چارچوب فرماندهی و کنترل (C2) موسوم به Falcon (یا XG)، یک ابزار پیچیده است که با اجرای JavaScript مخرب، مرورگر قربانیان را به کنترل در می‌آورد. عامل تهدید با تزریق مستقیم این کدها در پورتال‌های وب‌میل و اپلیکیشن‌های دولتی، بازدیدکنندگان این سایت‌ها را هدف قرار داده است.
مکانیسم عملکرد و کنترل مرورگر
این چارچوب به‌طور کامل در محیط مرورگر اجرا شده و از آن برای Sideload کردن افزونه‌های مخرب Chrome و سرقت اطلاعات حساس استفاده می‌کند. علاوه بر این، Falcon به عنوان مکانیزم توزیع برای یک Implant به نام Antino عمل می‌کند که از Microsoft OneDrive به عنوان کانال C2 خود بهره می‌برد.
تحلیل‌ها نشان می‌دهد که بین مارس و می ۲۰۲۶، نهادهای دولتی در یک کشور خاورمیانه و چهار کشور جنوب شرق آسیا هدف قرار گرفته‌اند. این حملات به‌طور خاص وزارت‌های امور خارجه، دفاع، کشور و سازمان‌های اجرای قانون را هدف قرار داده‌اند که نشان‌دهنده اهداف جمع‌آوری اطلاعات استراتژیک است.
ویژگی‌های عملیاتی پنل مدیریت
پنل مدیریت Falcon به‌گونه‌ای طراحی شده است که نیمه‌پنهان باقی بماند. در حالت عادی، صفحه نمایش داده شده کاملاً خالی است و هیچ رابط کاربری یا فرم ورودی ندارد. برای جلوگیری از بررسی‌های سریع، منوی راست‌کلیک از طریق یک listener جهانی غیرفعال شده است. فرم ورود تنها زمانی ظاهر می‌شود که کلید F9 سه بار متوالی فشار داده شود؛ هر کلید دیگری شمارنده را ریست می‌کند.
این چارچوب با NodeJS نوشته شده و دارای دو Listener است: یکی روی پورت TCP 8080 برای پنل مدیریت و دیگری روی پورت TCP 443 برای ارتباط با قربانیان. برای استتار بیشتر، در صفحه پیش‌فرض Listener قربانی، نسخه‌هایی از بازی‌های کلاسیک مانند Tetris یا Snake نمایش داده می‌شود.
ارتباطات و رمزنگاری
Falcon و چارچوب مشابهی به نام PeckBirdy شباهت‌های فنی گسترده‌ای دارند، از جمله ساختار URLها و پروتکل‌های ارتباطی. هر دو از AES برای رمزنگاری داده‌ها استفاده می‌کنند، اما Falcon یک کلید نشست (Session Key) را از طریق RSA با سرور مذاکره می‌کند.
ارتباطات بین Implant و سرور C2 از طریق WebSocket رمزنگاری شده با TLS برقرار می‌شود. در صورت عدم دسترسی به Web Crypto API مرورگر، سیستم به URL-encoding و Base64 تغییر وضعیت می‌دهد. فرآیند تبادل کلید در پنج مرحله انجام می‌شود که با ارسال کلید عمومی RSA توسط سرور آغاز شده و با رمزنگاری تمام تبادلات بعدی با AES-256-CBC به پایان می‌رسد.
افزونه‌های مخرب مرورگر
برای دستیابی به کنترل کامل، Falcon از افزونه‌های مرورگر استفاده می‌کند که خود را به عنوان یک PDF Reader (با نام PDF Viewer) معرفی می‌کنند. این افزونه‌ها دسترسی‌های گسترده‌ای (حدود ۴۰ مجوز) را درخواست می‌کنند که شامل دسترسی به رمزهای عبور ذخیره شده، کوکی‌ها و ترافیک شبکه مرورگر است.
- Proxying: مهاجم می‌تواند مرورگر قربانی را به عنوان یک Proxy Server استفاده کند. این قابلیت به عامل تهدید اجازه می‌دهد با استفاده از هویت و کوکی‌های قربانی، به منابع داخلی شبکه یا حساب‌های کاربری دسترسی پیدا کند (Session Hijacking).
- جایگزینی دانلودها: افزونه می‌تواند دانلودهای فایل را رهگیری کرده و آن‌ها را با فایل‌های مخرب جایگزین کند. برای مثال، دانلودهای اجرایی از دامنه‌های معتبری مانند google.com را به URLهای تحت کنترل مهاجم تغییر می‌دهد.
- رهگیری شبکه: با استفاده از Hook کردن توابع window.fetch و XMLHttpRequest، تمام درخواست‌های HTTP و پاسخ‌های JSON (از جمله پیام‌های Discord و Zalo) را استخراج می‌کند.
قابلیت‌های جاسوسی پیشرفته
این چارچوب دارای ماژول‌های تخصصی برای استخراج داده‌هاست:
- سرقت پیام‌های X/Twitter: یک ماژول اختصاصی برای استخراج پیام‌های مستقیم (DM) از پلتفرم X طراحی شده که از سیستم مختصات X و Y برای تشخیص پیام‌های ارسالی و دریافتی استفاده می‌کند.
- سرقت داده‌های Gmail: با استفاده از کوکی‌های نشست کاربر، لیست کاربران تایید شده را استخراج کرده و ایمیل‌ها را دانلود می‌کند.
- سرقت کلیپ‌بورد: یک Clipboard Hijacker تمام رویدادهای Copy و Paste را مانیتور کرده و می‌تواند طبق قوانین تعریف شده، شماره حساب‌ها یا آدرس کیف پول‌های ارز دیجیتال را جایگزین کند.
تحلیل نهایی
پیچیدگی طراحی Falcon در کنار برخی تناقضات در سبک کدنویسی (مانند استفاده همزمان از روش‌های قدیمی و مدرن برای بررسی پاسخ‌های HTTP)، احتمال استفاده از هوش مصنوعی (AI) در توسعه این بدافزار را تقویت می‌کند. این حملات با دقت بالایی شخصی‌سازی شده‌اند؛ برای مثال در یک مورد، از یک اعلان جعلی به‌روزرسانی Adobe Flash Player برای توزیع Implant Antino استفاده شده است.
