نسخه جدید باج افزار Qilin، داده‌های لاگین ذخیره شده در مرورگر گوگل کروم را می‌رباید

گروه باج افزار Qilin در حملات اخیر خود از یک تاکتیک جدید استفاده کردند. این گروه، یک بدافزار رباینده سفارشی را برای سرقت اطلاعات حساب ذخیره شده در مرورگر گوگل کروم به کار گرفته است.

باج افزار Qilin برای اولین بار در ژوئیه 2022 مشاهده شد. Qilin به زبان Golang نوشته شده است و به آن ” Agenda ” نیز می گویند. باج افزار  Qilin از رویکرد اخاذی مضاعف استفاده می‌کند و از چند حالت رمزگذاری پشتیبانی می‌نماید که تمامی آنها توسط اپراتور کنترل می‌شوند.

نمای کلی حمله باج افزار Qilin

این حمله با دسترسی باج افزار Qilin به یک شبکه توسط داده‌های لاگین هک شده متعلق به یک پورتال VPN که فاقد احراز هویت چند عاملی (MFA) است، آغاز شده است.

هکرها پس از این نفوذ، به مدت 18روز هیچگونه فعالیتی نداشتند. به گفته کارشناسان، مکث طولانی مدت آن‌ها ممکن است به این دلیل باشد که هکرها دسترسی به شبکه را از یک کارگزار دسترسی اولیه خریداری کرده‌اند و یا ممکن است در این مدت اپراتورهای Qilin به بررسی شبکه قربانی، انجام عملیات شناسایی از جمله شناسایی منابع حیاتی پرداخته باشند.

هکرها پس از 18 روز به صورت جانبی به کنترل کننده دامنه (DC[1]) منتقل شدند و [2]GPO را تغییر دادند تا یک اسکریپت پاورشل به نام IPScanner.ps1 را در تمام ماشین‌های موجود در شبکه اجرا کنند.

این اسکریپت که توسط اسکریپت logon.bat موجود در GPO اجرا شد، به منظور جمع آوری اطلاعات کاربری ذخیره شده در مرورگر گوگل کروم طراحی شده است.

این اسکریپت به گونه‌ای پیکربندی شده است که هر زمان کاربر وارد سیستم می‌شود، اجرا گردد و اسکریپت پاورشل را اجرا کند. داده‌های لاگین ربوده شده در پوشه SYSVOL با نام‌های LD  و  temp.log ذخیره می‌شوند.