تکامل بدافزار MATCHBOIL: افزودن قابلیت‌های ضد-سندباکس و ارتباطات مداوم با C2

بدافزار MATCHBOIL که پیش‌تر به عنوان یک Downloader ساده بر پایه C# شناخته می‌شد، اکنون به یک Implant پیچیده‌تر و گریزپذیرتر تبدیل شده است که از ارتباطات بازگشتی با سرورهای فرماندهی و کنترل (C2) پشتیبانی می‌کند.

تحلیل عامل تهدید و اهداف

این بدافزار توسط عامل تهدید (Threat Actor) موسوم به UAC-0099 مدیریت می‌شود. بر اساس تحلیل‌های شرکت ESET، این گروه با اطمینان متوسط با منافع روسیه همسو است و احتمالاً نقش فراهم‌کننده دسترسی اولیه (Initial Access) برای گروه Sandworm را ایفا می‌کند. اهداف اصلی این حملات شامل سازمان‌های دولتی، مؤسسات مالی، رسانه‌ها و شرکت‌های فعال در بخش حمل‌ونقل و انرژی در اوکراین بوده است.

تکنیک‌های گریزپذیری و پنهان‌سازی

در نسخه‌های جدید MATCHBOIL، تغییرات قابل‌توجهی برای دور زدن سیستم‌های تحلیل خودکار و Sandbox اعمال شده است:

• بررسی وضعیت سیستم: بدافزار با تحلیل Event ID 6013 در Windows System، زمان فعال بودن سیستم (Uptime) را بررسی می‌کند. اگر حداقل سه رویداد با زمان فعال بودن ۷۲۰۰ ثانیه یا بیشتر یافت شود، محیط برای اجرای کد مخرب مناسب تشخیص داده می‌شود.
• تشخیص دیباگر: استفاده از دستور Debugger.IsAttached برای شناسایی محیط‌های تحلیل پیش از شروع عملیات C2.
• مبهم‌سازی (Obfuscation): مهاجمان از ابزار تجاری .NET Reactor برای پیچیده کردن فرآیند مهندسی معکوس (Reverse Engineering) استفاده کرده‌اند.
• رابط‌های فریبنده: برای پنهان کردن فعالیت‌های مخرب، بدافزار از آرگومان‌های خاص (مانند -auto، -plans و -renew) استفاده می‌کند. در صورت نبود این آرگومان‌ها، کاربر به جای بدافزار، یک برنامه ساده برنامه‌ریز روزانه (Daily Planner) یا ابزار جستجوی متن را مشاهده می‌کند.

مکانیسم سرایت و پایداری

سرایت معمولاً از طریق لینک‌های Spearphishing آغاز می‌شود که آرشیوهای حاوی VBScript را منتقل می‌کنند. پس از اجرای اسکریپت، بدافزار MATCHBOIL دانلود شده و سپس یک Backdoor به نام MATCHWOK را نصب می‌کند.

برای ایجاد پایداری (Persistence)، این بدافزار از روش‌های زیر استفاده می‌کند:

• ایجاد Scheduled Tasks (مانند UpdateCheckersDailyPlanner یا MailClientChecker).
• تغییر در ورودی‌های Registry.

زیرساخت C2 و ارتباطات

مدل ارتباطی بدافزار از حالت تک‌بار (One-shot) به مدل بازیابی دوره‌ای تغییر یافته است تا امکان دریافت Payloadهای به‌روزرسانی شده فراهم شود. زیرساخت C2 بر روی VPSهای مختلف مستقر شده و برای پنهان‌سازی از Cloudflare و گواهینامه‌های Let’s Encrypt استفاده می‌کند. برخی از دامنه‌های شناسایی شده عبارتند از:

• virtualdailyplanner[.]pro
• telemetry-conf[.]com
• flycloud-service[.]com