عوامل تهدید در یک کمپین جدید، گونه‌ای از بدافزار SectopRAT را درون اجزای دست‌کاری شده یک نرم‌افزار معتبر ویرایش صدا (Digital Audio Workstation) پنهان کرده‌اند. این روش منجر به ایجاد یک زنجیره عفونی چندمرحله‌ای شده است که کنترل کامل سیستم‌های Windows را در اختیار مهاجم قرار می‌دهد.
تحلیل زنجیره عفونت و مکانیسم اجرا
بررسی‌های تیم پاسخ به حوادث FortiGuard نشان می‌دهد که برخلاف موارد رایج که بدافزار به صورت یک فایل مجزا دانلود می‌شود، در این مورد RAT درون اجزای تغییریافته یک نرم‌افزار قانونی جاسازی شده است. این فایل‌های تغییریافته در مسیر C:ProgramData یافت شده‌اند، نه در پوشه استاندارد نصب نرم‌افزار. نکته مهم این است که شواهدی مبنی بر نفوذ به زنجیره تامین (Supply Chain) یا توزیع نسخه آلوده توسط سازنده نرم‌افزار (یک شرکت ایتالیایی) یافت نشده است.
این حمله از Windows Task Scheduler برای اجرای خودکار فایلی به نام ReportDump.exe استفاده می‌کند. روند اجرای بدافزار به شرح زیر است:
- فایل
ReportDump.exeابتداFrameworkBase.dllرا بارگذاری می‌کند. - مهاجمان با تغییر Import Address Table (IAT) در این DLL، باعث بارگذاری
sdkcra.dll(نقطه ورود بدافزار) شده‌اند. - این DLL کدهای اسمبلی رمزنگاری شده را از یک دیتابیس (
Activation.Desktop.db) استخراج کرده و از طریق مکانیزم Callback در تابعEnumSystemCodePagesW()ویندوز، کد را در حافظه اجرا می‌کند. - در مرحله نهایی، با استفاده از تکنیک API Hashing برای پنهان کردن توابع ویندوز، Payload اصلی SectopRAT استخراج و اجرا می‌شود.
ویژگی‌های فنی و قابلیت‌های SectopRAT
بدافزار استخراج شده یک فایل اجرایی 64-بیتی مبتنی بر .NET است که از تکنیک‌های Control-flow flattening و دستورات calli برای دشوار کردن تحلیل مهندسی معکوس استفاده می‌کند. این RAT برای ارتباط با سرور فرمان و کنترل (C2) از رمزنگاری AES استفاده کرده و دارای ۲۹ دستور عملیاتی است، از جمله:
- گرفتن اسکرین‌شات از صفحه نمایش
- مدیریت فایل‌ها و پردازش‌ها (Process Management)
- اجرای دستورات از راه دور (Remote Command Execution)
- سرقت داده‌ها و ری‌استارت کردن سیستم
سرقت اطلاعات حساس و کیف پول‌های دیجیتال
در صورت دریافت دستور DeployBrowserKey، ماژول WbElevation.dll دانلود شده و اقدام به جمع‌آوری اطلاعات زیر می‌کند:
- اعتبارنامه‌های مرورگر (Credentials)، کوکی‌ها و داده‌های Autofill
- اطلاعات کارت‌های بانکی ذخیره شده
- داده‌های مربوط به کیف پول‌های رمز‌ارز (Cryptocurrency Wallets)
در نهایت، این بدافزار دارای دستور UnInstall است که پس از ۶ ثانیه، فایل اجرایی خود را برای پاک کردن ردپای مهاجم حذف می‌کند.
