سوء استفاده هکرها از Microsoft Teams و AnyDesk برای استقرار بدافزار Darkgate

هکرها اخیرا طی یک حمله مهندسی اجتماعی جدید توانستند از Microsoft Teams و AnyDesk برای استقرار بدافزار DarkGate، یک تروجان دسترسی از راه دور (RAT) پیچیده سوء استفاده کنند. این روش نفوذ، نشان دهنده یک تحول قابل توجه در تاکتیک‌های مورد استفاده توسط مجرمان سایبری است که از ابزارهای ارتباطی قانونی برای نفوذ به قربانیان استفاده می‌کنند.

روش حمله:

۱. سوء استفاده از Microsoft Teams:

لینک‌های فیشینگ و پیوست‌های مخرب: مهاجمان می‌توانند از Microsoft Teams، یک ابزار همکاری متداول برای ارسال پیام‌های فیشینگ یا پیوست‌های مخرب استفاده کنند. هنگامی که کاربران بر روی این لینک‌ها کلیک و یا فایل‌های آلوده را باز می‌کنند، بدافزار Darkgate در سیستم آنها مستقر می‌شود.

مهندسی اجتماعی: مجرمان سایبری اغلب از تاکتیک‌های مهندسی اجتماعی استفاده می‌نمایند تا وانمود کنند که یکی از همکاران یا سازمان‌های قانونی هستند تا کاربران را در کلیک بر روی لینک‌های مخرب و یا دانلود فایل‌های آلوده فریب دهند.

۲. سوء استفاده از Anydesk

دسترسی از راه دور برای استقرار بدافزار: Anydesk یک ابزار دسکتاپ از راه دور قانونی است اما مجرمان سایبری می‌توانند از آن استفاده کنند تا دسترسی غیرمجاز به سیستم قربانی را بدست آورند. آنها پس از ایجاد دسترسی از راه دور، بدافزار Darkgate را نصب کرده و توسط آن شروع به ربودن داده‌های حساس و یا توزیع بدافزار به سایر سیستم‌های شبکه می‌کنند.

تداوم دسترسی و کنترل: مهاجمان می‌توانند دسترسی مداوم به سیستم‌های تحت نفوذ را حفظ کنند. این دسترسی به آنها اجازه می‌دهد تا به صورت جانبی در شبکه حرکت کنند، داده‌های حساس را بربایند و یا بدافزار را به دیگر سیستم‌های شبکه توزیع کنند.

بررسی یک سناریوی حمله

در یک سناریوی حمله، مشاهده شد که مهاجم صندوق ورودی ایمیل قربانی مورد نظر را توسط هزاران ایمیل بمباران کرده است. هکر پس از آن از طریق Microsoft Team سعی نمود تا در ظاهر کارمند یک شرکت تامین کننده خارجی با قربانی ارتباط برقرار کند.

مهاجم سپس به قربانی دستور داد تا AnyDesk را بر روی سیستم خود نصب نماید. این دسترسی از راه دور متعاقباً برای استقرار پیلودهای متعدد از جمله یک بدافزار رباینده داده لاگین و DarkGate  بر روی سیستم قربانی مورد استفاده قرار گرفت.

DarkGate از طریق یک اسکریپت AutoIt مستقر می‌شود. از جمله قابلیت‌های متنوع DarkGate می‌توان به سرقت داده‌های لاگین، عمل به عنوان کیلاگر، کپچر کردن صفحه نمایش، ضبط صدا و دسکتاپ از راه دور اشاره کرد.

Darkgate که به دلیل توانایی در دور زدن مکانیزم‌های امنیتی شناخته شده است به مهاجمان اجازه می‌دهد تا سیستم‌های آلوده را به طور پنهانی کنترل کنند. این بدافزار اغلب به منظور سرقت داده‌های حساس یا محرمانه و انتشار بدافزار به دیگر دستگاه‌های شبکه استفاده می‌شود.

اگرچه این حمله قبل از انجام هرگونه فعالیت استخراج داده شناسایی و مسدود شد، اما شواهد حاکی از آن است که مهاجمان از مجموعه متنوعی از مسیرهای دسترسی اولیه برای انتشار بدافزار استفاده کرده‌اند.