تحلیل‌های جدید از یک کمپین بدافزاری با نام SectopRAT نشان می‌دهد که عاملان تهدید (Threat Actors) چگونه می‌توانند از اجزای برنامه‌های مورد اعتماد برای پنهان کردن یک تروجان دسترسی از راه دور (Remote Access Trojan) و سرقت داده‌های حساس استفاده کنند.
مکانیسم نفوذ و پنهان‌سازی
برخلاف حملات زنجیره تأمین (Supply-chain compromise)، در این مورد شواهدی مبنی بر دستکاری نرم‌افزار توسط سازنده یافت نشده است. در عوض، مهاجمان پس از نصب نرم‌افزار روی سیستم قربانی، فایل‌های آن را تغییر داده و پوشه‌های مخرب را در مسیر C:ProgramData قرار داده‌اند تا از دید کاربر و ابزارهای امنیتی دور بمانند.
زنجیره حمله با اجرای فایل ReportDump.exe آغاز می‌شود؛ این فایل یک جزء گزارش‌دهی خطا (Crash-reporting) است که از طریق Windows Task Scheduler اجرا می‌گردد. این فایل در ابتدا FrameworkBase.dll را بارگذاری می‌کند، اما مهاجمان با دستکاری جدول آدرس وارداتی (Import Address Table) این DLL، یک لودر مخرب به نام sdkcra.dll را به آن افزوده‌اند.
تحلیل فنی و تکنیک‌های فرار
این روش اجرای مبتنی بر DLL Sideloading به بدافزار اجازه می‌دهد تا تحت پوشش یک فایل اجرایی معتبر فعالیت کند. لودر مخرب، محتوای رمزگذاری شده را از فایل Activation.Desktop.db خوانده و با سوءاستفاده از پارامتر Callback در تابع EnumSystemCodePagesW() ویندوز، کد اسمبلی را اجرا می‌کند.
- تحلیل پویا: بدافزار برای دور زدن تحلیل‌های استاتیک و شناسایی مبتنی بر امضا (Signature-based detection)، ۱۸۷ API را به صورت پویا و از طریق Hash شناسایی می‌کند.
- اجرای .NET: پس از رمزگشایی Payload نهایی از فایل
pool.db، محیط اجرای .NET مقداردهی شده و نقطه ورود SectopRAT (که با نام ArechClient2 نیز شناخته می‌شود) فراخوانی می‌گردد. - پنهان‌سازی پیشرفته: این بدافزار از تکنیک‌هایی مانند Control-flow flattening و دستور
calliبرای فراخوانی توابع از طریق اشاره‌گرها استفاده می‌کند تا مهندسی معکوس (Reverse Engineering) را برای تحلیل‌گران دشوار سازد.
قابلیت‌ها و اهداف سرقت داده
بدافزار SectopRAT از طریق پروتکل TCP و پورت ۱۵۸۴۷ با سرور فرمان و کنترل (C2) ارتباط برقرار کرده و از رمزنگاری AES برای تبادل داده‌ها در قالب JSON استفاده می‌کند. در صورت عدم دسترسی به سرور اصلی، بدافزار از ۱۲ دامنه جایگزین مرتبط با نقاط انتهایی داده‌های Binance Smart Chain استفاده می‌کند.
این RAT دارای ۲۹ دستور مختلف برای مدیریت از راه دور، ثبت تصویر صفحه (Screen Capture)، مدیریت فایل‌ها و اجرای Shell است. خطرناک‌ترین قابلیت آن دستور DeployBrowserKey است که با بارگذاری ماژول WbElevation.dll، موارد زیر را هدف قرار می‌دهد:
- مرورگرها: استخراج رمزهای عبور، کوکی‌ها و اطلاعات کارت‌های بانکی از مرورگرهای مبتنی بر Chromium، Firefox، Edge، Brave، Vivaldi و Yandex.
- نرم‌افزارها: سرقت داده‌ها از Thunderbird، Steam، Battle.net و NVIDIA GeForce Experience.
- کیف پول‌های دیجیتال: هدف قرار دادن MetaMask، Coinbase Wallet، TronLink، Atomic Wallet، Exodus، Electrum و Daedalus Mainnet.
توصیه‌های امنیتی برای تیم‌های SOC
برای شناسایی و مقابله با این تهدید، مدیران امنیت و تحلیل‌گران SOC باید موارد زیر را در اولویت قرار دهند:
- رصد تسک‌های مشکوک در Scheduled Tasks که فایل
ReportDump.exeرا فراخوانی می‌کنند. - بررسی تغییرات در Importهای فایل
FrameworkBase.dll. - مانیتورینگ پوشه‌های غیرمنتظره در مسیر
C:ProgramData. - مسدود کردن ارتباطات با زیرساخت‌های C2 شناسایی شده و بازنشانی (Reset) رمزهای عبور ذخیره شده در مرورگرها و نشست‌های (Sessions) فعال در سیستم‌های آسیب‌دیده.
