فراتر از باج‌افزار: ردیابی روش‌های ثابت Storm-2570 در چندین اجرا
Microsoft گزارش می‌دهد که گروه همکار باج‌افزاری Storm-2570 در مراحل پسافرضیهِ نفوذ از ابزارها و روش‌های ثابت استفاده می‌کند و این الگو در اجراهای مرتبط با Qilin، DragonForce، Anubis و BERT دیده شده است. مایکروسافت راهنمایی‌هایی برای کشف و اخلال پیش از اجرای باج‌افزار ارائه کرده است.
خلاصه گزارش: طبق مطلب منتشرشده در Microsoft Security Blog، Storm-2570 یک گروه/همکار باج‌افزاری است که در اجرای حملات مختلف (از جمله مواردی که به باج‌افزارهای Qilin، DragonForce، Anubis و BERT مرتبط بوده‌اند) از مجموعه‌ای ثابت از ابزارها و روش‌های مرحلهٔ پس از نفوذ استفاده می‌کند. در این گزارش، مایکروسافت همچنین راهنمایی‌هایی برای مدافعان منتشر کرده تا بتوانند این فعالیت‌ها را قبل از استقرار باج‌افزار کشف و مختل کنند. اطلاعات این بازنویسی مستقیماً بر اساس پست اصلی Microsoft Security Blog است.
خلاصه تحلیلی (مستقل): اینکه یک بازیگر سایبری همواره روش‌ها و ابزارهای مشابهی را در چندین اجرای حمله به‌کار می‌برد، چند پیام مهم دارد:
- فرصت‌های کشف: ثبات در «tradecraft» به مدافعان امکان می‌دهد تا بر روی شاخص‌ها و رفتارهای مشترک متمرکز شوند و قوانین تشخیص رفتاری و هشدارهای مرحلهٔ پسافرضیه را توسعه دهند.
- پیشگیری پیش از رمزگذاری: تمرکز مایکروسافت بر تشخیص و اخلال «پیش از اجرای باج‌افزار» نشان می‌دهد که بیشترین ارزش در شناسایی زودهنگام و قطع زنجیرهٔ حمله است تا جلوگیری از رمزگذاری فایل‌ها.
- مدل همکار/اشتراک‌گذاری منابع: استفادهٔ یکسان از ابزارها بین اجراهای مرتبط با خانواده‌های مختلف باج‌افزار می‌تواند نشانهٔ مدل همکارانه یا بازاری برای زیرساخت‌ها باشد که نیاز به رصد مداوم زنجیرهٔ حمله دارد.
محدودیت‌ها و توصیه‌ها: خلاصهٔ ورودی محدود است و جزئیات فنی، شاخص‌های مشخص (IOCs) یا دستورالعمل‌های دقیق دفاعی در متن وارد نشده‌اند؛ برای پیاده‌سازی اقدامات فنی و جستجوی شاخص‌ها باید به پست کامل Microsoft Security Blog مراجعه و راهنمایی‌ها و بدافزارشناسی ارائه‌شدهٔ مایکروسافت را دنبال کرد.