مرکز مدیریت راهبردی افتا پس از بررسی یکی از حمله‌های باج‌افزاری که اخیرا به زیرساخت‌های مهم کشور انجام شد، گزارشی را در این زمینه منتشر کرد. این گزارش نشان می‌دهد که مبدا اصلی حمله اخیر باج افزاری، اجرای یک کد Powershell از روی یکی از سرورهای کنترل‌گر دامنه یا DC بوده است.
در پی بروز این حمله باج افزاری در یکی از زیرساخت‌های حیاتی در ماه گذشته، تیم پاسخ به حادثه مرکز مدیریت راهبردی افتای ریاست جمهوری ضمن حضور در محل این سازمان و بررسی شواهد حادثه، به کمک کارشناسان همان سازمان، اقدامات لازم را برای مدیریت حادثه انجام داده است.
اقدامات مهاجمین به گونه‌ای بود که بعضی از فایل‌های موجود در اکثر کلاینت‌ها و سرورهای متصل به دامنه، دچار تغییر شده‌اند. به نحوی که برخی از فایل‌ها فقط پسوندشان تغییر یافته، برخی دیگر فقط بخشی از فایل و بعضی دیگر به‌طور کامل رمز شده‌اند.
بررسی‌های اولیه در آزمایشگاه مرکز افتا نشان می‌دهد که مبدا اصلی حملات، اجرای یک کد پاورشل از روی یکی از سرورهای DC سازمان بوده است. اما هنوز نحوه نفوذ به این سرورها مشخص نیست ولی شواهدی مبنی بر سوءاستفاده از آسیب‌پذیری Zero logon در سرورها وجود دارد.
این حمله به‌صورت File-less انجام شده و در حقیقت هیچ فایلی روی سیستم‌های قربانیان اجرا نشده و تمام عملیات مخرب توسط اجرای یک کد پاورشل از راه دور انجام شده است.
مهاجمان سایبری تنها بخشی از فایل‌ها را رمزگذاری کرده و همین فایل‌ها را در کمترین زمان تخریب کرده‌اند. البته مهاجمان برای جلوگیری از ایجاد اختلال در عملکرد خود سیستم‌عامل، بخشی از فایل‌ها و مسیرهای خاص را در فرایند رمزگذاری درنظر نگرفته‌اند.
در این حمله باج افزاری، به دلایل مختلف همچون عدم جلوگیری از فرایند رمزگذاری، چند برنامه کاربردی حذف و یا غیرفعال و برای جلوگیری از بازگرداندن فایل‌های قربانی، Shadow-Copy و Restore-Point سامانه مربوط، پاک شده است.
مهاجمین در پوشه‌هایی که فایل‌های آن رمزنگاری شده‌اند، فایلی را به نام Readme.READ ایجاد کردند که حاوی آدرس‌های ایمیل آنهاست.
روش‌های مقابله با حمله باج افزاری
کارشناسان واحد امداد مرکز مدیریت راهبردی افتا، برای مقابله با حمله باج افزارها توصیه می‌کنند حتما کلاینت‌های کاری پس از اتمام ساعات کاری خاموش شوند و اتصال پاور آن‌ها قطع شود.
غیرفعال کردن اجرای کد از راه دور با ابزارهایی مانند Powershell/PsExec و همچنین سیگنال WoL یا Wake-on-LAN در BIOS/UEFI از دیگر توصیه‌های امنیتی برای مقابله با این گونه باج‌افزارها عنوان شده است.
کارشناسان واحد امداد افتا همچنین از مسوولان و کارشناسان آی‌تی، خواسته‌اند تا برای جلوگیری از ارسال فرمان WOL در شبکه، پورت‌های ۷ و ۹ UDP را ببندند. برای جلوگیری از سوءاستفاده بدافزارها، حمله باج افزارها، مقاوم‌سازی و به‌روزرسانی سرویس‌های AD و DC توصیه می‌شود و برای شناسایی هرگونه ناهنجاری، به‌صورت دوره‌ای باید، لاگ‌های ویندوز بررسی شوند.
پشتیبان‌گیری منظم و انتقال فایل‌های پشتیبان را به خارج از شبکه، از دیگر راه‌های مقابله با هر نوع باج‌افزاری است و لازم است مسوولان و کارشناسان آی‌تی زیرساخت‌های کشور، همه این توصیه‌ها را به دقت انجام دهند.
مشروح بررسی تحلیلی و فنی این حمله باج افزار به همراه مستندات لازم، در سایت مرکز افتا منتشر شده است.