پژوهشگران امنیت سایبری هشدار داده‌اند که مجرمان سایبری در حال تبدیل کمپین‌های مبتنی بر تکنیک ClickFix به یک اکوسیستم جامع هستند که می‌توان از آن برای توزیع مکرر انواع مختلف بدافزارها برای قربانیان استفاده کرد.
کشف پلتفرم ROMULUS
در جریان بررسی یک حادثه امنیتی، تحلیلگران امنیتی سرور میزبان پنلی به نام ROMULUS را شناسایی کردند. بررسی‌های تکمیلی نشان داد که این سرور در واقع یک پلتفرم توزیع مشترک و چندمنظوره (Multi-payload) است که از متد ClickFix برای انتقال بدافزارها استفاده می‌کند.
تکنیک ClickFix چیست؟
تکنیک ClickFix یکی از روش‌های محبوب در میان مهاجمان است که بر پایه مهندسی اجتماعی (Social Engineering) عمل می‌کند. در این روش، قربانی فریب داده می‌شود تا دستورات ارسالی توسط مهاجم را به صورت دستی روی دستگاه خود اجرا کند. از آنجایی که این دستورات توسط کاربر مورد اعتماد سیستم اجرا می‌شوند، بسیاری از لایه‌های حفاظتی و ابزارهای امنیتی که برای جلوگیری از اقدامات غیرمجاز طراحی شده‌اند، دور زده می‌شوند.
مقیاس‌پذیری و زیرساخت
پلتفرم ROMULUS برخلاف سرورهای بدافزار معمولی که دارای کدهای سخت‌افزاری (Hard-coded) هستند، به عنوان یک Backend توزیع قابل استفاده مجدد طراحی شده است. این موضوع نشان‌دهنده استفاده در مقیاس وسیع است. تحلیلگران در مجموع شش سرور مختلف را شناسایی کردند که از ROMULUS استفاده می‌کردند؛ این مسئله احتمالاً نشان می‌دهد که این زیرساخت به عنوان یک جعبه‌ابزار (Toolkit) در اختیار طیف گسترده‌ای از عوامل تهدید (Threat Actors) برای توزیع حملات قرار گرفته است.
روش‌های گریز از شناسایی
یکی از ویژگی‌های قابل توجه ROMULUS، استفاده از متدهای غیرمعمول برای پنهان کردن عملیات است. در یکی از مسیرهای توزیع، مشاهده شد که بدافزار LegionLoader (یک پلتفرم توزیع بدافزار چندمنظوره) از طریق آرشیوهای رمزنگاری شده ارسال می‌شود. نکته مهم این است که حجم فایل اجرایی در این آرشیوها به طور مصنوعی تا حدود 842 مگابایت افزایش یافته است تا احتمالاً از محدودیت‌های حجم فایل در ابزارهای اسکن و تحلیل امنیتی (Security Scanning Tools) عبور کند.
این عملیات نشان می‌دهد که ClickFix از یک تکنیک ساده مهندسی اجتماعی به یک نقطه ورود (Entry Point) برای عملیات‌های پیچیده بدافزاری تبدیل شده است و مهاجمان با متنوع کردن زیرساخت‌های توزیع و پنهان‌سازی فعالیت‌ها، شناسایی تهدیدات را دشوارتر می‌کنند. لازم به ذکر است که پلتفرم ROMULUS با بدافزار RomulusLoader که پیش‌تر شناسایی شده بود، متفاوت است.
