورگر، از سرویس داخلی آن درخواست می‌کند رمزهای عبور را رمزگشایی کند. سپس اطلاعات سرقت‌شده در قالب یک فایل ZIP جمع‌آوری شده و به سرور مهاجم ارسال می‌شوند.
چرا این درایور شناسایی نشد؟
درایور مورد استفاده در این حمله در واقع نسخه تغییرنام‌یافته CcProtect.sys است؛ درایوری که به محصول چینی رمزگذاری دیسک CnCrypt تعلق دارد و پیش‌تر در فهرست LOLDrivers به‌عنوان ابزاری برای خاتمه پردازه‌ها ثبت شده است. همچنین برای این درایور کد اثبات مفهوم (PoC) عمومی وجود دارد. نسخه اصلی و نمونه مورد استفاده در حمله، نام محصول، شماره نسخه و نام ارسال‌کننده یکسانی دارند و تنها نام فایل و توضیحات آن‌ها تغییر کرده است.
همین تغییر ساده باعث شد ابزارهای آنتی‌ویروس نسخه تغییرنام‌یافته را شناسایی نکنند. در ماه آگوست، 7 مورد از حدود 70 موتور امنیتی نسخه اصلی این درایور را شناسایی کرده بودند، اما همان درایور پس از تغییر نام دیگر توسط هیچ‌یک از این موتورها شناسایی نشد. مهاجمان نیز از همین نسخه تغییرنام‌یافته در LastPass Authenticator جعلی برای غیرفعال کردن نرم‌افزارهای امنیتی استفاده کردند.
اما وضعیت در فهرست مسدودسازی درایورهای آسیب‌پذیر مایکروسافت (Microsoft Vulnerable Driver Blocklist) متفاوت بود. این فهرست از زمان به‌روزرسانی سال 2022 ویندوز 11 به‌صورت پیش‌فرض فعال است و از بارگذاری درایورهای شناخته‌شده و مسدودشده جلوگیری می‌کند. Delphos در 20 آگوست این فهرست را بررسی کرد و دریافت که نه نسخه تغییرنام‌یافته و نه نسخه اصلی CcProtect.sys در آن قرار ندارند.
بنابراین، تغییر نام فایل باعث عبور درایور از فهرست مسدودسازی نشده بود؛ زیرا نسخه اصلی آن از ابتدا در این فهرست قرار نداشت. فهرست مسدودسازی، درایورهای شناخته‌شده را بر اساس هش فایل (File Hash) شناسایی می‌کند و تغییر نام یا کامپایل مجدد یک درایور می‌تواند هش جدیدی ایجاد کند که در این فهرست ثبت نشده است. تا زمان انتشار گزارش در 17 سپتامبر، Alinubx.sys همچنان در فهرست مسدودشده مایکروسافت قرار نداشت.
Delphos در 19 آگوست این درایور را به مایکروسافت گزارش کرد. مایکروسافت در پاسخ اعلام کرد که عملکرد این درایور با تعریف این شرکت از یک آسیب‌پذیری امنیتی مطابقت ندارد، زیرا درایور متعلق به یکی از کامپوننت‌های مایکروسافت نیست. این شرکت از پژوهشگران خواست درخواست بررسی درایور و افزودن آن به فهرست مسدودسازی را از طریق کانال جداگانه‌ای ارسال کنند. Delphos نیز همان روز، گزارش مربوط به این درایور را از طریق همین کانال مجدداً برای مایکروسافت ارسال کرد.
در صورت نصب نسخه جعلی LastPass Authenticator چه کار کنیم؟
اگر نسخه جعلی LastPass Authenticator روی سیستم اجرا شده باشد، باید تمام رمز عبورهای ذخیره‌شده در مرورگر آن سیستم را افشاشده در نظر گرفت. فایل‌های کیف پول‌های رمزارزی، نشست‌های ورود به حساب‌های دیسکورد، استیم و تلگرام و اطلاعات ذخیره‌شده در بخش مدیریت اعتبارنامه‌های ویندوز نیز ممکن است در اختیار مهاجم قرار گرفته باشند. بدافزار رباینده اطلاعات پیش از آغاز فعالیت درایور مخرب، این اطلاعات را از سیستم استخراج می‌کند.
رمز عبورهای ذخیره‌شده در این سیستم را از طریق یک دستگاه دیگر و کاملاً سالم تغییر دهید و از انجام این کار روی سیستم آلوده خودداری کنید. پس از آن، فعالیت حساب‌های کاربری را بررسی کنید تا هرگونه ورود یا فعالیت غیرعادی که توسط شما انجام نشده است، شناسایی شود.
