تحلیل‌های فنی اخیر نشان‌دهنده ظهور یک خانواده جدید از بدافزارهای نوع Loader به نام Sauron Loader است که در انجمن‌های زیرزمینی (Underground Forums) به عنوان سرویس بدافزار (MaaS) به فروش می‌رسد. این بدافزار به‌طور اختصاصی برای مجرمان سایبری روسی‌زبان طراحی شده و از مکانیسم‌های پیشرفته‌ای برای نفوذ و اجرای Payloadهای تکمیلی استفاده می‌کند.
روش‌های نفوذ و دسترسی اولیه
عوامل تهدید برای توزیع این بدافزار از تکنیک‌های مهندسی اجتماعی (Social Engineering) متنوعی استفاده می‌کنند. دو روش اصلی شناسایی شده عبارتند از:
- حملات ClickFix: استفاده از صفحات جعلی برای ترغیب کاربر به اجرای دستورات مخرب.
- فیشینگ صوتی (Vishing): ارسال انبوه ایمیل‌های اسپم و سپس تماس تلفنی توسط مهاجمان در قالب پشتیبانی IT برای هدایت قربانی به نصب بدافزار.
در برخی موارد، مهاجمان از ابزارهای دسترسی از راه دور مانند Microsoft Quick Assist یا AnyDesk برای تسهیل نفوذ استفاده کرده‌اند.
تحلیل فنی و زنجیره اجرا
Sauron Loader از یک بسته MSI برای توزیع استفاده می‌کند. پس از اجرا، سه فایل کلیدی در مسیر C:ProgramDatakeyroll استقرار می‌یابند:
- rnpkeys.exe: یک فایل قانونی (احتمالاً متعلق به Mozilla RNPGP) که برای اجرای تکنیک DLL Side-Loading مورد سوءاستفاده قرار می‌گیرد.
- rnp.dll: هسته اصلی بدافزار که به صورت رمزنگاری شده است و توسط فایل قبلی بارگذاری می‌شود.
- tdwp.dll: مسئول رمزگشایی کدها در حافظه (In-Memory) و ایجاد تداوم (Persistence) از طریق یک Scheduled Task به نام keyroll.
قابلیت‌ها و ارتباط با C2
هدف اصلی این Loader، دریافت و اجرای Payloadهای متنوع از زیرساخت‌های کنترل‌شده مهاجم (C2) است. این بدافزار از پروتکل HTTPS برای ارتباط استفاده می‌کند و برای امنیت داده‌ها، ترکیبی از رمزنگاری Salsa20 و امضای دیجیتال RSA را به کار می‌برد.
Sauron Loader قادر است انواع مختلفی از فایل‌ها را اجرا کند، از جمله:
- فایل‌های اجرایی (.exe) و کتابخانه‌های پویا (.dll)
- اسکریپت‌های PowerShell، VBS و JavaScript
- درایورهای سیستم (.sys) و بسته‌های MSI
- تزریق Shellcode به پردازش‌های سیستمی مانند attrib.exe
همچنین این بدافزار قابلیت Screen Capture (گرفتن عکس از صفحه نمایش) و ارسال آن به صورت تکه‌تکه (Chunking) به سرور C2 را دارد.
ویژگی‌های هدف‌گذاری
در تحلیل پیکربندی (Config) این بدافزار، مکانیزم‌هایی برای شناسایی موقعیت قربانی مشاهده شده است. بدافزار با بررسی چیدمان صفحه‌کلید (Keyboard Layout)، اگر تشخیص دهد قربانی در کشورهای عضو جامعه کشورهای مستقل رودارانه (CIS) است، از اجرا خودداری می‌کند. این رفتار الگوی رایجی در بدافزارهای مرتبط با روسیه است تا از جلب توجه مقامات داخلی خودداری کنند.
