بدافزار Remus یک ابزار سرقت اطلاعات (Infostealer) برای سیستم‌عامل ویندوز است که به دلیل متدهای پیشرفته پنهان‌سازی و دور زدن ابزارهای امنیتی توجه متخصصان را جلب کرده است. این بدافزار که از مارس ۲۰۲۶ در بازارهای زیرزمینی ظاهر شد، با هدف جمع‌آوری داده‌های مرورگرها، کیف پول‌های ارز دیجیتال، گذرواژه‌ها و فایل‌های حساس طراحی شده است.
بردار حمله و مکانیسم عفونت
عفونت توسط این بدافزار معمولاً از طریق مهندسی اجتماعی با متد ClickFix آغاز می‌شود. قربانیان با مواجهه با یک CAPTCHA جعلی در ایمیل‌ها، تبلیغات مخرب یا وب‌سایت‌های آلوده، متقاعد می‌شوند تا یک دستور (Command) را به‌صورت دستی در سیستم خود اجرا کنند. این اقدام باعث می‌شود لایه‌های حفاظتی که جلوی دانلودهای مشکوک را می‌گیرند، دور زده شده و بدافزار مسیری بی‌سروصدا برای استقرار در دستگاه پیدا کند.
تکنیک‌های پیشرفته دور زدن EDR
بدافزار Remus برای کاهش شناسایی توسط ابزارهای EDR (Endpoint Detection and Response)، از روش‌های زیر استفاده می‌کند:
- حذف Syscall Hooks: این بدافزار برای انجام عملیات حساس مانند خواندن و نوشتن فایل‌ها، مستقیماً از System Calls ویندوز استفاده می‌کند. پیش از اجرای این عملیات، Remus قلاب‌ها (Hooks) را شناسایی و حذف می‌کند تا نظارت ابزارهای امنیتی بر رفتارهای مشکوک مختل شود.
- رمزنگاری جداول مرجع: برای جلوگیری از تحلیل استاتیک (Static Analysis)، شماره‌های System Call در یک جدول مرجع ذخیره شده و تنها در هنگام اجرا در حافظه رمزگشایی می‌شوند.
- استفاده از COM Objects: این بدافزار از اشیاء عمومی COM ویندوز برای پروفایل‌بندی دستگاه و دسترسی به فایل‌ها استفاده می‌کند تا فعالیت‌هایش شبیه به پردازش‌های عادی سیستم به نظر برسد و با دستورات PowerShell اشتباه گرفته نشود.
- تست Sandbox: Remus با جستجوی فایل خاصی به نام
honey@pot.com.pstدر ذخیره‌ساز Outlook، محیط‌های تحلیل (Sandbox) را شناسایی کرده و در صورت تشخیص، از اجرای عملیات خودداری می‌کند.
هدف‌های سرقت و تحلیل داده‌ها
تحقیقات نشان می‌دهد که Remus داده‌های ۲۱ مرورگر و ۱۶ کیف پول سخت‌افزاری (Cold Wallet) را هدف قرار می‌دهد. همچنین این بدافزار روی افزونه‌های Mozilla تمرکز ویژه‌ای دارد، به‌ویژه افزونه‌هایی که برای احراز هویت دو مرحله‌ای (2FA) استفاده می‌شوند. نکته حائز اهمیت، هدف قرار دادن API Tokenها و تاریخچه ابزارهای هوش مصنوعی (AI Assistants) است که می‌تواند منجر به افشای کدهای داخلی، اسناد سازمانی و پرومپت‌های حساس شود.
زیرساخت شبکه و ارتباطات
این بدافزار از متدی به نام EtherHiding استفاده می‌کند که در آن آدرس سرور فرماندهی (C2) از طریق یک قرارداد هوشمند اتریوم (Ethereum Smart Contract) دریافت می‌شود. این روش به مهاجمان اجازه می‌دهد بدون نیاز به به‌روزرسانی تک‌تک دستگاه‌های آلوده، زیرساخت خود را تغییر دهند. همچنین، داده‌های سرقتی به‌صورت تکه‌تکه و در مراحل مجزا ارسال می‌شوند تا حجم ترافیک شبکه کمتر جلب توجه کند.
توصیه‌های امنیتی برای مدیران SOC
در صورت شناسایی عفونت Remus، باید آن را به عنوان یک Identity Incident (حادثه هویتی) مدیریت کرد و اقدامات زیر را انجام داد:
- ایزوله کردن سریع سیستم‌های متاثر.
- بازنشانی (Reset) تمامی گذرواژه‌های افشا شده و ابطال Sessionهای مرورگر و API Tokenها.
- چرخش (Rotate) کلیدهای مربوط به کیف پول‌های دیجیتال.
- پایش فعالیت‌های غیرعادی مربوط به Clipboard-to-Command و بررسی اتصالات خروجی از پردازش‌های مرورگر.
