کمپین‌های فیشینگ جدیدی شناسایی شده‌اند که سازمان‌های دولتی و قضایی در کلمبیا و بریتانیا را هدف قرار داده‌اند. این حملات از اسکریپت‌های مبهم‌سازی شده (Obfuscated Scripts)، دستورات رمزنگاری شده PowerShell و یک لودر .NET قابل استفاده مجدد برای توزیع بدافزار XWorm بهره می‌برند.
زنجیره توزیع و مکانیزم‌های مبهم‌سازی
در این حملات، ایمیل‌های فیشینگ حاوی فایل‌های VBScript و JavaScript بودند که با نام‌هایی مشابه مکاتبات اداری یا قضایی، کاربران را به اجرای آن‌ها ترغیب می‌کردند. تحلیل‌های فنی نشان می‌دهد که لایه‌های حفاظتی این اسکریپت‌ها شامل موارد زیر است:
- استفاده از شناسه‌های تولید شده به‌صورت تصادفی و متغیرهای پیکربندی گمراه‌کننده.
- پیاده‌سازی یک لایه رمزگشایی سفارشی Base93 برای تبدیل جفت‌نمادها به مقادیر ۱۳ یا ۱۴ بیتی.
- به‌کارگیری روتین‌های جایگزینی کلیددار (Keyed Substitution) و دستکاری بیت‌ها (Bit-manipulation).
- استفاده از لایه‌های رمزنگاری AES-256-CBC برای بازیابی کدهای PowerShell.
تحلیل لودر و اجرای بدافزار
لودر شناسایی شده در این کمپین‌ها، از نظر باینری با لودری که پیش‌تر در حملات مرتبط با بریتانیا مشاهده شده بود، کاملاً یکسان است. این موضوع نشان‌دهنده بازاستفاده از ابزارهای لودینگ توسط عامل تهدید (Threat Actor) است، هرچند که هش‌های Payload و زیرساخت‌های فرمان و کنترل (C2) در هر مورد متفاوت بود.
این لودر از طریق Reflective Loading، یک DLL به نام RSG_UnityApp را در حافظه بارگذاری کرده و با استفاده از پردازش RegAsm.exe، بدافزار XWorm را اجرا می‌کند. این DLL دارای حفاظت Crypto Obfuscator است و از متدهای پیچیده‌ای برای دور زدن سیستم‌های امنیتی استفاده می‌کند.
ارتباطات C2 و قابلیت‌های بدافزار
ارتباطات شبکه این بدافزار از رمزنگاری AES-128-ECB استفاده می‌کند و پیام‌ها را با یک جداکننده خاص (<XWormmm>) متمایز می‌سازد. در اولین ارتباط (Beacon)، اطلاعات دقیقی از سیستم قربانی استخراج می‌شود، از جمله:
- نام کاربری و جزئیات سیستم‌عامل.
- وضعیت دسترسی‌های مدیریتی (Elevation Status).
- وضعیت آنتی‌ویروس و مشخصات سخت‌افزاری.
- دسترسی به وب‌کم.
قابلیت‌های XWorm شامل اجرای دستورات Shell، به‌روزرسانی بدافزار، دانلود و آپلود فایل، اجرای حملات DDoS و مدیریت فایل‌های سیستم است. همچنین این بدافزار قادر است پلاگین‌های جدیدی را به‌صورت Managed Assemblies بارگذاری کند تا عملکردهای خود را گسترش دهد.
نتیجه‌گیری فنی
این یافته‌ها تأکید می‌کند که شباهت در لودرها لزوماً به معنای یکسان بودن کل کمپین یا انتساب (Attribution) به یک گروه واحد نیست. تفاوت در پیکربندی‌های Payload و زیرساخت‌های C2 نشان می‌دهد که عاملان تهدید از ابزارهای لودینگ مشترک در چندین عملیات مجزا استفاده می‌کنند.
