بدافزار TWEAKOS یک عملیات ترکیبی است که با استفاده از یک Stealer مخصوص ویندوز و یک ربات تلگرام، حساب‌های پیام‌رسان‌های محبوب را سرقت کرده و آن‌ها را در یک بازارچه داخلی برای فروش عرضه می‌کند. این بدافزار نه تنها برای سرقت داده‌ها، بلکه به عنوان یک پلتفرم فرمان و کنترل (C2) و فروشگاه آنلاین برای دسترسی‌های مسروقه عمل می‌کند.
مکانیزم سرقت و پایداری در سیستم
این بدافزار پس از اجرا بر روی سیستم‌های ویندوزی، برای تضمین پایداری (Persistence) خود از دو روش استفاده می‌کند: نسخه‌های بسته‌بندی شده خود را در پوشه Startup کپی می‌کنند و نسخه‌های اسکریپتی، یک ورودی در رجیستری سطح کاربر ایجاد می‌کنند. نکته قابل توجه این است که هیچ‌کدام از این روش‌ها نیازی به دسترسی Administrator ندارند.
هدف‌گیری Discord و Telegram
- Discord: بدافزار توکن‌های احراز هویت (Authentication Tokens) را از حافظه محلی Discord، نسخه‌های تست آن و پروفایل پیش‌فرض مرورگر Chrome جستجو می‌کند. پس از اعتبارسنجی توکن‌ها از طریق API دیسکورد، اطلاعات معتبر به اپراتورها ارسال می‌شود.
- Telegram: برای تسخیر حساب‌های تلگرام، این بدافزار از تعامل مستقیم با کاربر استفاده کرده و شماره تلفن، کد ورود و در صورت نیاز، رمز عبور ابری (Cloud Password) را درخواست می‌کند. سپس با استفاده از کتابخانه Telethon، یک Session جدید ایجاد کرده و فایل آن را برای اپراتورها ارسال می‌کند تا بتوانند بدون نیاز به رمز عبور، به حساب دسترسی داشته باشند.
مدیریت عملیات و بازارچه فروش
بخش دوم این بدافزار، یک ربات تلگرام است که وظیفه مدیریت قربانیان، خریداران و سفارشات را بر عهده دارد. این ربات یک فروشگاه کامل است که حساب‌های سرقت شده را با قیمت‌های متغیر (که هر روز ۵٪ کاهش می‌یابد) و با استفاده از Telegram Stars به فروش می‌رساند. اپراتورها همچنین می‌توانند از طریق این ربات، پیام‌هایی برای قربانیان ارسال کرده یا اسکریپت‌های هشداردهنده را روی صفحه نمایش آن‌ها اجرا کنند.
توصیه‌های امنیتی و شناسایی
برای مقابله با این تهدید، تیم‌های SOC و متخصصان امنیت باید موارد زیر را رصد کنند:
- بررسی ورودی‌های غیرعادی در Startup و رجیستری (مانند
SystemHelper). - مانیتورینگ ترافیک شبکه به سمت
api.telegram.orgپس از ایجاد فایل‌های Session جدید. - رصد درخواست‌های غیرمنتظره برای توکن‌های Discord.
کاربرانی که مشکوک به آلودگی هستند باید سریعاً تمام Sessionهای فعال تلگرام خود را ببندند (Terminate)، توکن‌های Discord را ابطال کرده و احراز هویت چندعاملی (MFA) را فعال نمایند.
