محققای S-RM یه گزارشی منتشر کردن و اعلام کردن که رفع آسیب پذیری های حیاتی در حملات ممکنه کافی نباشه. علت این امر هم بررسی حملات باج افزار Lorenz هستش.
این گروه یه هفته قبل از اصلاح آسیب پذیری CVE-2022-29499 ، به سیستم هدف دسترسی گرفتن و یک بکدور در سیستم قرار دادن.
این گروه با استفاده از این آسیب پذیری ، بکدورشون رو در یه فایل بنام twitter_icon_<randomstring>.php و در یه مکان قانونی \shoretel\wc2_deploy\themes\ قرار دادن.
بعد از 5 ماه شروع به حرکات جانبی ، سرقت داده و رمزگذاری داده های قربانی از طریق استفاده از این بکدور نمودن.
وقتی حمله اصلی رخ داده ، هیچ آسیب پذیری تو سیستم نبوده و گروه بعد از 5 ماه ، ظرف 48 ساعت ، باج افزارو رو سیستم های قربانی مستقر کردن.
محققا گفتن به دلیل غیرفعال بودن طولانی دسترسی، ممکنه این گروه این دسترسی رو از یه واسط خریده.
محققا گفتن که بازیگران تهدید با گزارش آسیب پذیری های جدید ، اینترنت رو برای کشف و حمله به اونا بررسی میکنن و بعد از گرفتن دسترسی اولیه ، اونارو نگه میدارن تا در یه فرصت مناسب حمله اصلی رو روشون پیاده کنن.
به همین دلیل توصیه شده علاوه بر اصلاح آسیب پذیری های حیاتی ، محیط هم بررسی بشه تا احتمال سوء استفاده و دسترسی اولیه در صورت وجود ، شناسایی و رفع بشه.