عامل‌های تهدید با استفاده از ابزارهای مبتنی بر هوش مصنوعی (AI)، در حال ارتقای سطح عملیات‌های خود و تسریع در استقرار زیرساخت‌های حمله هستند. تحلیل‌های فنی از یک کمپین چندمرحله‌ای توسط یک عامل تهدید روسی‌زبان پرده برداشته است که از مجموعه‌ای از ابزارهای پیشرفته برای نفوذ و کنترل سیستم‌ها استفاده می‌کند.
زنجیره حمله (Attack Chain)
این عملیات از یک زنجیره پیچیده شامل سه مرحله اصلی تشکیل شده است:
- XaocMail: یک پلتفرم فیشینگ که برای ارسال ایمیل‌های فریبنده با استفاده از تکنیک ClickFix طراحی شده است.
- Phantom53: یک چارچوب فرماندهی و کنترل (C2) مخفی که از پروتکل DNS-over-HTTPS (DoH) برای پنهان‌سازی ترافیک استفاده می‌کند.
- Havoc: یک چارچوب Post-exploitation که پس از نفوذ اولیه، به صورت On-demand برای کنترل کامل سیستم بارگذاری می‌شود.
زیرساخت فیشینگ و تکنیک ClickFix
پلتفرم XaocMail با تولید قالب‌های شخصی‌سازی شده برای هر قربانی، ایمیل‌هایی حاوی لینک‌های اشتراک‌گذاری سند (مانند Google Docs یا Office365) ارسال می‌کند. این لینک‌ها کاربر را به صفحات فرود (Landing Pages) مبتنی بر Cloudflare Workers هدایت می‌کنند که از تکنیک ClickFix برای فریب کاربر جهت اجرای دستورات PowerShell یا دانلود فایل‌های MSI استفاده می‌کنند. پس از اجرای دستور، کاربر با مشاهده سند «باز شده»، فریب خورده و بدافزار مستقر می‌شود.
چارچوب C2 و پنهان‌کاری با DoH
بدافزار Phantom53 برای جلوگیری از شناسایی توسط سیستم‌های امنیتی، ترافیک خود را در قالب درخواست‌های DNS-over-HTTPS (DoH) به سمت Resolverهای عمومی مانند Google و Cloudflare ارسال می‌کند. این روش باعث می‌شود ترافیک C2 در میان نشست‌های رمزنگاری‌شده HTTPS که معمولاً توسط سازمان‌ها مورد بازرسی قرار نمی‌گیرند، پنهان بماند. این چارچوب در سه لایه مجزا عمل می‌کند:
- Beacon: یک بخش سبک که هر ۱۲ دقیقه یک بار دستورات را از طریق DoH دریافت می‌کند.
- Watcher: بخشی که وظیفه نظارت و بارگذاری ابزار Havoc Demon را بر عهده دارد.
- Havoc Demon: یک Payload عملیاتی که برای فعالیت‌های پس از نفوذ استفاده می‌شود.
نکته قابل توجه، استفاده از محیط‌های مجازی Python (Virtual Environments) برای اجرای هر مرحله از حمله است که باعث می‌شود فرآیندها در میان پردازش‌های قانونی سیستم پنهان شوند.
تاب‌آوری و فرار از شناسایی
این کمپین از چندین تکنیک برای حفظ بقا و فرار از شناسایی استفاده می‌کند:
- الگوریتم تولید دامنه (DGA): در صورت مسدود شدن دامنه فعال، بدافزار از یک الگوریتم DGA مبتنی بر SHA256 برای یافتن دامنه‌های جایگزین استفاده می‌کند.
- بررسی Sandbox: قبل از هر فعالیت، بدافزار شرایط سیستم (مانند زمان فعالیت سیستم یا ورودی‌های کاربر) را بررسی می‌کند تا از محیط‌های تحلیل امنیتی (Sandbox) فرار کند.
- استفاده از سرویس‌های قانونی: تمام زیرساخت‌های حمله بر پایه سرویس‌های معتبر مانند Cloudflare Workers و دیتابیس‌های KV و D1 بنا شده‌اند تا ترافیک مشکوک به نظر نرسد.
