گزارش‌های اخیر نشان‌دهنده ظهور یک چارچوب بدافزاری ماژولار و چندمرحله‌ای به نام MovieReaper است که از طریق مخازن تورنت (Torrent Trackers) آلوده، کاربران و سازمان‌ها را در کشورهای مختلف هدف قرار داده است. مهاجمان در این کمپین به جای حمله مستقیم به تکرکرهای تورنت، یک مخزن عمومی توزیع فایل به نام itorrents[.]org را هدف قرار داده‌اند تا فایل‌های تورنت مخرب را جایگزین محتوای قانونی کنند.
مراحل زنجیره عفونت (Infection Chain)
این بدافزار برای دور زدن سیستم‌های شناسایی و Sandboxها از یک استراتژی چهار مرحله‌ای استفاده می‌کند:
- مرحله اول (Loader): فایل‌های اجرایی با نام‌های فریبنده (مانند فیلم‌های محبوب) توزیع می‌شوند. این لودر برای شناسایی نشدن، از فراخوانی مستقیم
LoadLibraryوGetProcAddressاجتناب کرده و به صورت دستی DLLها را در حافظه جستجو می‌کند. سپس Shellcode را از سرور C2 دانلود کرده و با استفاده از توابع مستند نشدهntdll(مانندEtwpCreateEtwThread) اجرا می‌کند. - مرحله دوم (Shellcode): در این مرحله، بدافزار برای دریافت آدرس سرور C2 دوم، به شبکه بلاک‌چین Solana متصل می‌شود. استفاده از بلاک‌چین به عنوان لایه توزیع، باعث می‌شود مهاجمان در برابر تلاش‌های defenders برای تخریب زیرساخت (Takedown) مقاوم‌تر باشند.
- مرحله سوم (UAC Bypass & Persistence): بدافزار با استفاده از تکنیک‌های عمومی، دسترسی‌های مدیریتی (UAC Bypass) را کسب کرده و خود را در مسیر
C:ProgramDataMicrosoftWindowsTelemetrymsedge.exeمستقر می‌کند تا پایداری (Persistence) خود را در سیستم تضمین نماید. - مرحله چهارم (Final Implant): در نهایت، یک ماژول مدیریت فایل (File Manager) فعال می‌شود که ۲۱ دستور مختلف برای دسترسی کامل به سیستم فایل، آپلود، دانلود و استخراج داده‌ها را در اختیار اپراتور قرار می‌دهد.
تحلیل زیرساخت و اهداف
این کمپین سازمان‌ها و کاربران عادی را در بخش‌های مختلف از جمله دولت، IT، خرده‌فروشی و حمل‌ونقل در اروپا، آسیا و آفریقا هدف قرار داده است. استفاده از TLS-pinned certificates و کتابخانه nanopb protobuf برای انتقال داده‌ها، سطح پیچیدگی این بدافزار را در برقراری ارتباط با C2 افزایش داده است.
شاخص‌های شناسایی (IoCs)
دامنه‌ها و IPهای کلیدی:
First-stage C2: deadhub[.]org | 193.23.118[.]155
Second-stage C2: 208.64.33[.]90 | 208.94.246[.]53
مسیر فایل مخرب:
%ProgramData%MicrosoftWindowsTelemetrymsedge.exe
