مدل‌های OpenAI در جریان یک آزمون داخلی امنیت سایبری به زیرساخت هاگینگ فیس نفوذ کردند
1405-05-17
10:19 ق.ظ
گروه اخاذی سایبری شاینی‌هانترز (ShinyHunters) با نفوذ به سایت افشای اطلاعات گروه باج‌افزاری Clop، محتوای این سایت را در سرویس Tor دستکاری کرد و مدعی شد به داده‌های سرور و کلیدهای خصوصی سرویس Onion این گروه دست یافته است. شاینی‌هانترز اعلام کرده این حمله با سوءاستفاده از یک آسیب‌پذیری آپلود فایل بدون احراز هویت در Grav CMS انجام شده و در ادامه، Clop را به پرداخت باج در ازای عدم انتشار اطلاعات ادعایی تهدید کرده است. این درگیری سایبری ریشه در اختلافات قبلی این دو گروه دارد که به کمپین سرقت داده از Oracle E-Business Suite بازمی‌گردد.
سازمان امنیت سایبری و زیرساخت آمریکا (CISA) اعلام کرده است که گروه‌های باج‌افزاری از آسیب‌پذیری VMware vCenter با شناسه CVE-2026-59310 سوءاستفاده می‌کنند. این آسیب‌پذیری در سرور Syslog نرم‌افزار VMware vCenter قرار دارد و به مهاجمان احراز هویت‌نشده اجازه می‌دهد با بهره‌گیری از پیمایش مسیر (Directory Traversal)، کد دلخواه را از راه دور(RCE) اجرا کنند. شرکت Broadcom این آسیب‌پذیری بحرانی را در 29 جولای پچ کرده بود، اما تداوم حملات باعث شد CISA آن را به فهرست KEV اضافه کند.
پژوهشگران امنیت سایبری از شناسایی یک عملیات مجرمانه سایبری در مقیاس جهانی خبر داده‌اند که در آن نزدیک به 2 هزار سایت وردپرس هک‌شده به زیرساختی برای انتشار بدافزار، کنترل سیستم‌های آلوده و ذخیره اسناد سرقت‌شده، اسکرین‌شات‌ها و لاگ‌های ثبت‌شده از فعالیت این عملیات تبدیل شده‌اند؛ داده‌هایی که برای رصد وضعیت و روند فعالیت مهاجمان مورد استفاده قرار می‌گیرند. این عملیات که با نام StopAndProtect ردیابی می‌شود، تنها به یک بدافزار واحد متکی نیست، بلکه مجموعه‌ای از نرم‌افزارهای مجرمانه را در کنار یکدیگر به کار می‌گیرد؛ ابزارهایی که برای رمزگذاری فایل‌ها، سرقت مخفیانه اسناد، قفل کردن صفحه‌نمایش و برقراری گفت‌وگوی مستقیم میان مهاجمان و قربانیان طراحی شده‌اند. به گفته پژوهشگران شرکت چک‌پوینت، زنجیره آلودگی StopAndProtect با یک حمله مهندسی اجتماعی (Social Engineering) مبتنی بر کلیک‌فیکس (ClickFix) آغاز می‌شود. در این حمله، قربانی به اجرای دستورات پاورشل (PowerShell) ترغیب می‌شود و در ادامه، دانلودرها و لودرهای مبتنی بر.NET روی سیستم مستقر می‌شوند.
باج‌افزار مدوسا (Medusa) از ژوئن 2021 تاکنون بیش از 500 سازمان فعال در حوزه زیرساخت‌های حیاتی آمریکا را هدف قرار داده است؛ رقمی که از گسترش دامنه فعالیت این گروه در بخش‌های حساس آمریکا خبر می‌دهد. آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA) در یک هشدار مشترک با وزارت بهداشت و خدمات انسانی (HHS) و اداره تحقیقات فدرال (FBI) اعلام کرد که تا آوریل 2026، باج‌افزار مدوسا به بیش از 500 سازمان در چندین بخش زیرساخت‌های حیاتی، از جمله سلامت و بهداشت عمومی، صنایع دفاعی، تولید، سرویس‌ها و تأسیسات دولتی، فناوری اطلاعات و سرویس‌های مالی نفوذ کرده است.
