یک تروجان دسترسی از راه دور (RAT) مستند نشده به نام Kothamine Agent شناسایی شده است که کنترل کامل سیستم‌های مبتنی بر ویندوز را در اختیار مهاجم قرار می‌دهد. این بدافزار با پشتیبانی از بیش از ۳۰ دستور مختلف، امکاناتی نظیر اجرای دستورات سیستمی، خواندن و تغییر فایل‌ها و افزودن قابلیت‌های جدید را فراهم می‌کند. برخی نسخه‌های این بدافزار حتی قادر به سرقت داده‌های مرورگر و ضبط صدا و تصویر از طریق میکروفون و دوربین هستند.
مسیر انتشار و توزیع
تحلیل‌ها نشان می‌دهد که Kothamine از طریق بسته‌های مخرب npm توزیع می‌شود که توسعه‌دهندگان و کاربرانی را که این بسته‌ها را نصب می‌کنند در معرض خطر قرار می‌دهد. برای مثال، بسته‌ای به نام dotnet-runtime-base شناسایی شده که یک فایل اجرایی مخرب را از یک مخزن GitHub دانلود و اجرا می‌کند.
تکنیک‌های پیشرفته برای دور زدن شناسایی
ویژگی متمایز این بدافزار، استفاده از tailcat (یک ابزار متن‌باز از Tailscale) برای برقراری ارتباط با سرور فرمان و کنترل (C2) است. این رویکرد باعث می‌شود ارتباطات بدافزار رمزنگاری شده باشد و تحلیل‌گران امنیتی نتوانند دامنه‌های C2 متداولی را برای مسدود کردن شناسایی کنند.
- ساختار Tailcat: این ابزار از لایه داده Tailscale (شامل WireGuard و NAT traversal) استفاده می‌کند اما بدون نیاز به Control Plane، حساب کاربری یا ثبت دستگاه عمل می‌کند.
- مکانیسم ارتباط: بدافزار با اجرای
tailcat.exe، پورت‌های سرور را به پورت‌های TCP محلی (مانند ۱۸۰۸۰) منتقل کرده و سپس از طریق سوکت‌های محلی با C2 ارتباط برقرار می‌کند. - رمزنگاری: پیام‌های تبادل شده بین عامل بدافزار و سرور با استفاده از الگوریتم AES-GCM رمزنگاری می‌شوند.
تحلیل فنی و قابلیت‌ها
Kothamine به زبان‌های C و C++ نوشته شده و معمولاً شامل یک Injector و یک DLL است. این Injector بدافزار را در پردازش‌هایی مانند explorer.exe تزریق می‌کند. برای تضمین بقا (Persistence)، بدافزار از طریق اسکریپت‌های PowerShell یک Task زمان‌بندی شده ایجاد کرده و مسیرهای خود را در لیست استثنائات Windows Defender قرار می‌دهد تا شناسایی نشود.
سیستم پلاگین و توسعه‌پذیری
یکی از قابلیت‌های کلیدی Kothamine، سیستم پلاگین آن است. اپراتور می‌تواند DLLهای جدیدی را به سیستم ارسال کرده و قابلیت‌های بدافزار را در لحظه گسترش دهد. این متد اجازه می‌دهد تا توابع جدید بدون نیاز به بازنویسی کل بدافزار، به Agent اضافه شوند.
تکامل نسخه‌ها
در نسخه‌های قدیمی‌تر، این بدافزار به جای tailcat از VPN Tailscale استفاده می‌کرد و رشته‌های متنی (Strings) آن رمزنگاری نشده بود. همچنین برخی نسخه‌ها دارای قابلیت دور زدن UAC با استفاده از fodhelper.exe بودند تا دسترسی‌های سطح بالا (Elevated) را در ویندوز به دست آورند.
