عاملان تهدید با استفاده از تکنیک مسموم‌سازی موتورهای جستجو (Search Engine Poisoning)، در حال توزیع بدافزار جدید ArmorSteal هستند. این بدافزار که بر پایه زبان پایتون (Python) توسعه یافته، از طریق سایت‌های جعلی که ابزارهای محبوب Chocolatey و اسکریپت‌های فعال‌ساز مایکروسافت را جعل می‌کنند، منتشر می‌شود.
ArmorSteal ترکیبی از قابلیت‌های دسترسی از راه دور (Remote Access)، نظارت (Surveillance) و سرقت اطلاعات (Information Theft) است که هدف آن سرقت رمز عبور، کوکی‌های مرورگر، توکن‌های احراز هویت و داده‌های کیف پول ارزهای دیجیتال است.
روش توزیع و جعل دامنه
مهاجمان از دامنه‌های Typosquatted مانند choclatey[.]org برای جعل سرویس Chocolatey استفاده می‌کنند. کاربران با اجرای دستورات PowerShell مخرب در این سایت‌ها، علاوه بر نصب بدافزار، نصب‌کننده اصلی Chocolatey را نیز اجرا می‌کنند تا فعالیت مخرب خود را پنهان کرده و شک کاربر را برانگیزند. همچنین دامنه دیگری با نام massgravel[.]net برای جعل پروژه‌های فعال‌ساز مایکروسافت مورد استفاده قرار گرفته است.
تحلیل فنی و پایداری (Persistence)
این بدافزار فایل‌های خود را در مسیر C:WindowsSystemHealthUpdate ذخیره می‌کند. برای حفظ پایداری در سیستم، از دو وظیفه زمان‌بندی شده (Scheduled Tasks) با نام‌های SysCheck2 و SysCheckX استفاده می‌شود که اجازه می‌دهند بدافزار در هنگام ورود کاربر یا با دسترسی سطح SYSTEM اجرا شود.
ماژول اصلی (SysMon.py) با بررسی مشخصات سخت‌افزاری سیستم، یک شناسه منحصر‌به‌فرد ایجاد کرده و هر ۶۰ ثانیه یک‌بار با سرورهای فرماندهی و کنترل (C2) ارتباط برقرار می‌کند. نکته قابل توجه، قابلیت فرار از محیط‌های تحلیل ابری (Cloud-based Analysis) است؛ بدافزار با بررسی IPهای مربوط به ارائه‌دهندگان خدمات ابری، در صورت شناسایی محیط‌های امنیتی، از فعالیت خود دست می‌کشد.
قابلیت‌های سرقت و نظارت
- ماژول نظارت (basrq.py): ثبت کلیدهای فشرده شده (Keystrokes)، پایش مداوم کلیپ‌بورد (Clipboard) و جایگزینی آدرس‌های ارز دیجیتال با آدرس‌های مهاجم.
- ماژول سرقت (got.py): استخراج رمزهای عبور مرورگر، داده‌های کارت‌های اعتباری، کلیدهای SSH، نشست‌های (Sessions) Steam و اطلاعات مربوط به افزونه‌های کیف پول دیجیتال.
توصیه‌های امنیتی برای تیم‌های SOC
تیم‌های دفاعی باید اقدامات زیر را در اولویت قرار دهند:
- بررسی وظایف زمان‌بندی شده (Scheduled Tasks) مشکوک.
- بازرسی محتویات دایرکتوری
C:WindowsSystemHealthUpdate. - مانیتورینگ فعالیت‌های Remote Debugging در مرورگرها (پورت 9222).
- بررسی استثناهای (Exclusions) غیرمجاز در Microsoft Defender.
