مهاجمان فعالیت بدافزار را از طریق CDN های محبوب هدایت می کنند

Netskope در گزارش خود گفت که مهاجمان از سرویس‌ها و برنامه‌های کاربردی ابری پرکاربرد برای ارائه بدافزار سوء استفاده می‌کنند و فعالیت‌های پس از آلودگی بدافزار را با مسیریابی آنها روی پورت‌های شبکه مشترک و شبکه‌های تحویل محتوا (CDN) و ارائه‌دهندگان ابری مخفی می‌کنند. آخرین "گزارش ابر و تهدید" این گزارش اطلاعاتی در مورد تهدیدات بدافزار فعال علیه کاربران سازمانی ارائه می دهد. به طور متوسط، از هر 1,000 کاربر سازمانی، پنج نفر در سه ماهه اول سال 2023 اقدام به دانلود بدافزار کردند.

پس از اینکه بدافزار یک ماشین قربانی را آلوده کرد، یک کانال ارتباطی با سرور اصلی خود ایجاد می کند تا بارهای بدافزار اضافی را دانلود کند، دستورات را اجرا کند و داده ها را استخراج کند. مهاجمان به طور فزاینده ای ارتباطات بدافزار را از طریق آدرس های IP متعلق به CDN های معروف و ارائه دهندگان خدمات ابری، در درجه اول Akamai و Cloudflare، مسیریابی می کنند. خدمات وب آمازون، Microsoft Azure و Limelight نیز معمولا مورد سوء استفاده قرار می گیرند.

این گزارش اشاره می‌کند که تنها بخش کوچکی از کل دانلودهای بدافزار وب با روش‌هایی که به‌عنوان خطرناک شناخته شده‌اند، مانند دامنه‌های ثبت‌شده جدید و سایت‌های دسته‌بندی نشده، تحویل داده شده است.

این شرکت گزارش می دهد که در سه ماهه اول، 72 درصد از کل دانلودهای بدافزار شناسایی شده توسط Netskope جدید بوده است. مهاجمان بدافزار ارائه شده با سوء استفاده از سرویس‌ها و برنامه‌های پرکاربرد، مانند OneDrive، SharePoint، سطل‌های Amazon S3، GitHub، Weebly، Dropbox، Google Drive، Box، سرویس جی‌میل Google، و Azure Blob Storage. به گفته نتسکوپ، مهاجمان در سه ماهه اول از ۲۶۱ اپلیکیشن مجزا برای دانلود بدافزار استفاده کرده اند.

تیم Netskope می‌گوید: «برنامه‌های ابری معمولاً به‌عنوان شکلی از مهندسی اجتماعی مورد سوء استفاده قرار می‌گیرند، جایی که مهاجمان از ویژگی‌های برنامه آشنا برای قربانیان استفاده می‌کنند تا آنها را برای دانلود بدافزار ترغیب کنند.