مهاجمان با استفاده از حملات فیشینگ (Phishing) و ارسال فاکتورهای مالیاتی جعلی FedEx، در حال توزیع یک بک‌دور (Backdoor) پیشرفته به نام Sirius هستند. این بدافزار با هدف قرار دادن کارکنان بخش‌های مالی و حسابداری طراحی شده و از تکنیک‌های بسیار پیشرفته‌ای برای فرار از سیستم‌های امنیتی ویندوز و پنهان ماندن از دید ابزارهای امنیتی استفاده می‌کند.
مکانیسم حمله و سرایت
حمله با یک فایل فشرده ZIP با نام Fedex_tax_receipt.zip آغاز می‌شود. این آرشیو حاوی یک فایل PDF است که در ظاهر کاملاً خالی به نظر می‌رسد. با این حال، این فایل از دستورات مخفی /OpenAction و /Launch برای اجرای یک دستور PowerShell به محض باز شدن استفاده می‌کند.
- تکنیک Fileless: بدافزار از روش‌های بدون فایل استفاده می‌کند؛ به این معنا که کد اصلی را به جای ذخیره روی دیسک، پس از رمزگشایی در حافظه (Memory) بارگذاری می‌کند تا کمترین ردپا را باقی بگذارد.
- مراحل چندگانه: هر مرحله از حمله تنها برای باز کردن مرحله بعدی طراحی شده است (مانند عروسک‌های ماتروشکا)، که این امر شناسایی آن را بسیار دشوار می‌کند.
تکنیک‌های فرار و پایداری (Evasion & Persistence)
بک‌دور Sirius برای دور زدن محصولات EDR و ابزارهای امنیتی Endpoint، از روش‌های زیر استفاده می‌کند:
- کور کردن EDR: این بدافزار با اصلاح (Patching) قابلیت Event Tracing for Windows (ETW) در فایل
ntdll.dll، منبع اصلی داده‌های ابزارهای امنیتی را قطع می‌کند. - تزریق کد: استفاده از تکنیک Early Bird APC injection برای پنهان شدن در فرآیندهای مورد اعتماد سیستم مانند
msbuild.exeیاsvchost.exe. - پایداری بالا: در صورت داشتن دسترسی Admin، بدافزار از طریق بسته‌های Provisioning و فایل‌های
SetupComplete.cmdدر فرآیند راه‌اندازی ویندوز، پایداری خود را تضمین می‌کند. در صورت عدم دسترسی، از روش‌های DLL sideloading و پوشه Startup استفاده می‌کند.
قابلیت‌های مخرب و کنترل سیستم
پس از سرایت و تثبیت خود، عامل تهدید (Threat Actor) می‌تواند اقدامات زیر را انجام دهد:
- سرقت اطلاعات حساس (Credentials) از مرورگرهای مبتنی بر Chromium.
- دسترسی به دوربین (Webcam) و میکروفون سیستم.
- تغییر آدرس کیف پول‌های ارز دیجیتال در کلیپ‌بورد (Clipboard).
- حذف Volume Shadow Copies برای جلوگیری از بازیابی داده‌ها توسط کاربر.
- استفاده از یک پروکسی SOCKS5 برای برقراری ارتباط با سرورهای فرماندهی و کنترل (C2).
توصیه‌های امنیتی برای تیم‌های SOC
برای مقابله با این تهدید، اقدامات زیر توصیه می‌شود:
- فعال‌سازی قوانین Microsoft Defender ASR برای جلوگیری از ایجاد فرآیندهای فرزند (Child Processes) توسط نرم‌افزارهای PDF.
- اجرای PowerShell Constrained Language Mode برای محدود کردن قابلیت‌های اسکریپت‌نویسی.
- مانیتورینگ دقیق Event ID 4104 در لاگ‌های اسکریپت برای شناسایی فعالیت‌های مشکوک.
- بررسی زنجیره‌های فرآیند غیرعادی، مانند اجرای PowerShell توسط یک PDF Reader.
