گروه هکری Pink سراغ شرکتها رفته
خلاصهٔ کاملتر
تو این گزارش که شرکت Unit 42 منتشرش کرده و با Cyber Security News به اشتراک گذاشته، یه گروه اخاذی تازه به اسم Pink معرفی شده که با کد خوشهای CL-CRI-1147 ردیابی میشه. این گروه سیویکم می ۲۰۲۶ سایت مخصوص لو دادن دادههاش رو راه انداخته و چندتا قربانی اولیه هم روش لیست کرده. نکتهی مهمش اینه که برخلاف خیلی از گروهها، اصلاً سراغ بدافزار سنتی نمیره.
روش اصلی Pink چیزیه به اسم vishing یا فیشینگ صوتی. مهاجم پشت تلفن خودش رو کارمند IT داخلی شرکت جا میزنه و طرف مقابل رو راضی میکنه که بره تو یه صفحهی جعلی و اطلاعات ورودش بهعلاوهی کد احراز هویت دومرحلهای رو وارد کنه. به گفتهی نویسنده همین که حمله روی اعتماد آدمها سواره نه روی یه باگ فنی، باعث میشه حتی سازمانهای خوبمحافظتشده هم آسیبپذیر باشن.
محققین میگن Pink احتمالاً به شبکهی بزرگتری به اسم Com وصله؛ یه جامعهی شلوول از مجرمهای سایبری که با کمپینهای تهاجمی مهندسی اجتماعی شناخته میشن. شباهت روشهاش هم به گروههای معروفی مثل Lapsus$، Scattered Spider و ShinyHunters زیاده. به ارزیابی تیم Google Threat Intelligence، این گروه شاید نسخهی تغییر اسمدادهی یه عملیات قدیمیتر باشه: بعد از بازنشسته شدن برند BlackFile تو می ۲۰۲۶، یه مدت کوتاه با اسم Redact کار کرده و حالا دوباره به اسم Pink سر و کلهش پیدا شده.
وقتی Pink به حساب یه کارمند دسترسی پیدا میکنه، سریع دستبهکار میشه. با همون ابزارهای اتوماسیون خود مایکروسافت، تو چند دقیقه فایلهای پوشههای OneDrive و SharePoint رو خالی میکنه. بعد با همون حسابهای هکشده، تو Microsoft Teams و ایمیل پیام داخلی میفرسته و یه مهلت تنگ ۷۲ ساعته برای پرداخت باج میذاره؛ چون پیام از داخل خود سازمان میاد، فشارش روی مدیرها خیلی واقعیتر و جدیتر حس میشه.
دلیل اینکه Pink انقدر بیسروصدا کار میکنه اینه که از حساب واقعی کارمند و ابزارهای رسمی مایکروسافت استفاده میکنه، برای همین بیشتر فایروالها و سیستمهای تشخیص نقطهی پایانی این فعالیت رو مشکوک نمیبینن. مهاجمها قربانی رو به دامنههای فیشینگ میکشونن و اونجا کوکیهای نشست رو میدزدن؛ با این کار دیگه به رمز هم احتیاج ندارن و احراز هویت دومرحلهای رو کامل دور میزنن. علاوه بر این از تکنیکهای fileless استفاده میکنن، یعنی بهجای ریختن فایل بزرگ روی هارد، با دستورهای کوچیک پیلود رو مستقیم تو حافظهی موقت سیستم میسازن تا آنتیویروسهایی که پوشه و درایو رو اسکن میکنن چیزی پیدا نکنن. کدشون حتی محیط رو چک میکنه و اگه بفهمه تو یه سندباکس تحلیل امنیتیه، رفتارش رو خاموش میکنه تا لو نره.
برای دفاع، کارشناسها یه رویکرد آدممحور پیشنهاد میدن. کارمندها باید یاد بگیرن قبل از اجرای دستورِ هر تماس IT غیرمنتظره، خودشون مستقل اون رو راستیآزمایی کنن، مخصوصاً وقتی ازشون میخوان روی یه لینک برن یا رمز وارد کنن. تیم پشتیبانی هم باید روشهای سفتوسخت تأیید هویت داشته باشه که با فشار اجتماعی دور زده نشه. از نظر فنی هم توصیه شده سازمانها از کد یکبارمصرف ساده برن سراغ روشهای مقاوم در برابر فیشینگ مثل کلیدهای سختافزاری FIDO2، اسپایکهای غیرعادی دانلود فایل تو فضای ابری رو رصد کنن، مجوزهای OAuth و دسترسی API رو مرور کنن و دامنههای فیشینگ شناختهشدهی Pink رو ببندن.
نکات کلیدی:
- گروه اخاذی Pink با کد CL-CRI-1147 بهجای بدافزار با فیشینگ صوتی (vishing) به شرکتها حمله میکنه
- مهاجم خودش رو IT داخلی جا میزنه و رمز و کد دومرحلهای رو با صفحهی جعلی میدزده
- با دزدیدن کوکی نشست، احراز هویت دومرحلهای کامل دور زده میشه
- با ابزارهای خود مایکروسافت، فایلهای OneDrive و SharePoint سریع خالی میشن و سر ۷۲ ساعت باج خواسته میشه
- استفاده از حساب واقعی و تکنیک fileless باعث میشه ابزارهای امنیتی فعالیت رو نبینن
- دفاع: راستیآزمایی تماسهای IT، کلیدهای FIDO2، رصد دانلودهای ابری و مرور مجوزهای OAuth
