در سپتامبر ۲۰۲۶، تیم شکار تهدید Zscaler یک کمپین مسموم‌سازی SEO (SEO Poisoning) را شناسایی کرد که از وب‌سایت‌های جعلی برای جعل هویت مدیریت بسته Chocolatey و ابزار Microsoft Activation Scripts (MAS) جهت توزیع خانواده بدافزار پایتون‌محور Armorsteal استفاده می‌کند. این وب‌سایت‌های جعلی کاربران را که به دنبال دستورات نصب این نرم‌افزارها بودند، هدف قرار داده و با نمایش دستورات مخرب PowerShell، بدافزار را دانلود و اجرا می‌کنند.
ساختار و قابلیت‌های بدافزار
پس از اجرای اولیه، Armorsteal یک محیط اجرای Python 3.11 را مستقر کرده و سه ماژول اصلی را برای فعالیت‌های خود بارگذاری می‌کند. برای جلوگیری از تحلیل کدها، از ابزار Pyarmor جهت Obfuscation استفاده شده است:
- ماژول دسترسی از راه دور (Remote Access): این بخش با سرورهای فرماندهی و کنترل (C2) ارتباط برقرار کرده و وظایف جدید را دریافت می‌کند. برای اطمینان از امنیت دستورات، تمام وظایف دریافتی با استفاده از امضای RSA-2048 تایید می‌شوند.
- ماژول نظارت (Surveillance): این ماژول قابلیت ثبت کلیدها (Keylogging)، نظارت بر کلیپ‌بورد (Clipboard Monitoring) و ثبت تصاویر صفحه (Screenshots) را دارد. همچنین با نمایش اعلان‌های جعلی کیف پول ارز دیجیتال، کاربران را فریب می‌دهد تا اطلاعات خود را وارد کنند.
- ماژول سرقت اطلاعات (Stealer): هدف اصلی این بخش، سرقت توکن‌های Discord، کوکی‌های مرورگر، رمزهای عبور ذخیره شده، کلیدهای SSH، داده‌های Steam و به‌ویژه عبارت‌های بازیابی (Seed Phrases) و اطلاعات کیف پول‌های ارز دیجیتال است.
تکنیک‌های پایداری و ضد تحلیل
بدافزار برای حفظ پایداری (Persistence) خود، وظایف زمان‌بندی شده (Scheduled Tasks) با نام‌های SysCheck2 و SysCheckX ایجاد می‌کند. همچنین برای فرار از محیط‌های تحلیل ابری (Cloud-based Analysis)، آدرس IP سازمان را بررسی کرده و در صورت شناسایی سرویس‌دهندگانی مانند Google، Amazon یا Azure، از اجرای خود خودداری می‌کند تا از شناسایی توسط تحلیل‌گران جلوگیری کند.
اقدامات پیشنهادی برای تیم‌های SOC و مدیریت امنیت
برای مقابله با این تهدید، اقدامات زیر توصیه می‌شود:
- بررسی سیستم‌ها برای وجود وظایف زمان‌بندی شده (Scheduled Tasks) با نام‌های SysCheck2 و SysCheckX.
- جستجو در مسیر
C:WindowsSystemHealthUpdateبرای یافتن فایل‌های مشکوک. - بررسی لاگ‌های PowerShell برای شناسایی دانلود از دامنه‌های مخرب مانند
choclatey[.]orgوmassgravel[.]net. - مسدودسازی دامنه‌های C2 شناسایی شده در سطح شبکه و بررسی ترافیک HTTPS خروجی برای مسیرهای مشکوک.
- بررسی فرآیندهای مرورگر که با پارامتر
--remote-debugging-port=9222اجرا شده‌اند.
