تحلیل‌های اخیر نشان‌دهنده ظهور کمپین‌های بدافزاری پیچیده‌ای است که با ترکیب فیشینگ، VBScriptهای مبهم‌سازی شده (Obfuscated)، PowerShell و برنامه‌های قانونی ویندوز، تلاش می‌کنند سرایت (Infection) خود را در سیستم‌های قربانیان پنهان کنند. این حملات به‌طور ویژه کاربران در کشورهای برزیل و پرتغال را هدف قرار داده‌اند.
جعل مکانیزم‌های Windows Error Reporting
عوامل تهدید در این حملات، به‌جای اکسپلویت کردن مستقیم سرویس گزارش خطای ویندوز (Windows Error Reporting یا WER)، از تکنیک جعل (Impersonation) استفاده کرده‌اند. آن‌ها با استفاده از نام‌گذاری‌های مشابه و تقلید از اجزای این سرویس، فایل‌های اجرایی مخرب و Taskهای زمان‌بندی شده (Scheduled Tasks) خود را به عنوان فعالیت‌های روتین سیستم‌عامل جلوه داده‌اند تا از دید ابزارهای امنیتی دور بمانند.
جزئیات فنی کمپین Overlord
در کمپین Overlord، مهاجمان با جعل هویت دفاتر اسناد رسمی در برزیل و ارسال اعلان‌های حقوقی جعلی، قربانیان را به لینک‌هایی هدایت کردند که حاوی VBS Downloader بود. این اسکریپت‌ها با استفاده از توابع Chr() و الحاق رشته‌ها (Concatenation)، کدهای خود را مخفی کرده و فایل‌های مخرب را از Dropbox و Google Cloud Storage دریافت می‌کردند.
- دسترسی‌های مدیریتی: اسکریپت‌های Batch برای دریافت دسترسی Administrator تلاش کرده و سعی در ایجاد استثنا (Exclusion) در Microsoft Defender داشتند.
- مسیرهای پنهان‌سازی: فایل‌ها در مسیر
C:ProgramDataMicrosoftWindowsWERقرار می‌گرفتند. - تثبیت در سیستم: فایلی به نام
CLUpdater.exeدو Task زمان‌بندی شده با نام «Windows Error Reporting» ایجاد می‌کرد. همچنین یک Loader مبتنی بر زبان Go، خود را در پوشه پروفایل کاربر با نامWerFault.exeکپی کرده و از طریق Startup-folder پایداری (Persistence) خود را تضمین می‌کرد.
تکنیک‌های پیشرفته اجرا و پنهان‌سازی
برخی از نمونه‌های شناسایی شده از زنجیره‌های پیچیده‌تری استفاده می‌کردند. یک زنجیره مبتنی بر Batch، ارجاعات .NET و Win32 API را به‌صورت پویا (Dynamically) می‌ساخت و یک Payload Base64 را رمزگشایی کرده و مستقیماً در حافظه اجرا می‌کرد تا از نوشتن فایل روی دیسک (Fileless) اجتناب کند. همچنین فایلی به نام werdata.db کشف شد که حاوی Shellcodeهای Donut x64 بود که با الگوریتم Chaskey رمزنگاری شده بودند.
کمپین Lampion و تکنیک DLL Side-loading
کمپین Lampion با استفاده از فیشینگ اسناد مالی و فایل‌های ZIP حاوی HTML، قربانیان را به سمت فایل‌های VBS مخرب سوق می‌داد. ویژگی بارز این کمپین، استفاده از فایل‌های بسیار حجیم (Padding) برای دور زدن آنتی‌ویروس‌ها بود؛ به‌طوری که برخی DLLها تا 750 مگابایت حجم داشتند تا تحلیل آن‌ها دشوار شود.
علاوه بر این، از تکنیک DLL Side-loading استفاده شد تا کتابخانه‌های مخرب در کنار برنامه‌های معتبری مانند ngentask.exe، VLC یا vnetlib.exe (متعلق به VMware) اجرا شوند. این روش باعث می‌شود کد مخرب تحت پوشش یک پروسه مورد اعتماد سیستم اجرا شود.
توصیه‌های امنیتی برای تیم‌های SOC
برای شناسایی این نوع حملات، مدیران SOC و مهندسان امنیت باید بر موارد زیر تمرکز کنند:
- رصد Taskهای مشکوک که نام‌های مشابه Windows Error Reporting دارند.
- بررسی تغییرات غیرمنتظره در لیست Exclusionهای Microsoft Defender.
- مانیتورینگ اجرای PowerShell توسط اسکریپت‌های VBS.
- تحلیل لود شدن DLLهای مشکوک توسط باینری‌های مورد اعتماد (Trusted Binaries).