آژانس امنیت سایبری و زیرساخت ایالات متحده (CISA) تأیید کرده است که گروه‌های باج‌افزاری از آسیب‌پذیری ویندوز تسک هاست (Windows Task Host) با شدت بالا سوءاستفاده می‌کنند. این ضعف امنیتی پیش‌تر در ماه آوریل در فهرست KEV قرار گرفته بود. آسیب‌پذیری ویندوز تسک هاست در صورت سوءاستفاده موفق، به مهاجمان لوکال با سطح دسترسی پایه امکان افزایش سطح دسترسی (Privilege Escalation) تا سطح سیستم (SYSTEM) را می‌دهد و می‌تواند کنترل کامل سیستم‌هایی را در اختیار مهاجمان قرار دهد که هنوز پچ امنیتی مربوط به این ضعف را دریافت نکرده‌اند.
در تحولی مهم در سیاست سایبری ایالات متحده، رئیس‌جمهور آمریکا، دونالد ترامپ، با امضای یک یادداشت امنیت ملی (NSPM)، دستور ایجاد برنامه‌ای را صادر کرده است که به شرکت‌های امنیتی خصوصی اجازه می‌دهد برای دریافت مجوز اجرای عملیات سایبری تهاجمی علیه گروه‌های تهدید مستقر در خارج از آمریکا درخواست دهند. این برنامه که زیر نظر مرکز هماهنگی ملی (NCC) اجرا خواهد شد، زمینه را برای مشارکت رسمی‌تر شرکت‌های امنیتی خصوصی در عملیات سایبری تهاجمی تحت کنترل و اختیار دولت آمریکا فراهم می‌کند.
یک عامل تهدید با انگیزه مالی که پیش‌تر با عملیات باج‌افزاری مدوسا (Medusa) مرتبط بوده است، اکنون از باج‌افزار StormEncryptor در حملات هدفمند استفاده می‌کند. بر اساس گزارش هوش تهدید مایکروسافت (Microsoft Threat Intelligence)، این حملات احتمالاً با سوءاستفاده از آسیب‌پذیری دور زدن احراز هویت (Authentication Bypass) در ابزار N-central آغاز شده‌اند و مهاجمان پس از نفوذ، به سرقت داده‌ها و رمزنگاری فایل‌های قربانیان پرداخته‌اند. مهاجمان با استفاده از باج‌افزار StormEncryptor و تهدید به افشای داده‌های سرقت‌شده، فشار بیشتری برای پرداخت باج به قربانیان وارد می‌کنند.
گروه باج‌افزاری Chaos با استفاده از بدافزار msaRAT، روشی جدید برای پنهان‌سازی ارتباطات فرماندهی و کنترل (C2) به کار گرفته است که در آن مرورگر سیستم قربانی به کانالی برای انتقال ترافیک فرماندهی و کنترل مهاجمان تبدیل می‌شود. این ایمپلنت (Implant) مبتنی بر زبان Rust که توسط پژوهشگران Cisco Talos شناسایی شده است
آژانس امنیت سایبری و زیرساخت آمریکا (CISA) اعلام کرد آسیب‌پذیری BlueHammer در ویندوز اکنون توسط گروه‌های باج‌افزاری در حملات واقعی مورد سوءاستفاده قرار گرفته است. این ضعف امنیتی با شدت بالا (High) در مایکروسافت دیفندر (Microsoft Defender) به مهاجمان دارای دسترسی لوکال اجازه می‌دهد سطح دسترسی خود را افزایش (Privilege Escalation) دهند
افزونه مخرب Edgecution در جریان یک حمله باج‌افزاری برای عبور از محدودیت‌های سندباکس (Sandbox) مرورگر مایکروسافت اج (Microsoft Edge) و استقرار یک بکدور مبتنی بر پایتون به‌کار گرفته شده است. بررسی‌های Zscaler نشان می‌دهد افزونه مخرب Edgecution با سوءاستفاده از پروتکل Native Messaging کروم، مرورگر را به یک اپلیکیشن بومی (Native Application) روی سیستم قربانی متصل کرده و مسیر اجرای دستورات در سطح میزبان را فراهم می‌کند
گروه اخاذی سایبری شاینی‌هانترز (ShinyHunters) با نفوذ به سایت افشای اطلاعات گروه باج‌افزاری Clop، محتوای این سایت را در سرویس Tor دستکاری کرد و مدعی شد به داده‌های سرور و کلیدهای خصوصی سرویس Onion این گروه دست یافته است. شاینی‌هانترز اعلام کرده این حمله با سوءاستفاده از یک آسیب‌پذیری آپلود فایل بدون احراز هویت در Grav CMS انجام شده و در ادامه، Clop را به پرداخت باج در ازای عدم انتشار اطلاعات ادعایی تهدید کرده است. این درگیری سایبری ریشه در اختلافات قبلی این دو گروه دارد که به کمپین سرقت داده از Oracle E-Business Suite بازمی‌گردد.
