تم اكتشاف سلالة جديدة من برامج الفدية متخصصة في سرقة معلومات تسجيل الدخول من متصفح Chrome

تم اكتشاف سلالة جديدة من برامج الفدية تسمى Qilin تستخدم تكتيكًا متطورًا نسبيًا وقابلًا للتخصيص بدرجة كبيرة لسرقة معلومات تسجيل الدخول إلى الحساب المخزنة في متصفح Google Chrome.

قام فريق البحث الأمني ​​الدولي Sophos X-Ops بمراقبة تقنيات حصاد بيانات الاعتماد أثناء الاستجابة للحادث الذي وقع في Qilin. ويظهر هذا تغييراً مثيراً للقلق في اتجاهات تشغيل سلالة برامج الفدية الخطيرة هذه.

نظرة عامة على عملية الهجوم

بدأ الهجوم الذي حللته باحثو Sophos ببرنامج Qilin الخبيث الذي نجح في الوصول إلى الشبكة المستهدفة باستخدام بيانات اعتماد مخترقة على بوابة VPN بدون مصادقة متعددة العوامل (MFA).

وقد تبع ذلك فترة 18 يومًا من "السبات" للبرامج الضارة، مما يشير إلى أن المتسللين ربما اشتروا حق الوصول إلى الشبكة من خلال وسيط الوصول الأولي (IAB). ومن الممكن أن يكون تشيلين قد أمضى وقتا في رسم خريطة الشبكة، وتحديد الأصول الرئيسية، وإجراء الاستطلاع.

بعد أول 18 يومًا، ينتقل البرنامج الضار أفقيًا إلى وحدات تحكم المجال ويعدل كائنات نهج المجموعة (GPOs) لتنفيذ البرنامج النصي PowerShell ('IPScanner.ps1') على جميع الأجهزة المسجلة في شبكة المجال.

يتم تنفيذ هذا البرنامج النصي بواسطة برنامج نصي دفعي ('logon.bat')، ويتم تضمينه أيضًا في GPO. تم تصميمه لجمع معلومات تسجيل الدخول المخزنة في Google Chrome.

تم تكوين البرنامج النصي الدفعي ليتم تشغيله (وتشغيل البرنامج النصي PowerShell) في كل مرة يقوم فيها المستخدم بتسجيل الدخول إلى جهازه. وبالتوازي مع ذلك، سيتم حفظ بيانات الاعتماد المسروقة على قسم "SYSVOL" تحت اسم "LD" أو "temp.log".

بعد إرسال الملفات إلى خادم القيادة والتحكم (C2) الخاص بـ Qilin، تم حذف النسخ المحلية وسجلات الأحداث ذات الصلة لإخفاء النشاط الخبيث. أخيرًا، تقوم Qilin بنشر حمولة برامج الفدية والبيانات المشفرة على الأجهزة المخترقة.

يتم أيضًا استخدام GPO آخر وملف أوامر منفصل ('run.bat') لتنزيل برامج الفدية وتنفيذها على جميع الأجهزة في المجال.

التعقيد في الدفاع

يشكل نهج Qilin فيما يتعلق ببيانات اعتماد Chrome سابقة مثيرة للقلق يمكن أن تجعل الحماية من هجمات برامج الفدية أكثر صعوبة.

نظرًا لأن GPO يتم تطبيقه على جميع الأجهزة في المجال، فإن كل جهاز تم تسجيل دخول المستخدم عليه يخضع لعملية جمع بيانات الاعتماد.

يعني هذا أن البرنامج النصي قادر على سرقة بيانات الاعتماد من جميع الأجهزة عبر النظام، طالما أن هذه الأجهزة متصلة بالنطاق ولديها مستخدم مسجل الدخول أثناء تشغيل البرنامج النصي.

وقد تسمح سرقة بيانات الاعتماد على نطاق واسع للمتسللين بشن المزيد من الهجمات، مما يؤدي إلى وقوع حوادث أمنية تمتد عبر منصات وخدمات متعددة، مما يجعل جهود الاستجابة أكثر صعوبة. ويشكل هذا أيضًا تهديدًا مستمرًا يستمر لفترة طويلة بعد حل حادثة الفدية.

يمكن للمؤسسات التخفيف من المخاطر من خلال تنفيذ سياسات صارمة لمنع تخزين الأسرار في متصفحات الويب. بالإضافة إلى ذلك، يعد تنفيذ المصادقة متعددة العوامل أمرًا أساسيًا لحماية الحسابات من الاستيلاء عليها، حتى في حالة تعرض بيانات الاعتماد للخطر.

وأخيرًا، قد يؤدي تطبيق مبادئ الحد الأدنى من الامتيازات وتقسيم الشبكة إلى إعاقة قدرة الجهة المهددة على الانتشار عبر شبكة معرضة للخطر بشكل كبير.