گروه تهدید پیشرفته SideCopy (معروف به TAG-140) که پیش‌تر عمدتاً بر سازمان‌های دولتی و نیروهای دفاعی هند تمرکز داشت، اکنون دامنه حملات خود را به موسسات آموزشی و دانشگاهی در این کشور گسترش داده است.
زنجیره حمله و مکانیسم تحویل
بر اساس گزارش‌های فنی، این حملات با ارسال ایمیل‌های فیشینگ هدفمند (Spear-Phishing) آغاز می‌شود. مهاجمان یک آرشیو ZIP حاوی یک فایل Shortcut (LNK) را ارسال می‌کنند که با استفاده از آیکون‌های جعلی PDF و پسوند .DOCX، کاربر را به اشتباه می‌اندازد تا فایل را به عنوان یک سند legitimate باز کند.
پس از اجرای فایل LNK، یک اپلیکیشن HTML (HTA) مبهم‌سازی شده از سرورهای کنترل‌شده مهاجم فراخوانی شده و توسط mshta.exe اجرا می‌گردد. این متد برای دور زدن پروتکل‌های امنیتی استاندارد و اجرای اسکریپت‌های مخرب در حافظه به کار می‌رود. همچنین، بدافزار برای جلوگیری از تحلیل‌های فارنزیک (Anti-forensic)، بلافاصله پس از فعال‌سازی مرحله بعدی، فایل HTA را از روی دیسک حذف می‌کند.
تحلیل بدافزار ReverseRAT
هدف نهایی این زنجیره حمله، استقرار یک تروجان دسترسی از راه دور (RAT) به نام ReverseRAT است. این بدافزار از طریق فرآیند .NET Deserialization و تبدیل رشته‌های Base64 در حافظه (In-memory)، بدون بر جای گذاشتن ردپایی روی دیسک فعال می‌شود.
- قابلیت‌ها: جمع‌آوری متادیتای سیستم، سرقت گذرواژه‌ها، ضبط محتویات Clipboard، تهیه اسکرین‌شات و اجرای دستورات از راه دور (Remote Execution).
- پایداری: ایجاد Persistence از طریق تغییرات در Registry ویندوز.
- ارتباطات C2: ترافیک فرمان و کنترل (C2) با استفاده از یک کلید رمزنگاری سخت‌افزاری (Hard-coded) رمزگذاری شده و داده‌ها از طریق پورت 5863 به سرورهای مهاجم ارسال می‌شوند.
تحلیل استراتژیک
گروه SideCopy که ریشه در پاکستان دارد و با خوشه‌هایی نظیر Transparent Tribe همپوشانی دارد، از سال ۲۰۱۹ فعال است. تغییر هدف از نهادهای نظامی به مراکز دانشگاهی نشان‌دهنده تغییر در اولویت‌های جمع‌آوری اطلاعات (Intelligence Collection) این گروه است. استفاده گسترده از تکنیک‌های Obfuscation و سوءاستفاده از ابزارهای سیستمی ویندوز، این گروه را به یک تهدید تطبیق‌پذیر و خطرناک برای امنیت منطقه‌ای تبدیل کرده است.
