تیم تحلیل و تحقیقات جهانی کسپرسکی (GReAT) از کشف یک کمپین پیچیده و چندمرحله‌ای خبر داده است که کاربران عادی و سازمان‌ها را هدف قرار می‌دهد. در این عملیات، مهاجمان از یک سویه (Strain) ناشناخته از بدافزار استفاده می‌کنند که در قالب فایل‌های تورنت فیلم‌های محبوب (مانند The Odyssey) توزیع می‌شود.
جزئیات عملیات و زنجیره حمله
بررسی‌ها نشان می‌دهد که یکی از آرشیوهای عمومی و شناخته‌شده فایل‌های تورنت مورد نفوذ قرار گرفته تا بدافزار را به کاربران تحمیل کند. این حملات از اواسط آگوست آغاز شده و قربانیانی در کشورهای مختلف از جمله روسیه، ترکیه، ژاپن، کنیا، اوگاندا، کلمبیا و چندین کشور اروپایی مانند اسپانیا، هلند، بلژیک و آلمان شناسایی شده‌اند. سازمان‌های فعال در بخش‌های دولتی، IT، مشاوره، خرده‌فروشی، حمل‌ونقل و کشاورزی در زمره اهداف این کمپین بوده‌اند.
تحلیل فنی بدافزار
این حمله بر پایه یک فریم‌ورک چندمرحله‌ای بنا شده است که هر بخش وظیفه خاصی را بر عهده دارد:
- Loader: در مرحله اول، یک لودر با قابلیت شناسایی Sandboxهای آنتی‌ویروس اجرا می‌شود تا تشخیص دهد آیا فایل در محیط تست قرار دارد یا خیر؛ در صورت شناسایی، بدافزار برای جلوگیری از تحلیل، عملیات را متوقف یا تغییر می‌دهد.
- Persistence & Privilege Escalation: پس از فعال‌سازی، ماژول‌های تکمیلی برای ایجاد پایداری (Persistence) در سیستم (حتی پس از ری‌بوت) و دور زدن User Account Control (UAC) برای کسب دسترسی Administrator در ویندوز مستقر می‌شوند.
- Remote Access: در نهایت، مهاجمان دسترسی از راه دور (Remote Access) به ماشین قربانی را به دست می‌آورند.
استفاده از بلاک‌چین برای فرماندهی و کنترل
یکی از ویژگی‌های متمایز این بدافزار، استفاده از بلاک‌چین Solana برای بازیابی آدرس سرور فرماندهی و کنترل (C2) است. این متد باعث می‌شود زیرساخت مهاجمان در برابر تلاش‌های مسدودسازی یا Take-down بسیار مقاوم‌تر شود و شناسایی آن برای تیم‌های پاسخ به حادثه دشوارتر گردد.
توصیه‌های امنیتی برای سازمان‌ها
برای مقابله با این تهدید، توصیه می‌شود موارد زیر به طور جدی پیاده‌سازی شوند:
- سخت‌گیرانه کردن سیاست‌های استفاده از نرم‌افزارهای Third-party در تجهیزات سازمانی.
- استفاده از راهکارهای جامع امنیتی مانند EDR و XDR برای شناسایی رفتارهای مشکوک در لحظه.
- عدم غیرفعال کردن ابزارهای امنیتی برای نصب نرم‌افزارهای غیررسمی.
- به‌روزرسانی مداوم Threat Intelligence برای شناسایی سریع‌تر IoCهای مرتبط با این کمپین.
