بدافزار جدید دسترسی از راه دور (Remote Access Trojan یا RAT) با نام DarkCore کشف شده است که در بازارهای سیاه با هدف سرقت نشست‌های (Sessions) حساب‌های کاربری مانند Gmail، WhatsApp و سایر سرویس‌های حساس عرضه می‌شود. این بدافزار با هدایت ترافیک از طریق آدرس IP قربانی، تلاش می‌کند فعالیت‌های غیرمجاز خود را به گونه‌ای نمایش دهد که مشابه فعالیت‌های عادی از یک اتصال قابل اعتماد به نظر برسد.
مکانیزم سرقت نشست و پنهان‌سازی هویت
برخلاف روش‌های سنتی که بر سرقت رمز عبور تمرکز دارند، DarkCore بر سرقت Session Cookies تمرکز دارد. کوکی‌های نشست نشان‌دهنده یک ورود موفقیت‌آمیز هستند؛ بنابراین مهاجم می‌تواند با استفاده از کوکی‌های سرقت شده، بدون نیاز به وارد کردن مجدد رمز عبور یا عبور از چالش‌های احراز هویت (Authentication)، به حساب کاربری دسترسی پیدا کند.
- هدایت ترافیک از طریق IP قربانی: این ابزار ترافیک مرورگر خود را از طریق دستگاه آلوده عبور می‌دهد تا از شناسایی توسط سیستم‌های امنیتی جلوگیری کند و فعالیت مهاجم را در قالب IP معتبر قربانی پنهان سازد.
- قابلیت HVNC: این بدافزار از تکنیک Hidden Virtual Network Computing استفاده می‌کند که به مهاجم اجازه می‌دهد بدون اینکه کاربر متوجه شود، مرورگری را در محیط دسکتاپ قربانی کنترل کند.
نحوه توزیع و تحلیل فنی
تحقیقات نشان می‌دهد که DarkCore اغلب از طریق یک میان‌بر (Shortcut) مخرب که با آیکون PDF پوشانده شده، توزیع می‌شود. با باز کردن این فایل، یک پنجره Command-line در حالت کوچک (Minimized) اجرا شده و همزمان یک فایل PDF واقعی (مانند گزارش‌های بانک جهانی) را به عنوان طعمه دانلود می‌کند، در حالی که بدافزار اصلی در پس‌زمینه دریافت و اجرا می‌شود.
تحلیل فنی این بدافزار نشان داد که:
- از تکنیک‌های XOR encoding برای پنهان‌سازی تنظیمات خود استفاده می‌کند.
- تلاش می‌کند با حذف جریان
Zone.Identifierدر ویندوز، هشدارهای امنیتی مربوط به دانلود از اینترنت را کاهش دهد. - ماژول‌های آن می‌توانند مستقیماً در حافظه (Memory) یا از طریق فایل‌های DLL موقت بارگذاری شوند.
توصیه‌های امنیتی برای تیم‌های SOC
برای مقابله با این تهدید، توصیه می‌شود اقدامات زیر انجام شود:
- بررسی دقیق دانلودهای انجام شده از طریق Command-shell و تحلیل سلسله‌مراتب فرآیندها (Process Ancestry).
- مانیتورینگ ارتباطات شبکه‌ای غیرعادی و بررسی امضای فایل‌ها (File Signatures).
- در صورت مشکوک شدن به سرقت حساب، بلافاصله نشست‌های فعال (Active Sessions) را باطل کرده و اعتبارنامه‌ها را بازنشانی کنید.