سازمان امنیت سایبری و زیرساخت آمریکا (CISA) اعلام کرده است که گروه‌های باج‌افزاری از آسیب‌پذیری VMware vCenter با شناسه CVE-2026-59310 سوءاستفاده می‌کنند. این آسیب‌پذیری در سرور Syslog نرم‌افزار VMware vCenter قرار دارد و به مهاجمان احراز هویت‌نشده اجازه می‌دهد با بهره‌گیری از پیمایش مسیر (Directory Traversal)، کد دلخواه را از راه دور(RCE) اجرا کنند. شرکت Broadcom این آسیب‌پذیری بحرانی را در 29 جولای پچ کرده بود، اما تداوم حملات باعث شد CISA آن را به فهرست KEV اضافه کند.
پژوهشگران امنیت سایبری از شناسایی یک عملیات مجرمانه سایبری در مقیاس جهانی خبر داده‌اند که در آن نزدیک به 2 هزار سایت وردپرس هک‌شده به زیرساختی برای انتشار بدافزار، کنترل سیستم‌های آلوده و ذخیره اسناد سرقت‌شده، اسکرین‌شات‌ها و لاگ‌های ثبت‌شده از فعالیت این عملیات تبدیل شده‌اند؛ داده‌هایی که برای رصد وضعیت و روند فعالیت مهاجمان مورد استفاده قرار می‌گیرند. این عملیات که با نام StopAndProtect ردیابی می‌شود، تنها به یک بدافزار واحد متکی نیست، بلکه مجموعه‌ای از نرم‌افزارهای مجرمانه را در کنار یکدیگر به کار می‌گیرد؛ ابزارهایی که برای رمزگذاری فایل‌ها، سرقت مخفیانه اسناد، قفل کردن صفحه‌نمایش و برقراری گفت‌وگوی مستقیم میان مهاجمان و قربانیان طراحی شده‌اند. به گفته پژوهشگران شرکت چک‌پوینت، زنجیره آلودگی StopAndProtect با یک حمله مهندسی اجتماعی (Social Engineering) مبتنی بر کلیک‌فیکس (ClickFix) آغاز می‌شود. در این حمله، قربانی به اجرای دستورات پاورشل (PowerShell) ترغیب می‌شود و در ادامه، دانلودرها و لودرهای مبتنی بر.NET روی سیستم مستقر می‌شوند.
باج‌افزار مدوسا (Medusa) از ژوئن 2021 تاکنون بیش از 500 سازمان فعال در حوزه زیرساخت‌های حیاتی آمریکا را هدف قرار داده است؛ رقمی که از گسترش دامنه فعالیت این گروه در بخش‌های حساس آمریکا خبر می‌دهد. آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA) در یک هشدار مشترک با وزارت بهداشت و خدمات انسانی (HHS) و اداره تحقیقات فدرال (FBI) اعلام کرد که تا آوریل 2026، باج‌افزار مدوسا به بیش از 500 سازمان در چندین بخش زیرساخت‌های حیاتی، از جمله سلامت و بهداشت عمومی، صنایع دفاعی، تولید، سرویس‌ها و تأسیسات دولتی، فناوری اطلاعات و سرویس‌های مالی نفوذ کرده است.
