بدافزار DarkMe که یک تروجان دسترسی از راه دور (RAT) و سرقت اطلاعات (Info-stealer) است و پیش از این با گروه‌های تهدیدی هدفمند در بازارهای مالی و ارزهای دیجیتال شناخته می‌شد، بار دیگر شناسایی شده است. نکته قابل توجه در این کمپین جدید، ساده‌سازی روش توزیع است؛ مهاجمان به جای استفاده از اکسپلویت‌های پیچیده Zero-Day، بر متدهای سنتی فیشینگ ایمیلی تکیه کرده‌اند تا کاربران را متقاعد به اجرای فایل بدافزار کنند.
مکانیزم توزیع و اجرای بدافزار
در این حملات، ایمیل‌های مخرب حاوی لینکی هستند که ظاهراً به یک فایل تصویر (PNG) اشاره می‌کند. با این حال، کلیک روی این لینک منجر به دانلود فایلی با پسوند .pif می‌شود. سیستم‌های مدرن ویندوز فایل‌های .pif را به عنوان برنامه اجرا می‌کنند، حتی اگر آیکون یا پسوند آن‌ها چیزی غیر از این نشان دهد.
پس از اجرای اولیه، زنجیره‌ای از دانلودها، اجرای اسکریپت‌ها، فراخوانی DLLها و تزریق کد (Code Injection) آغاز می‌شود. تحلیلگران امنیتی اشاره کرده‌اند که دستور rundll32.exe /sta {CFDC57BA-1705-45AF-BA10-EFC3D592982B} یکی از شاخص‌های کلیدی (Signature) برای شناسایی و شکار (Hunting) این عفونت در شبکه است.
رویکرد نوآورانه در شناسایی محیط Sandbox
یکی از ویژگی‌های جالب DarkMe، نحوه بررسی محیط اجرا است. این بدافزار به جای جستجو برای ابزارهای تحلیل (Analysis Tools) جهت شناسایی Sandbox، لیستی از ۳۲۹ اپلیکیشن رایج (از جمله Slack، Discord، کیف پول‌های کریپتو، و حتی نرم‌افزارهای تنظیمات موس‌های گیمینگ) را بررسی می‌کند. اگر هیچ‌کدام از این برنامه‌ها یافت نشوند، بدافزار اجرا را متوقف می‌کند. در واقع DarkMe به جای پرسیدن «آیا کسی مرا می‌بیند؟»، می‌پرسد «آیا واقعاً انسانی از این سیستم استفاده می‌کند؟».
تحلیل هدف و انگیزه‌ها
این بدافزار که با زبان Visual Basic 6 توسعه یافته، بر سرقت کیف پول‌های دیجیتال و گرفتن اسکرین‌شات تمرکز دارد. اگرچه ارتباط قطعی با گروه Water Hydra (معروف به DarkCasino) تایید نشده، اما شواهدی مانند محلی‌سازی اسپانیایی در DLLها، احتمال حضور توسعه‌دهندگان در اسپانیا را تقویت می‌کند. انگیزه‌ی اصلی این حملات مالی است، اما هدف‌گیری کاربران عادی و حتی کودکان (برای سرقت کلیدهای بازی‌هایی مانند Roblox و Steam) نیز مشاهده شده است.
نتیجه‌گیری برای مدیران SOC
تغییر رویکرد از نفوذهای پیچیده و هدفمند به حملات حجیم با تلاش کم (High-volume, Low-effort)، نشان‌دهنده این است که تا زمانی که متدهای قدیمی فیشینگ موثر باشند، عوامل تهدید نیازی به مصرف اکسپلویت‌های گران‌قیمت و کمیاب نخواهند داشت.
