یک فریم‌ورک جدید در مدل Malware-as-a-Service (MaaS) به نام Exvicy شناسایی شده است که بر پایه کدهای سرقت شده از سرویس رقیب خود، یعنی ErrTraffic، توسعه یافته است. این ابزار با هدف توزیع بدافزار از طریق سایت‌های آلوده WordPress طراحی شده و از تکنیک‌های مهندسی اجتماعی پیشرفته برای فریب کاربران استفاده می‌کند.
مکانیزم حمله و متد ClickFix
این فریم‌ورک از متدی به نام ClickFix بهره می‌برد. در این سناریو، کد JavaScript مبهم‌سازی شده‌ای (Obfuscated) به سایت‌های وردپرسی نفوذ کرده و یک صفحه جعلی برای تایید هویت (مانند Cloudflare Turnstile) نمایش می‌دهد. از کاربر خواسته می‌شود برای رفع مشکل، کلیدهای Win+R را فشار داده و دستوری را که به طور خودکار در Clipboard کپی شده است، Paste کرده و Enter بزند. این دستور در واقع یک کد PowerShell است که بدافزار را روی سیستم قربانی اجرا می‌کند.
تحلیل فنی و زیرساخت
- زیرساخت C2: برخلاف ErrTraffic که از تکنیک EtherHiding برای مخفی کردن آدرس سرورهای خود روی بلاک‌چین Polygon استفاده می‌کند، Exvicy آدرس دو سرور Command-and-Control (C2) را به صورت Hardcoded در کد قرار داده است.
- شباهت کدها: تحلیل‌های تیم Sekoia نشان می‌دهد که اسکریپت‌های تزریق شده و صفحات فریب (Lure Pages) در هر دو سرویس تقریباً یکسان هستند و تنها در نام متغیرها و Payloadهای کدگذاری شده تفاوت دارند.
- مانیتورینگ لحظه‌ای: این پنال به اپراتور اجازه می‌دهد هر مرحله از تعامل کاربر (از کلیک روی چک‌باکس جعلی تا اجرای دستور) را به صورت لحظه‌ای رصد کند.
مدل تجاری و توزیع
فروشنده این ابزار که یک کاربر روس‌زبان در انجمن Exploit.IN است، قیمت این سرویس را از ۱,۲۰۰ دلار به ۲,۰۰۰ دلار در ماه افزایش داده است. تحلیلگران معتقدند توسعه‌دهنده Exvicy احتمالاً به سورس‌کد ErrTraffic دسترسی پیدا کرده است، زیرا بازسازی Backend تنها از طریق تحلیل کدهای Client-side بسیار دشوار و زمان‌بر است.
