حمله سایبری جدید : آسیب‌پذیری‌های روز صفر Ivanti هدف بدافزار MDifyLoader

به گزارش زوم تک از هکر نیوز، محققان امنیت سایبری جزئیات یک بدافزار جدید به نام MDifyLoader را فاش کرده‌اند که در ارتباط با حملات سایبری مشاهده شده است. این حملات از آسیب‌پذیری‌های امنیتی در دستگاه‌های Ivanti Connect Secure (ICS) سوءاستفاده می‌کنند.
بر اساس گزارشی که امروز توسط JPCERT/CC منتشر شد، عوامل تهدیدکننده پشت پرده بهره‌برداری از آسیب‌پذیری‌های CVE-2025-0282 و CVE-2025-22457 در نفوذهایی که بین دسامبر ۲۰۲۴ تا جولای ۲۰۲۵ مشاهده شده‌اند، این آسیب‌پذیری‌ها را برای انتشار MDifyLoader به کار گرفته‌اند. سپس از این بدافزار برای راه‌اندازی Cobalt Strike در حافظه استفاده می‌شود.

CVE-2025-0282 یک نقص امنیتی بحرانی در ICS است که می‌تواند امکان اجرای کد از راه دور بدون احراز هویت را فراهم کند. این مشکل توسط ایوانتی در اوایل ژانویه ۲۰۲۵ برطرف شد. CVE-2025-22457 که در آوریل ۲۰۲۵ وصله شد، مربوط به یک سرریز بافر مبتنی بر پشته است که می‌تواند برای اجرای کد دلخواه مورد سوءاستفاده قرار گیرد.

با وجود اینکه هر دو آسیب‌پذیری به عنوان روز صفر در طبیعت مورد سوءاستفاده قرار گرفته‌اند، یافته‌های قبلی JPCERT/CC در آوریل نشان داده بود که اولین مورد از این دو مشکل برای انتشار خانواده‌های بدافزاری مانند SPAWNCHIMERA و DslogdRAT مورد سوءاستفاده قرار گرفته بود.

نحوه عملکرد MDifyLoader و Cobalt Strike

آخرین تحلیل حملات شامل آسیب‌پذیری‌های ICS، استفاده از تکنیک‌های بارگذاری جانبی DLL (DLL side-loading) را برای راه‌اندازی MDifyLoader نشان داده است. این بدافزار شامل یک payload رمزگذاری شده Cobalt Strike است. این payload به عنوان نسخه ۴.۵ شناسایی شده است که در دسامبر ۲۰۲۱ منتشر شد.

یاما ماسوبوچی، محقق JPCERT/CC، گفت: «MDifyLoader یک بارگذار است که بر اساس پروژه منبع باز libPeConv ساخته شده است. MDifyLoader سپس یک فایل داده رمزگذاری شده را بارگذاری می‌کند، Cobalt Strike Beacon را رمزگشایی می‌کند و آن را در حافظه اجرا می‌کند.»

استفاده از ابزارهای بومی و ابزارهای اسکن شبکه

همچنین از یک ابزار دسترسی از راه دور مبتنی بر زبان Go به نام VShell و یک ابزار اسکن شبکه منبع باز دیگر که به زبان Go نوشته شده و Fscan نام دارد، استفاده شده است. قابل ذکر است که هر دو برنامه در ماه‌های اخیر توسط گروه‌های هکری چینی مختلف به کار گرفته شده‌اند.

Fscan با استفاده از یک بارگذار اجرا می‌شود که به نوبه خود با استفاده از بارگذاری جانبی DLL راه‌اندازی می‌شود. بارگذار DLL مخرب بر اساس ابزار منبع باز FilelessRemotePE است.

JPCERT/CC اعلام کرد: «VShell مورد استفاده دارای قابلیتی برای بررسی اینکه آیا زبان سیستم روی چینی تنظیم شده است یا خیر، بود. مهاجمان بارها در اجرای VShell ناموفق بودند و تأیید شد که هر بار نسخه جدیدی را نصب کرده و دوباره اقدام به اجرا می‌کردند. این رفتار نشان می‌دهد که تابع بررسی زبان، که احتمالاً برای آزمایش داخلی در نظر گرفته شده بود، در طول استقرار فعال باقی مانده است.»

تاکتیک‌های پس از نفوذ و حفظ دسترسی

گفته می‌شود پس از به دست آوردن جای پا در شبکه داخلی، مهاجمان حملات بروت فورس (brute-force) را علیه سرورهای FTP، MS-SQL و SSH انجام داده و از EternalBlue SMB exploit (MS17-010) در تلاش برای استخراج اعتبارنامه‌ها و حرکت جانبی در شبکه استفاده کرده‌اند.

ماسوبوچی گفت: «مهاجمان حساب‌های دامنه جدیدی ایجاد کرده و آنها را به گروه‌های موجود اضافه کرده‌اند و به این ترتیب حتی در صورت ابطال اعتبارنامه‌های قبلی، امکان حفظ دسترسی را فراهم کرده‌اند.»

«این حساب‌ها با عملیات عادی ترکیب می‌شوند و امکان دسترسی طولانی مدت به شبکه داخلی را فراهم می‌کنند. علاوه بر این، مهاجمان بدافزار خود را به عنوان یک سرویس یا یک زمان‌بند وظیفه ثبت کرده‌اند تا تداوم (persistence) خود را حفظ کنند و اطمینان حاصل کنند که بدافزار هنگام راه‌اندازی سیستم یا در صورت وقوع رویدادهای خاص اجرا خواهد شد.»