آژانس امنیت سایبری و زیرساخت ایالات متحده (CISA) تأیید کرده است که گروه‌های باج‌افزاری از آسیب‌پذیری ویندوز تسک هاست (Windows Task Host) با شدت بالا سوءاستفاده می‌کنند. این ضعف امنیتی پیش‌تر در ماه آوریل در فهرست KEV قرار گرفته بود. آسیب‌پذیری ویندوز تسک هاست در صورت سوءاستفاده موفق، به مهاجمان لوکال با سطح دسترسی پایه امکان افزایش سطح دسترسی (Privilege Escalation) تا سطح سیستم (SYSTEM) را می‌دهد و می‌تواند کنترل کامل سیستم‌هایی را در اختیار مهاجمان قرار دهد که هنوز پچ امنیتی مربوط به این ضعف را دریافت نکرده‌اند.
در تحولی مهم در سیاست سایبری ایالات متحده، رئیس‌جمهور آمریکا، دونالد ترامپ، با امضای یک یادداشت امنیت ملی (NSPM)، دستور ایجاد برنامه‌ای را صادر کرده است که به شرکت‌های امنیتی خصوصی اجازه می‌دهد برای دریافت مجوز اجرای عملیات سایبری تهاجمی علیه گروه‌های تهدید مستقر در خارج از آمریکا درخواست دهند. این برنامه که زیر نظر مرکز هماهنگی ملی (NCC) اجرا خواهد شد، زمینه را برای مشارکت رسمی‌تر شرکت‌های امنیتی خصوصی در عملیات سایبری تهاجمی تحت کنترل و اختیار دولت آمریکا فراهم می‌کند.
یک عامل تهدید با انگیزه مالی که پیش‌تر با عملیات باج‌افزاری مدوسا (Medusa) مرتبط بوده است، اکنون از باج‌افزار StormEncryptor در حملات هدفمند استفاده می‌کند. بر اساس گزارش هوش تهدید مایکروسافت (Microsoft Threat Intelligence)، این حملات احتمالاً با سوءاستفاده از آسیب‌پذیری دور زدن احراز هویت (Authentication Bypass) در ابزار N-central آغاز شده‌اند و مهاجمان پس از نفوذ، به سرقت داده‌ها و رمزنگاری فایل‌های قربانیان پرداخته‌اند. مهاجمان با استفاده از باج‌افزار StormEncryptor و تهدید به افشای داده‌های سرقت‌شده، فشار بیشتری برای پرداخت باج به قربانیان وارد می‌کنند.
گروه باج‌افزاری Chaos با استفاده از بدافزار msaRAT، روشی جدید برای پنهان‌سازی ارتباطات فرماندهی و کنترل (C2) به کار گرفته است که در آن مرورگر سیستم قربانی به کانالی برای انتقال ترافیک فرماندهی و کنترل مهاجمان تبدیل می‌شود. این ایمپلنت (Implant) مبتنی بر زبان Rust که توسط پژوهشگران Cisco Talos شناسایی شده است
آژانس امنیت سایبری و زیرساخت آمریکا (CISA) اعلام کرد آسیب‌پذیری BlueHammer در ویندوز اکنون توسط گروه‌های باج‌افزاری در حملات واقعی مورد سوءاستفاده قرار گرفته است. این ضعف امنیتی با شدت بالا (High) در مایکروسافت دیفندر (Microsoft Defender) به مهاجمان دارای دسترسی لوکال اجازه می‌دهد سطح دسترسی خود را افزایش (Privilege Escalation) دهند
افزونه مخرب Edgecution در جریان یک حمله باج‌افزاری برای عبور از محدودیت‌های سندباکس (Sandbox) مرورگر مایکروسافت اج (Microsoft Edge) و استقرار یک بکدور مبتنی بر پایتون به‌کار گرفته شده است. بررسی‌های Zscaler نشان می‌دهد افزونه مخرب Edgecution با سوءاستفاده از پروتکل Native Messaging کروم، مرورگر را به یک اپلیکیشن بومی (Native Application) روی سیستم قربانی متصل کرده و مسیر اجرای دستورات در سطح میزبان را فراهم می‌کند
