یک کمپین سایبری جدید با هدف قرار دادن بخش لجستیک، بدافزاری از نوع جاسوسی (Spyware) برای سیستم‌عامل اندروید با نام Corp MDM را توزیع می‌کند. این بدافزار از طریق صفحات جعلی در Google Play که با نام‌های برندهایی نظیر CEVA و TKW Logistics طراحی شده‌اند، در قالب یک فایل APK که خود را به عنوان یک سرویس سیستمی معرفی می‌کند، منتشر می‌شود.
قابلیت‌ها و مکانیزم عملکرد
بدافزار Corp MDM یک ایمپلنت نظارتی کوچک است که برای اهداف زیر طراحی شده است:
- استخراج محتوای پیامک‌های (SMS) دریافتی جدید.
- تغییر مسیر تماس‌ها (Call Diversion).
- حفظ یک سرویس پیش‌زمینه مخفی برای تداوم فعالیت در سیستم.
این بدافزار پس از نصب (Sideload)، درخواست دسترسی‌های مربوط به SMS، تلفنی و اعلان‌ها (Notifications) را می‌کند. پس از دریافت مجوزها، آیکون لانچر خود را حذف کرده تا از دید کاربر پنهان بماند و در پس‌زمینه اجرا شود. همچنین، این بدافزار هر ۳۰ ثانیه یک سیگنال Heartbeat به سرور فرماندهی و کنترل (C2) ارسال کرده و به طور مداوم منتظر دریافت دستورات جدید می‌ماند.
تحلیل فنی و زیرساخت
تحلیل‌ها نشان می‌دهد که این بدافزار دارای یک پنل مدیریتی رمزگذاری شده روی پورت 3456 است که به عامل تهدید اجازه می‌دهد دستگاه‌های عفونی شده را کنترل کرده و دستورات خاصی را ارسال کند. نکته قابل توجه این است که قابلیت سرقت پیامک‌ها تنها محدود به پیام‌های جدید است و پیام‌های قدیمی موجود در Inbox را استخراج نمی‌کند. با این حال، این دسترسی برای سرقت کدهای یک‌بار مصرف (OTP)، بازنشانی رمز عبور و اعلان‌های تراکنش‌های بانکی کافی است.
کارشناسان احتمال می‌دهند که در توسعه این بدافزار از هوش مصنوعی (AI) استفاده شده باشد، زیرا باگ‌هایی در کد آن مشاهده شده که با عملکردهای اصلی تداخل دارند. همچنین، تمامی ارتباطات با سرور C2 (با IP مشخص 69.55.61[.]82) از طریق پروتکل غیرامن HTTP انجام می‌شود.
بستر حملات و عوامل تهدید
این فعالیت بخشی از یک کمپین گسترده‌تر است که شامل فیشینگ اعتبارنامه‌ها (Credential Phishing) و بدافزارهای مبتنی بر ویندوز برای هدف قرار دادن صنعت حمل و نقل است. بر اساس شواهد موجود در رابط کاربری پنل مدیریتی و کدهای منبع، احتمالاً این عملیات با عوامل تهدید در روسیه یا ارمنستان مرتبط است.
این مورد جدیدترین نمونه از حملات به بخش لجستیک است؛ پیش از این نیز گروه‌هایی مانند Diesel Vortex و پلتفرم Global Profit با استفاده از تکنیک‌های Spear-phishing و Vishing، گروه‌های تلگرامی رانندگان و شرکت‌های حمل و نقل را هدف قرار داده بودند تا اطلاعات محموله‌ها و وجوه مالی را سرقت کنند.
