بدافزار جدیدی با نام Remus شناسایی شده است که به طور تخصصی برای سرقت اطلاعات حساس از سیستم‌های Windows طراحی شده است. این Infostealer فراتر از سرقت پسوردهای معمول عمل کرده و اکنون توکن‌های API پلتفرم‌های هوش مصنوعی مانند OpenAI و Anthropic را هدف قرار داده است.
قابلیت‌های فنی و متدهای سرقت
تحلیل‌های انجام شده نشان می‌دهد که Remus داده‌های مرورگرها، مدیریت‌کننده‌های رمز عبور (Password Managers)، افزونه‌های 2FA و فایل‌های کیف پول‌های رمز ارز را استخراج می‌کند. نکته حائز اهمیت، هدف قرار دادن پوشه‌های مربوط به دستیارهای AI است که می‌تواند منجر به افشای گردش‌کارهای توسعه (Development Workflows) و دسترسی به مدل‌های پولی سازمان‌ها شود.
- هدف‌گیری گسترده: این بدافزار داده‌های ۲۱ مرورگر مختلف (از جمله Chrome، Edge و Brave) و ۱۶ اپلیکیشن کیف پول سرد (Cold-wallet) را هدف قرار می‌دهد.
- سرقت توکن‌های AI: با دسترسی به API Tokens، مهاجم می‌تواند بدون نیاز به عبور از MFA، به محیط‌های توسعه دسترسی پیدا کرده و داده‌های حساس عملیاتی یا قطعه‌کدهای پروژه را استخراج کند.
- دور زدن مکانیزم‌های دفاعی: Remus با استفاده از Syscall-hook sweep، قلاب‌های مورد استفاده توسط محصولات EDR را حذف می‌کند تا رفتارهای مشکوک خود را پنهان نماید.
زیرساخت C2 و تکنیک‌های پیشرفته
یکی از پیچیده‌ترین ویژگی‌های این بدافزار، استفاده از متد EtherHiding برای شناسایی سرورهای فرماندهی و کنترل (C2) است. به جای استفاده از دامنه‌های سخت‌افزاری (Hardcoded)، بدافزار یک قرارداد هوشمند (Smart Contract) در شبکه اتریوم را کوئری کرده و آدرس سرور فعلی را از آنجا رمزگشایی می‌کند. این روش باعث می‌شود مهاجمان بتوانند بدون نیاز به بازنویسی بدافزار، مقصد C2 را به‌راحتی تغییر دهند.
مسیر عفونت و تحلیل کد
بیشترین مسیر عفونت از طریق مهندسی اجتماعی تحت عنوان ClickFix است؛ جایی که قربانیان با CAPTCHAهای جعلی مواجه شده وe ترغیب می‌شوند دستورات مخرب را مستقیماً در سیستم خود اجرا کنند. همچنین، شباهت‌های زیادی در routines کدنویسی و استفاده از فورک خصوصی OLLVM بین Remus و بدافزار LummaC2 مشاهده شده است که نشان‌دهنده اشتراک ابزارها یا دانش توسعه بین این دو گروه است.
توصیه‌های امنیتی برای مدیران SOC و CISO
برای مقابله با این تهدید، اقدامات زیر توصیه می‌شود:
- مدیریت اسرار (Secrets Management): توکن‌های API نباید در پروفایل مرورگر یا فایل‌های متنی محلی ذخیره شوند؛ بلکه باید از Secret Storeهای مدیریت شده استفاده کرد.
- پایش ترافیک شبکه: نظارت بر ترافیک JSON-RPC مشکوک به نودهای عمومی اتریوم (Ethereum Public Nodes)، به‌ویژه در ایستگاه‌های کاری که با بلاکچین ارتباط تجاری ندارند.
- چرخاندن اعتبارنامه‌ها: در صورت مشکوک شدن به عفونت، تمامی API Keys مربوط به OpenAI، Anthropic و سرویس‌های ابری فوراً تغییر یافته و Sessionهای فعال مرورگرها ابطال شوند.
