یک کمپین کلاهبرداری جدید شناسایی شده است که در آن مهاجمان با جعل هویت ارائه‌دهندگان خدمات منابع انسانی (HR) و سیستم‌های پرداخت، کارکنان این بخش‌ها را فریب می‌دهند تا اپلیکیشن‌های دسکتاپ جعلی را نصب کنند. هدف نهایی این حملات، ایجاد دسترسی دائمی و کنترل از راه دور به سیستم‌های حساس سازمانی است.
مکانیزم حمله و زنجیره توزیع
در این سناریو، کاربران با وعده دسترسی سریع‌تر نسبت به رابط کاربری وب، ترغیب به دانلود یک نسخه Windows می‌شوند. برای افزایش اعتماد قربانی، مهاجمان از روش‌های زیر استفاده کرده‌اند:
- سایت‌های جعلی متقاعدکننده: صفحات فرود (Landing Pages) با استفاده از ابزار AI Lovable ساخته شده و روی سرویس Vercel میزبانی شده‌اند.
- دور زدن شناسایی: استفاده از Bot Challenge در میزبان ابری برای جلوگیری از ایندکس شدن سایت توسط اسکنرهای امنیتی.
- میزبانی در دامنه‌های مورد اعتماد: فایل‌های مخرب در بخش GitHub Releases قرار داده شده‌اند تا کاربر به دلیل اعتماد به دامنه GitHub، بدون تردید اقدام به دانلود کند.
تحلیل فنی نصب و اجرای بدافزار
پس از اجرای فایل، کاربر با یک نصب‌کننده رسمی مایکروسافت مواجه می‌شود که در واقع .NET Desktop Runtime 8.0.26 را نصب می‌کند. این اقدام باعث می‌شود کاربر تصور کند نرم‌افزار در حال نصب است، در حالی که در پس‌زمینه، یک نصب‌کننده بی‌صدا (Silent Installer) در حال اجرای عملیات زیر است:
- نصب کلاینت قانونی نرم‌افزار ScreenConnect (یک ابزار RMM یا مدیریت و نظارت از راه دور).
- تنظیم حالت دسترسی روی Unattended (بدون نیاز به تایید کاربر).
- غیرفعال‌سازی تمامی اعلان‌های بصری مانند بنرهای «سیستم شما در حال کنترل است» یا آیکون‌های System-tray.
- پیکربندی برای اجرا در هنگام بوت (Boot) و حفظ اتصال در تمامی نشست‌های کاربری (User Sessions).
چالش‌های شناسایی (Detection)
این حمله از نوع Living-off-the-Land است؛ زیرا در هیچ مرحله‌ای از بدافزارهای سنتی استفاده نشده است. تمام ابزارهای به‌کار رفته (از AI Builder و GitHub تا نرم‌افزار ScreenConnect) ابزارهای قانونی هستند که در اینجا برای مقاصد مخرب به کار گرفته شده‌اند. این موضوع باعث می‌شود سیستم‌های EDR و آنتی‌ویروس‌ها به راحتی نتوانند این فعالیت را به عنوان یک تهدید شناسایی کنند.
توصیه‌های امنیتی برای مدیران SOC و CISO
با توجه به اینکه این حمله مستقیماً کارکنان بخش HR و مالی را هدف قرار می‌دهد، توصیه می‌شود:
- با تامین‌کنندگان خدمات HR بررسی شود که آیا واقعاً اپلیکیشن دسکتاپ ارائه می‌دهند یا خیر.
- کارکنان این بخش‌ها در مورد خطرات دانلود نرم‌افزارهای غیررسمی از منابع خارجی آموزش ببینند.
- مانیتورینگ دقیق روی نصب نرم‌افزارهای RMM غیرمجاز در شبکه اعمال شود.