درایور مخرب پس از نصب روی سیستم باقی می‌ماند و با هر بار راه‌اندازی مجدد ویندوز، بار دیگر پردازه‌های امنیتی را خاتمه می‌دهد و بدافزار رباینده اطلاعات را اجرا می‌کند. به همین دلیل، ابزارهای امنیتی که معمولاً برای شناسایی و پاک‌سازی بدافزار استفاده می‌شوند، ممکن است نتوانند این تهدید را به‌طور کامل از سیستم حذف کنند.
اجرای این پیلود به معنای آلودگی سیستم در سطح کرنل است. بنابراین، در صورت امکان باید سیستم تحت بررسی فارنزیک (Forensic Analysis) در سطح کرنل قرار گیرد یا برای اطمینان از حذف کامل تهدید، سیستم‌عامل مجدداً به‌طور کامل نصب شود.
شاخص‌هایی که باید برای شناسایی تهدید بررسی شوند
پژوهشگران توصیه می‌کنند برای شناسایی این تهدید، به‌جای تمرکز صرف بر نام یک فایل، مشخصات و نحوه عملکرد درایور بررسی شود؛ زیرا مهاجمان می‌توانند نام فایل را تغییر دهند، همان‌طور که در این حمله نیز این کار را انجام داده‌اند.
شاخص‌های قابل بررسی عبارتند از:
- سرویس: سرویسی که با نام NvFsFilter ایجاد شده باشد.
- فایل: درایوری که در مسیر C:\Windows\System32\drivers\nvfsflt64.sys قرار گرفته باشد.
- اطلاعات امضای دیجیتال: اطلاعات امضای درایور شامل نام Henan Dafeng Software یا عبارت CnCrypt باشد.
- دستگاه : مسیر \\.\Alinubx در سیستم وجود داشته باشد.
- نحوه عملکرد: درایور بارگذاری شود و پس از آن، پردازه‌های مرتبط با نرم‌افزارهای امنیتی خاتمه پیدا کنند.
یک الگوی شناسایی برای این درایور در LOLDrivers منتشر شده است، اما این الگو بر اساس هش فایل عمل می‌کند؛ بنابراین، با هرگونه تغییر در فایل، هش آن نیز تغییر می‌کند و الگوی مذکور دیگر کارایی لازم را نخواهد داشت. فهرست کامل شاخص‌های نفوذ (IOCs) نیز در گزارش مشترک پژوهشگران ارائه شده است.
زیرساخت حمله و ارتباط آن با کمپین‌های پیشین
صفحه جعلی LastPass Authenticator تنها یکی از روش‌هایی بود که مهاجمان برای فریب کاربران به کار گرفتند. طبق گزارش LastPass، سرور مهاجمان صفحاتی جعلی را میزبانی می‌کرد که با جعل نام و ظاهر دست‌کم 40 برند مختلف، خود را به‌عنوان وب‌سایت‌های معتبر معرفی می‌کردند. صفحه جعلی دیگری نیز برای محصولی با عنوان «macOS LastPass» ایجاد شده بود که از نظر ظاهر شباهت زیادی به صفحه اصلی داشت، اما پیش از بررسی پژوهشگران از دسترس خارج شد.
استفاده از مخازن جعلی گیت‌هاب برای توزیع این خانواده از بدافزارهای رباینده اطلاعات نیز روش جدیدی نیست. Trend Micro در ماه مارس، توزیع BoryptGrab از طریق چنین مخازنی را مستند کرده بود. Arctic Wolf نیز در ماه جولای از یک موج جداگانه شامل 300 مخزن جعلی مشابه خبر داده بود.
Delphos با اطمینان بالا ارزیابی کرده است که لودر مورد استفاده در این حمله با استفاده از Cruciferra Crypter توسعه یافته است؛ ابزاری تجاری که فهرست پیش‌فرض آن شامل 145 نام از پردازه‌های امنیتی است و امکان استفاده از درایورهای مختلف را فراهم می‌کند.
همچنین پژوهشگران با اطمینان متوسط ارزیابی کرده‌اند که رباینده اطلاعات مورد اشاره LastPass با BoryptGrab مرتبط است، اما همان نسخه از این بدافزار نیست. تعداد قربانیان این حمله همچنان مشخص نیست و گزارش پژوهشگران نیز آماری درباره تعداد سیستم‌های آلوده ارائه نمی‌کند.
