بدافزار StealC که پیش‌تر هدف عملیات گسترده Europol قرار گرفته بود، اکنون با نام جدید Stadia بازگشته است. این ابزار که یک تروجان دسترسی از راه دور (Remote Access Trojan یا RAT) ماژولار است، قابلیت‌های StealC را گسترش داده و آن را به پلتفرمی برای کنترل مداوم و پایداری در نقاط انتهایی (Endpoint control) تبدیل کرده است.
قابلیت‌ها و ماژول‌های Stadia
بر اساس تحقیقات Varonis Threat Labs، این بدافزار شامل شش ماژول اصلی است که به مهاجم اجازه می‌دهد کنترل کاملی بر سیستم قربانی داشته باشد:
- HVNC: فراهم کردن دسترسی پنهان به دسکتاپ (Hidden Virtual Network Computing) برای تعامل با سیستم بدون اطلاع کاربر.
- Stealer: سرقت اطلاعات از بیش از ۵۰ مرورگر، ۱۲۰ افزونه ارز دیجیتال و ۵۰ کیف پول دسکتاپ.
- Remote CMD: اجرای دستورات از راه دور.
- Loader: بارگذاری پی‌لودهای (Payload) مختلف شامل EXE، PowerShell، CMD و MSI.
- File Explorer: مدیریت و دسترسی به فایل‌ها.
- Process Manager: مدیریت فرآیندهای سیستم.
تحلیل فنی و روش‌های بقا (Persistence)
بدافزار Stadia برای پنهان ماندن از سیستم‌های امنیتی از تکنیک‌های پیشرفته‌ای استفاده می‌کند. این بدافزار پس از نصب، در مسیرهای تصادفی در C:ProgramData قرار می‌گیرد و از نام‌های جعلی مانند GoogleUpdate.exe یا MicrosoftEdgeUpdate.exe استفاده می‌کند. همچنین، Stadia یک تسک زمان‌بندی شده (Scheduled Task) ایجاد می‌کند که برای مدت ۳۶۵۰ روز فعال باقی می‌ماند تا اطمینان حاصل شود که بدافزار در هر بار ورود کاربر به سیستم، مجدداً اجرا می‌شود.
یکی از نکات بسیار مهم برای تیم‌های SOC، قابلیت Stadia در استفاده از PowerShell برای افزودن مسیر نصب خود به لیست استثناهای (Exclusions) Microsoft Defender است که باعث می‌شود بدافزار از شناسایی توسط آنتی‌ویروس پیش‌فرض ویندوز در امان بماند.
شاخص‌های آلودگی (IoCs)
کارشناسان امنیتی برای شناسایی این تهدید، موارد زیر را توصیه می‌کنند:
- SHA-256: ea928494fd30d88b98141d39a502a4324889fb732e74b44bfee12c72137dd73e
- آدرس‌های C2:
93.152.213.215
91.92.43.45
193.148.56.97
تیم‌های دفاعی باید فایل‌های آپدیت مشکوک در مسیر ProgramData را بررسی کرده و ارتباطات شبکه با IPهای مذکور را رصد کنند.
