یک ایمیل نزدیک‌تر به لبه: UNK_MassTraction و فیزیک بهره‌برداری

شرح خبر

از مه ۲۰۲۶، گروه تحقیقات تهدید Proofpoint یک خوشه تهدید مشکوک همسو با چین به نام UNK_MassTraction را رصد کرده است که سرورهای پست Roundcube متعلق به دانشکده‌های فیزیک و مهندسی دانشگاه‌های آمریکا و کانادا را مورد بهره‌برداری قرار می‌دهد. این کمپین‌ها از آسیب‌پذیری‌های n-day در Roundcube، از جمله CVE-2024-42009 و CVE-2023-2868، برای سرقت اعتبارنامه‌ها و نصب وب‌شل یا استقرار بک‌دور VShell در حافظه سرور استفاده می‌کنند. هدف اصلی، دانشکده‌هایی با پیوندهای امنیتی ملی یا نهادهایی هستند که در زمینه اخترفیزیک و فیزیک ذرات فعالیت می‌کنند. زنجیره آلودگی با اجرای JavaScript از طریق آسیب‌پذیری XSS آغاز می‌شود و سپس به سرقت اطلاعات احراز هویت و دسترسی به سرور پست می‌انجامد. ایمیل‌های مورد استفاده از فرستندگان به خطر افتاده و دامنه‌های با سیاست‌های سست DMARC بهره‌برداری می‌کنند. Proofpoint از مه ۲۰۲۶ خوشه تهدید UNK_MassTraction را تحت نظارت دارد که سرورهای Roundcube دانشگاه‌های آمریکا و کانادا را هدف قرار می‌دهد. این گروه از آسیب‌پذیری‌های XSS مانند CVE-2024-42009 برای اجرای JavaScript و سرقت اعتبارنامه‌ها استفاده می‌کند. زنجیره حمله شامل نصب وب‌شل یا بک‌دور VShell در حافظه سرور است. هدف اصلی دانشکده‌های فیزیک و مهندسی با پیوندهای امنیتی یا پژوهشی در اخترفیزیک هستند. ایمیل‌های آلوده از فرستندگان مخرب و دامنه‌های با DMARC ضعیف ارسال می‌شوند. فعالیت‌های این گروه شباهت‌هایی به کمپین‌های گزارش‌شده توسط Trellix دارد، اما Proofpoint نتوانسته آن‌ها را به UNK_MassTraction پیوند دهد. این حمله نشان‌دهنده افزایش هدف‌گیری زیرساخت‌های آموزشی و پژوهشی توسط گروه‌های همسو با دولت‌ها است. استفاده از آسیب‌پذیری‌های n-day در نرم‌افزارهای محبوب مانند Roundcube نشان می‌دهد که مهاجم‌ها به دنبال بهره‌برداری از نقاط ضعف شناخته‌شده اما هنوز اصلاح‌نشده هستند. علاوه بر این، زنجیره آلودگی پیچیده و چندمرحله‌ای این گروه، توانایی آن‌ها در اجتناب از تشخیص و حفظ دسترسی بلندمدت را برجسته می‌کند. سرقت اعتبارنامه‌ها و دسترسی غیرمجاز به سرورهای پست می‌تواند منجر به افشای اطلاعات حساس، اختلال در خدمات و آسیب به اعتبار سازمان‌ها شود. دانشگاه‌ها و نهادهای پژوهشی به‌ویژه در معرض خطر هستند، زیرا داده‌های ارزشمند و زیرساخت‌های حیاتی را در اختیار دارند. اگرچه این حمله به‌طور مستقیم ایران را هدف قرار نداده است، اما دانشگاه‌ها و نهادهای پژوهشی ایرانی که از نسخه‌های آسیب‌پذیر Roundcube استفاده می‌کنند، ممکن است در معرض خطر مشابهی قرار داشته باشند. این موضوع اهمیت به‌روزرسانی سیستم‌ها و اعمال سیاست‌های امنیتی قوی را برای سازمان‌های ایرانی برجسته می‌کند. این حمله نشان می‌دهد که آسیب‌پذیری‌های شناخته‌شده مانند XSS و مشکلات پاک‌سازی HTML در نرم‌افزارهای وب می‌توانند توسط مهاجم‌ها برای اجرای کدهای مخرب استفاده شوند. این موضوع اهمیت رعایت استانداردهای امنیتی و به‌روزرسانی منظم نرم‌افزارها را برای جلوگیری از چنین حملاتی نشان می‌دهد. این حمله توسط یک خوشه تهدید همسو با چین انجام شده است، که نشان‌دهنده رقابت‌های ژئوپلیتیکی در فضای سایبری است. هدف‌گیری دانشگاه‌ها و نهادهای پژوهشی با پیوندهای امنیتی ملی می‌تواند بخشی از استراتژی‌های جاسوسی یا سایبری دولت‌ها باشد. Proofpoint Threat Insight گروه تهدید همسو با چین، UNK_MassTraction، سرورهای پست دانشگاه‌های آمریکا و کانادا را با بهره‌برداری از آسیب‌پذیری‌های XSS هدف قرار داده است.

این صفحه خلاصه و تحلیل فارسی خبر را نمایش می‌دهد. نسخه کامل/اصلی از طریق لینک منبع در دسترس است.