گزارش‌های اخیر نشان می‌دهد که بیش از ۷۰۰,۰۰۰ تلاش برای نفوذ مرتبط با بدافزار Cruciferra از ابتدای سال ۲۰۲۶ شناسایی و مسدود شده است. بیشترین میزان حملات در کشورهای ترکیه، یونان و اسپانیا مشاهده شده است.
مکانیزم پنهان‌سازی و رمزنگاری
Cruciferra در واقع یک Crypter است که محموله‌های مخرب (Payload) را در لایه‌هایی از رمزنگاری و Obfuscation می‌پیچد تا ابزارهای امنیتی نتوانند آن‌ها را شناسایی کنند. ویژگی متمایز این بدافزار، استفاده از طیف گسترده‌ای از رمزها (Ciphers) است. تحلیل‌ها بیش از ۹۰ روتین رمزنگاری مختلف را شناسایی کرده‌اند که هر یک از اجزای الگوریتم‌های شناخته‌شده‌ای مانند Keccak، Threefish و گونه‌های Feistel تشکیل شده‌اند.
از آنجایی که این الگوریتم‌ها به صورت Polymorphic (چندریختی) از اجزای هشینگ، PRNG و رمزنگاری تولید می‌شوند، هر نمونه از بدافزار رمزنگاری متفاوتی دارد. این رویکرد باعث می‌شود تحلیل‌های استاتیک (Static Analysis) و شناسایی مبتنی بر امضا (Signature-based Detection) عملاً بی‌اثر شوند.
مدل کسب‌وکار و اهداف
این ابزار به عنوان یک سرویس بدافزاری (MaaS) در انجمن‌های زیرزمینی عرضه می‌شود و قیمت‌های آن بسته به قابلیت‌ها، بین ۴۵۰ تا ۲,۰۰۰ دلار در ماه متغیر است. Cruciferra برای توزیع طیف وسیعی از بدافزارهای دیگر از جمله AsyncRAT، Agent Tesla، Remcos، XWorm، ValleyRAT و Snake Keylogger به کار می‌رود.
این سرویس توسط عوامل تهدید (Threat Actors) مختلفی استفاده می‌شود؛ برای مثال، گروه چینی‌زبان TA4922 از این ابزار برای حملاتی با تم مالیاتی (جعل هویت اداره مالیات هند) استفاده کرده است. همچنین حملاتی با جعل هویت سازمان تامین اجتماعی آمریکا و تم‌های هتلداری مشاهده شده است. از نظر صنعتی، ۳۴٪ اهداف در بخش خدمات مالی، ۲۵٪ در بهداشت و درمان و ۱۰٪ در بخش‌های دولتی بوده‌اند.
تکنیک‌های پیشرفته دور زدن سیستم‌های امنیتی
رمزنگاری تنها یک لایه از استراتژی‌های فرار این بدافزار است. Cruciferra از روش‌های زیر برای خنثی‌سازی دفاعات استفاده می‌کند:
- DLL Side-loading: استفاده از یک فایل اجرایی قانونی در کنار یک DLL مخرب که با صدها Export جعلی برای گمراه کردن تحلیل‌گران پر شده است.
- EDR Unhooking: پیش از اجرا، با پَچ کردن جدول Import Address Table (IAT) و استفاده از Indirect Syscalls، نظارت ابزارهای EDR را مختل می‌کند.
- BYOVD (Bring Your Own Vulnerable Driver): بارگذاری یک درایور امضا شده اما آسیب‌پذیر برای متوقف کردن اجباری پروسه‌های امنیتی.
- Process Ghosting: استفاده از یک متد سفارشی برای پَچ کردن ZwQueryVirtualMemory و خنثی کردن NtManageHotPatch، به گونه‌ای که کوئری‌های EDR روی حافظه، نتایج پاک‌سازی شده و جعلی دریافت کنند.
ارتباط با کمپین‌های ClickFix
این ابزار در کمپین‌های ClickFix که با استفاده از محصول MaaS دیگری به نام ErrTraffic ساخته شده‌اند، مشاهده شده است. در این حملات، کاربران به سایت‌های وردپرس (WordPress) آلوده هدایت شده و با مشاهده پیام‌های جعلی مانند reCAPTCHA یا Cloudflare Turnstile، فریب می‌خورند تا یک دستور PowerShell مخرب را در سیستم خود اجرا کنند.
در نسخه‌های پیشرفته‌تر (مانند پکیج PUROSANGUE)، بدافزار از درایور آسیب‌پذیر DCRCVDrv.sys (امضا شده توسط MocoMsys) برای متوقف کردن بیش از ۱۴۵ پروسه امنیتی از جمله محصولات ESET، Microsoft، CrowdStrike و SentinelOne استفاده می‌کند.
توصیه‌های دفاعی
برای مقابله با این تهدید، تیم‌های SOC و مهندسان امنیت باید اقدامات زیر را به کار گیرند:
- مسدود کردن هش‌های شناخته‌شده درایورهای آسیب‌پذیر از طریق کنسول EDR.
- مانیتورینگ سرویس‌های ایجاد شده در مسیر
C:WindowsTemp. - رصد موارد غیرعادی Side-loading برای فایل
mscoree.dll. - آموزش کاربران برای عدم اجرای دستورات PowerShell پس از دریافت اعلان‌های مشکوک در مرورگر.
- تمرکز بر شناسایی رفتاری (Behavioral Detection) در زمینه بارگذاری درایورها و دستکاری پروسه‌ها، زیرا شناسایی مبتنی بر امضا به دلیل ماهیت چندریختی بدافزار کارآمد نیست.
