مكتب التحقيقات الفيدرالي وCISA يحذران من سرقة بيانات الاعتماد Androxgh0st Botnet

بينكا هريستوفسكا
تحديث في: ٣ فبراير ٢٠٢٤

قالت وكالات الإنترنت الأمريكية يوم الثلاثاء إن المتسللين الذين يقفون وراء البرنامج الخبيث Androxgh0st يقومون بإنشاء شبكة روبوت قادرة على سرقة بيانات الاعتماد السحابية من المنصات الرئيسية.

أصدرت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) ومكتب التحقيقات الفيدرالي (FBI) تقريرًا استشارة مشتركة بناءً على نتائج التحقيقات الجارية حول الاستراتيجيات التي يستخدمها المتسللون باستخدام البرامج الضارة.

تم تحديد هذه البرامج الضارة لأول مرة في ديسمبر 2022 بواسطة Lacework Labs.

ووفقا للوكالات، يستخدم المتسللون Androxgh0st لإنشاء شبكة الروبوتات “للتعرف على الضحايا واستغلالهم في الشبكات المستهدفة”. تبحث شبكة الروبوتات عن ملفات ‎.env، والتي غالبًا ما يستهدفها مجرمو الإنترنت لأنها تحتوي على بيانات اعتماد ورموز مميزة. وقالت الوكالات إن بيانات الاعتماد هذه تأتي من "تطبيقات رفيعة المستوى"، مثل Microsoft Office 365 وSendGrid وAmazon Web Services وTwilio.

وأوضح مكتب التحقيقات الفيدرالي وCISA: "تدعم البرامج الضارة Androxgh0st أيضًا العديد من الوظائف القادرة على إساءة استخدام بروتوكول نقل البريد البسيط (SMTP)، مثل مسح واستغلال بيانات الاعتماد المكشوفة وواجهات برمجة التطبيقات (APIs)، ونشر غلاف الويب".

يتم استخدام البرامج الضارة في حملات تهدف إلى تحديد واستهداف مواقع الويب التي تحتوي على نقاط ضعف معينة. يستخدم الروبوت إطار عمل Laravel، وهو أداة لتطوير تطبيقات الويب، للبحث عن مواقع الويب. بمجرد العثور على مواقع الويب، يحاول المتسللون تحديد ما إذا كان يمكن الوصول إلى ملفات معينة وما إذا كانت تحتوي على بيانات اعتماد.

تشير نصائح CISA وFBI إلى ثغرة أمنية حرجة تم تصحيحها منذ فترة طويلة في Laravel، تم تحديدها باسم CVE-2018-15133، والتي تستغلها شبكة الروبوتات للوصول إلى بيانات الاعتماد، مثل أسماء المستخدمين وكلمات المرور لخدمات مثل البريد الإلكتروني (باستخدام SMTP) وحسابات AWS.

وجاء في التحذير: "إذا حصلت الجهات الفاعلة في مجال التهديد على بيانات اعتماد لأي خدمات... فقد تستخدم بيانات الاعتماد هذه للوصول إلى البيانات الحساسة أو تستخدم هذه الخدمات لإجراء عمليات ضارة إضافية".

"على سبيل المثال، عندما تنجح الجهات الفاعلة في التهديد في تحديد بيانات اعتماد AWS واختراقها من موقع ويب ضعيف، فقد لوحظ أنها تحاول إنشاء مستخدمين وسياسات مستخدم جديدة. بالإضافة إلى ذلك، تمت ملاحظة الجهات الفاعلة Andoxgh0st وهي تقوم بإنشاء مثيلات AWS جديدة لاستخدامها في إجراء نشاط مسح إضافي.

• محتوى مدعوم من تحسين محركات البحث وتوزيع العلاقات العامة. تضخيم اليوم.
• PlatoData.Network Vertical Generative Ai. تمكين نفسك. الوصول هنا.
• أفلاطونايستريم. ذكاء Web3. تضخيم المعرفة. الوصول هنا.
• أفلاطون كربون، كلينتك ، الطاقة، بيئة، شمسي، إدارة المخلفات. الوصول هنا.
• أفلاطون هيلث. التكنولوجيا الحيوية وذكاء التجارب السريرية. الوصول هنا.
• المصدر https://www.safetydetectives.com/news/fbi-cisa-warn-against-credential-stealing-androxgh0st-botnet/