بازی ترکیبی اسکن خودکار و هک دستی برای سرقت داده‌های حساس — تهدیددهندگان مرتبط با دولت چین

منبع: این بازنویسی بر اساس «CISA Cybersecurity Advisories» و توصیه‌نامه‌های مشترک دیگر سازمان‌های امنیتی (از جمله FBI، NSA، NCSC-UK، ASD/ACSC، Cyber Centre کانادا و دیگران) تهیه شده است. در نگارش متن از حدس و گمان خودداری شده و نام CVEها همان‌گونه که در منبع ذکر شده حفظ شده است.

خلاصهٔ گزارش
گزارش‌های مشترک نشان می‌دهد بازیگران سایبری مرتبط با دولت چین، از خدمات و زیرساخت‌های ارائه‌شده یا میزبانی‌شده توسط شرکت Integrity Technology Group بهره می‌برند تا با به‌کارگیری مجموعه‌ای از ابزارهای خودکار (اسکنرها و بات‌نت‌ها) همراه با عملیات دستی و ابزارهای آماده (CNE)، به شبکه‌ها نفوذ و داده‌های حساس را استخراج کنند. قربانیان شامل نهادهای دولتی، تولیدکنندگان حیاتی، بخش سلامت و فناوری اطلاعات و نیز سازمان‌های آموزشی و مذهبی در مناطق مختلف جهان هستند.

تاکتیک‌ها و تکنیک‌های کلیدی (خلاصه)
- شناسایی: استفاده از ابزارهای متن‌باز اسکن و جمع‌آوری اطلاعات مانند BBScan، dirsearch، Fscan، ksubdomain، masscan، NMAP، OneForAll، ShuiZe، wpscan و دیگران برای یافتن سرویس‌ها و صفحات آسیب‌پذیر.
- بهره‌برداری و اجرای کد: اجرا و بهره‌برداری از اسکریپت‌ها و ابزارهای مبتنی بر Python و Go و همچنین سوءاستفاده از آسیب‌پذیری‌های XSS برای سرقت اعتبارنامه‌ها یا انتشار بدافزار.
- ابزارهای ویژه: استفاده از MicroScan (اپلیکیشن مبتنی بر Python حاوی بیش از 1,300 اسکریپت نفوذ) و EBurst (ابزار متن‌باز برای حملات password spraying و credential stuffing علیه حساب‌های Exchange/Office365).
- ماندگاری و پنهان‌سازی: نصب کلاینت‌های VPN مشروع مانند SoftEther (معمولاً با نام‌های فریبندهٔ مانند conhost.exe یا dllhost.exe) برای ایجاد دسترسی پایا و پوشاندن ترافیک کنترلی.
- استخراج داده: تمرکز بر استخراج ایمیل‌ها و اعتبارنامه‌ها و ارسال داده به زیرساخت‌های کنترل‌شده توسط بازیگران.

آسیب‌پذیری‌ها و محصولات اشاره‌شده
CVE-2014-6278 CVE-2015-3306 CVE-2015-5477 CVE-2016-3081 CVE-2019-11510 CVE-2021-22205 CVE-2021-3199 CVE-2023-22894

شاخص‌های نفوذ و منابع فنی
آژانس‌ها فایل‌های شاخص‌های نفوذ (IOCs) را در قالب AA26-281A STIX JSON و AA26-281A STIX XML و پی‌دی‌اف گزارش منتشر کرده‌اند که برای شکار تهدید و بررسی شبکه در دسترس است.

توصیه‌های عملی (خلاصه و ترجمه‌شده از منبع)
- خدمات و پورت‌های استفاده‌نشده را غیرفعال کنید (مثلاً سرویس‌های پیکربندی خودکار، دسترسی از راه دور و پروتکل‌های اشتراک‌گذاری فایل).
- ورودی‌های کاربر در برنامه‌های وب را پاکسازی و محافظت کنید تا از حملات تزریق و XSS جلوگیری شود.
- سیاست‌های مدیریت هویت و دسترسی (ICAM) را پیاده‌سازی کنید و احراز هویت چندمرحله‌ای (MFA) را برای خدمات در دسترس فعال کنید.
- وصله‌ها و بروزرسانی‌های امنیتی را به‌موقع اعمال کنید تا احتمال سوءاستفاده از CVEهای شناخته‌شده کاهش یابد.
- هنگام شکار و تشخیص، رابط‌هایی که EBurst علیه آن‌ها اقدام می‌کند (مثلاً ECP، EWS، OWA، RPC، MAPI، ActiveSync و دیگران) را مدنظر قرار دهید و لاگ‌های مربوط به آن‌ها را پایش کنید.
- ارتباطات VPN غیرمعمول و نصب‌های SoftEther مشکوک را ردیابی و بررسی کنید.

خلاصه تحلیلی مستقل
ادغام ابزارهای اسکن خودکار با مجموعه‌ای از ابزارهای آماده و عملیات دستی، هزینهٔ اولیهٔ شکار را برای عامل تهدید کاهش و احتمال موفقیت حملات را افزایش می‌دهد؛ به‌خصوص زمانی که هدف‌ها شامل سرویس‌های ایمیلی و بسترهای وبی با پیکربندی نامناسب باشند. استفاده از نرم‌افزارهای مشروع (مانند SoftEther) برای پنهان‌سازی کانال‌های فرمان‌گذاری، تشخیص فعالیت‌ها را مشکل‌تر می‌کند و نیاز به تحلیل رفتارِ شبکه و انگیجمنت دقیق‌تر برای کشف نقاط دسترسی پنهان دارد. بنابراین ترکیبی از مدیریت آسیب‌پذیری، سخت‌سازی سطح دسترسی، پایش لاگ‌های ویژهٔ واسط‌های ایمیل/وب و اقدامات تشخیصی فعال (hunt) برای کاهش این تهدید ضروری است.

یادداشت
این مطلب ترجمه و بازنویسی گزارشی رسمی است و محتوای فنی بر اساس منبع اصلی تهیه شده است؛ از حدس و گمان پرهیز شده و نام‌های CVE همان‌گونه که در سند مرجع آمده حفظ شده‌اند.