تحلیل‌های اخیر نشان می‌دهد که عوامل تهدید (Threat Actors) در حالی که دامنه‌های فریبنده، فضای ذخیره‌سازی ابری و کانال‌های فرمان و کنترل (C2) خود را به سرعت تغییر می‌دهند، اما از یک زیرساخت ثابت برای توزیع صفحات جعلی تایید هویت استفاده می‌کنند: شبکه‌های میزبانی مقاوم یا Bulletproof Hosting.
تحلیل زیرساختی و نقش ASN
در طی پنج ماه نظارت، چهار زنجیره مجزای توزیع بدافزار شناسایی شدند که همگی به AS202412 (تحت مدیریت OMEGATECH LTD) متصل بودند. این موضوع نشان می‌دهد که مسدود کردن یک ASN (Autonomous System Number) بسیار موثرتر از مسدود کردن دامنه‌های تک‌تک است، زیرا دامنه‌ها ارزان و قابل جایگزینی هستند، اما تغییر زیرساخت میزبانی برای مهاجمان دشوارتر است.
تکنیک ClickFix و مهندسی اجتماعی
مهاجمان از تکنیکی به نام ClickFix استفاده می‌کنند. در این روش، کاربر با صفحات جعلی CAPTCHA یا تاییدیه Cloudflare مواجه می‌شود. این صفحات یک دستور مخرب را به‌طور خودکار در کلیپ‌بورد (Clipboard) کاربر قرار داده و او را ترغیب می‌کنند تا کلیدهای Windows+R را فشار داده، محتوا را Paste کرده و آن را اجرا کند.
- دور زدن کنترل‌ها: این روش از ارسال فایل‌های ضمیمه مخرب اجتناب کرده و ابزارهای امنیتی که بر دانلود فایل‌ها یا لینک‌های مشکوک متمرکز هستند را دور می‌زند.
- سوءاستفاده از ابزارهای سیستم: قربانی با اجرای دستور در محیط Run، ابزارهای قانونی ویندوز مانند PowerShell، mshta یا curl را برای اجرای کد مخرب به کار می‌گیرد.
پیچیدگی در توزیع و C2
تحقیقات نشان می‌دهد که مهاجمان برای پیچیدگی بیشتر، از روش‌های متنوعی استفاده می‌کنند:
- S3 Buckets: استفاده از فضای ذخیره‌سازی آمازون برای بارگذاری اسکریپت‌های مرحله اول.
- Blockchain RPC: بازیابی آدرس C2 از طریق قراردادهای هوشمند (Smart Contracts) در بلاک‌چین برای حذف وابستگی به DNS.
- تزریق JavaScript: نفوذ به وب‌سایت‌های قانونی و تزریق کدهای JS که کاربر را به زیرساخت AS202412 هدایت می‌کند، بدون اینکه آدرس بار مرورگر تغییری کند.
توصیه‌های فنی برای تیم‌های SOC و CISO
با توجه به اینکه لیست‌های سیاه (Blocklists) ایستا به سرعت قدیمی می‌شوند، توصیه‌های زیر ارائه می‌گردد:
1. مسدودسازی در سطح ASN: بررسی وابستگی‌های تجاری و در صورت عدم نیاز، مسدود کردن کامل AS202412. استفاده از APIهای RIPEstat برای رصد تغییرات Prefixهای این شبکه توصیه می‌شود.
2. شناسایی الگوهای اجرا (Execution Patterns): به جای تکیه بر Hash بدافزار، بر روی سیگنال‌های زیر تمرکز کنید:
— اجرای مفسرهای دستور (Command Interpreters) توسط مرورگر.
— اجرای خط لوله‌های (Pipelines) PowerShell یا curl از طریق Explorer.
— اجرای Runtimeهای امضا شده مانند Node.js یا Python از مسیر %LOCALAPPDATA%.
3. تحلیل RunMRU: بررسی ورودی‌های RunMRU در رجیستری ویندوز برای شناسایی سوءاستفاده از دستورات سیستمی.
