تحلیل‌های اخیر یک تروجان دسترسی از راه دور (RAT) مستند نشده به نام Kothamine Agent را شناسایی کرده است. این بدافزار که با زبان‌های C و C++ توسعه یافته، امکان کنترل کامل سیستم‌های مبتنی بر ویندوز را به مهاجم می‌دهد و از طریق بیش از ۳۰ دستور مختلف، قابلیت‌هایی نظیر اجرای دستورات Shell، مدیریت فایل‌ها و افزودن قابلیت‌های جدید را فراهم می‌کند.
مکانیسم توزیع و نفوذ
این بدافزار از طریق بسته‌های مخرب npm توزیع می‌شود که توسعه‌دهندگان و کاربرانی را که این پکیج‌ها را نصب می‌کنند در معرض خطر قرار می‌دهد. در نمونه‌های تحلیل شده، یک فایل اجرایی به نام Kothamine Injector ابتدا استثنائات (Exclusions) را در Windows Defender تعریف کرده و سپس DLL مربوط به Agent را در پردازش explorer.exe تزریق (Inject) می‌کند تا شناسایی نشود.
نوآوری در ارتباطات C2 و استفاده از tailcat
ویژگی متمایز Kothamine، استفاده از ابزار متن‌باز tailcat (متعلق به Tailscale) برای برقراری ارتباط با سرور فرماندهی و کنترل (C2) است. tailcat از لایه داده Tailscale (شامل WireGuard و NAT traversal) استفاده می‌کند اما برخلاف VPNهای معمول، نیازی به حساب کاربری، مدیریت مرکزی یا ثبت دستگاه ندارد.
- پنهان‌سازی: ارتباطات به صورت رمزنگاری شده انجام شده و هیچ دامنه C2 متداولی برای مسدود کردن توسط تیم‌های SOC وجود ندارد.
- روال اجرا: بدافزار tailcat را استخراج کرده و یک تونل محلی (مثلاً پورت ۱۸۰۸۰) ایجاد می‌کند که درخواست‌ها را به نود (Node) مهاجم هدایت می‌کند.
- رمزنگاری: پیام‌های تبادل شده بین Agent و C2 با استفاده از الگوریتم AES-GCM رمزنگاری می‌شوند.
قابلیت‌های پیشرفته و سیستم پلاگین
Kothamine دارای یک سیستم پلاگین انعطاف‌پذیر است که به عامل تهدید اجازه می‌دهد DLLهای جدید را به صورت Base64 دریافت کرده و در حافظه بارگذاری کند تا قابلیت‌های بدافزار را در لحظه گسترش دهد. علاوه بر دستورات پایه، برخی نسخه‌ها دارای قابلیت‌های زیر هستند:
- دور زدن کنترل حساب کاربری (UAC Bypass) با استفاده از
fodhelper.exe. - سرقت داده‌های مرورگر (Cookies) و اطلاعات مربوط به پلتفرم‌های گیمینگ مانند Steam.
- گرفتن اسکرین‌شات و ضبط صدا و تصویر از طریق میکروفون و دوربین.
- دسترسی به محتویات Clipboard.
