عامل تهدید (Threat Actor) موسوم به UAC-0099 که با روسیه همسو است، از یک بدافزار جدید در دسته‌ی سرقت اطلاعات (Infostealer) و تروجان دسترسی از راه دور (RAT) به نام ASHVEIN استفاده می‌کند. این بدافزار که توسعه‌دهندگانش آن را “TelemetryBrowser” می‌نامند، برای هدف قرار دادن کارکنان دولتی و نهادهای حساس طراحی شده است.
قابلیت‌های فنی و عملیاتی ASHVEIN
بدافزار ASHVEIN مجموعه‌ای از قابلیت‌های نظارتی و کنترل از راه دور را ارائه می‌دهد که شامل موارد زیر است:
- سرقت اعتبارنامه‌ها (Credentials) از مرورگرهای Chrome و Firefox.
- گرفتن اسکرین‌شات از صفحه نمایش با استفاده از GDI.
- جستجو و استخراج فایل‌ها از سیستم قربانی.
- اجرای دستورات از راه دور از طریق PowerShell Remote Shell.
- جمع‌آوری اثرانگشت سیستم (System Fingerprinting) و ارتباطات رمزنگاری شده با سرور C2.
یکی از ویژگی‌های متمایز این بدافزار، پنهان کردن دستورات عملیاتی در المان‌های نامرئی HTML است. همچنین، این عامل تهدید از مکانیزم‌های جایگزینی مانند GitHub-based dead drop resolver و روش‌های تحویل متنوعی از جمله DLL Sideloading، کانتینرهای VHD و دراپرهای اختصاصی .NET استفاده می‌کند.
تکامل ابزارها و ارتباط با گروه‌های APT
گزارش‌ها حاکی از آن است که UAC-0099 ممکن است به عنوان یک واسط دسترسی اولیه (Initial Access Broker) برای گروه Sandworm (یکی از خطرناک‌ترین گروه‌های APT روسیه) عمل کند. این گروه در سال‌های اخیر Arsenal بدافزاری خود را گسترش داده و از ابزارهای مبتنی بر PowerShell و Go به سمت باینری‌های کامپایل شده C# و فایل‌های محافظت شده با .NET Reactor تغییر مسیر داده است که در تصاویر استگانوگرافی (Steganographic images) پنهان می‌شوند.
روش‌های تحویل و فریب
این عامل تهدید از مهندسی اجتماعی پیشرفته‌ای استفاده می‌کند. برای مثال، یک فایل اجرایی به نام AnswerFromPolice را به کار می‌گیرد که حاوی یک سند Word جعلی است و خود را به عنوان پاسخ رسمی پلیس ملی معرفی می‌کند تا اعتماد کاربر را جلب کرده و بدافزار را در پس‌زمینه نصب کند.
تکنیک GuardBreaker برای دور زدن تحلیل‌های AI
یکی از یافته‌های جالب در تحلیل‌های اخیر، استفاده از تکنیکی به نام GuardBreaker است. در این روش، یک اسکریپت VBScript حاوی دستوراتی است که از مدل‌های زبانی بزرگ (LLM) می‌خواهد دستور ساخت سلاح هسته‌ای را ارائه دهند. هدف از این کار، تحریک مکانیزم‌های ایمنی (Safety Mechanisms) هوش مصنوعی است تا تحلیل‌گر AI از بررسی بقیه کد بدافزار باز بماند و عملیات تحلیل متوقف شود.
گسترش دامنه هدف‌ها
در حالی که هدف‌های اولیه این حملات سازمان‌های دولتی و نظامی بودند، اکنون مشاهده شده است که UAC-0099 دامنه عملیات خود را به اپراتورهای لجستیکی و زیرساخت‌های غیرنظامی گسترش داده است تا زنجیره تامین و شبکه‌های پشتیبانی را مختل یا رصد کند.
