تحقیقات اخیر شرکت Allure Security نشان می‌دهد که یک عامل تهدید (Threat Actor) با طراحی اپلیکیشن‌های دسکتاپ جعلی برای سه پلتفرم بزرگ مدیریت حقوق و دستمزد (Payroll) و منابع انسانی (HR) در ایالات متحده، سعی در فریب کاربران داشته است. نکته کلیدی این است که این پلتفرم‌ها هرگز نسخه دسکتاپ ارائه نکرده‌اند و خدمات خود را تنها به صورت Web Application و اپلیکیشن‌های موبایل عرضه می‌کنند.
مکانیسم حمله و مهندسی اجتماعی
صفحات جعلی این کمپین با استفاده از ابزار Lovable (یک سازنده اپلیکیشن مبتنی بر AI) طراحی شده بودند تا ظاهری کاملاً حرفه‌ای، شامل لوگوی برند، اسکرین‌شات‌های محصول و ویجت‌های چت زنده داشته باشند. برای دور زدن ابزارهای شناسایی خودکار، این صفحات پشت سیستم Bot-Challenge پلتفرم Vercel میزبانی می‌شدند تا اثر ردپای (Footprint) آن‌ها در اسکنرهای عمومی به حداقل برسد.
تحلیل فنی بدافزار و Payload
فایل‌های دانلودی که در مخازن GitHub میزبانی می‌شدند، در واقع نصب‌کننده‌هایی (Installer) بودند که با NSIS ساخته شده بودند. روند اجرای این فایل‌ها به شرح زیر است:
- فریب کاربر: ابتدا یک نصب‌کننده واقعی و امضا شده توسط مایکروسافت (.NET Desktop Runtime) اجرا می‌شود تا کاربر تصور کند یک پیش‌نیاز سیستمی در حال نصب است.
- نصب مخفیانه: در پس‌زمینه، ابزار ScreenConnect (یک ابزار دسترسی از راه دور قانونی) با استفاده از دستور
msiexec /qnبدون هیچ رابط کاربری نصب می‌شود. - پایداری (Persistence): کلاینت ScreenConnect به گونه‌ای پیکربندی شده که تمام اعلان‌ها، آیکون‌های Tray و بنرهای «تحت کنترل» را غیرفعال کند. این ابزار به عنوان یک Windows Service نصب شده و حتی در Safe Mode و صفحه Sign-in ویندوز فعال می‌ماند.
هدف نهایی و اثرات عملیاتی
هدف اصلی این حمله، دسترسی بدون نظارت (Unattended Access) به سیستم‌های حسابداران و مدیران حقوق و دستمزد است. دسترسی به این سیستم‌ها می‌تواند مسیر مستقیم برای تغییر حساب‌های بانکی یا تخلیه کامل بودجه حقوق و دستمزد یک شرکت باشد.
جزئیات زیرساختی
تمام Payloadهای شناسایی شده به یک سرور فرمان و کنترل (C2) در آلمان با دامنه jyleatyg[.]com متصل می‌شدند. همچنین گزارش شده است که متدولوژی مشابهی برای جعل اپلیکیشن‌های صرافی‌های ارز دیجیتال و کیف پول‌های DeFi توسط گروه‌های دیگر در حال استفاده است.
