بدافزار LOSTKEYS
عامل تهدید مرتبط با روسیه که با نام COLDRIVER شناخته میشود، ابزار خود را گسترش داده و فراتر از کمپینهای فیشینگ سنتی اعتبارنامهها عمل میکند. اخیراً، این گروه در حال استفاده از یک گونه بدافزار جدید به نام LOSTKEYS در یک کمپین جاسوسی هدفمند مشاهده شده است. این دومین بدافزار سفارشی مرتبط با COLDRIVER، پس از SPICA است. COLDRIVER که با نامهای مستعاری مانند Callisto، Star Blizzard و UNC4057 نیز ردیابی میشود، به خاطر سرقت اعتبارنامهها، استخراج ایمیل و جمعآوری لیست مخاطبین بدنام است. اکنون، دستورالعملهای آن شامل استقرار بدافزار انتخابی برای دسترسی به فایلها و دادههای سیستم است.
فهرست مطالب
رونمایی از LOSTKEYS: یک تهدید مخفیانه و هدفمند
بدافزار LOSTKEYS برای استخراج مخفیانه اطلاعات حساس، از جمله فایلهای دایرکتوریهای خاص، فرآیندهای در حال اجرا و جزئیات سیستم طراحی شده است. این بدافزار در طول ژانویه، مارس و آوریل 2025 در عملیاتها مورد استفاده قرار گرفته است. اهداف شامل مشاوران فعلی و سابق دولتها و ارتشهای غربی، روزنامهنگاران، اندیشکدهها، سازمانهای مردمنهاد و افراد مرتبط با اوکراین هستند. نکته قابل توجه این است که به نظر میرسد این بدافزار به صورت گزینشی مورد استفاده قرار میگیرد و بر استفاده از آن در حملات بسیار هدفمند تأکید دارد.
مهندسی اجتماعی ۲.۰: اتصال ClickFix
زنجیره آلودگی با یک CAPTCHA جعلی که در یک وبسایت جعلی میزبانی میشود، آغاز میشود. قربانیان فریب میخورند تا پنجره Run ویندوز را باز کنند و یک دستور PowerShell را که در کلیپبورد آنها کپی شده است، وارد کنند - روشی که با نام ClickFix شناخته میشود. این دستور یک دانلودکننده مرحله دوم را از یک سرور راه دور دریافت میکند که سپس یک اسکریپت PowerShell مرحله سوم را ارائه میدهد. این اسکریپت LOSTKEYS را روی میزبان اجرا میکند و در عین حال از شناسایی در محیطهای مجازی جلوگیری میکند.
بدافزار تغییر کاربری داده شده یا آزمایش اولیه؟
محققان امنیتی نمونههایی از LOSTKEYS را کشف کردند که قدمت آنها به دسامبر ۲۰۲۳ برمیگردد و فایلهای باینری Maltego، یک پلتفرم تحقیقاتی متنباز، را تقلید میکردند. هنوز مشخص نیست که آیا اینها نسخههای آزمایشی اولیه بودهاند یا کاربردهای نامرتبط این بدافزار قبل از استقرار تأیید شده آن در سال ۲۰۲۵.
پذیرش گستردهتر و آسیبهای ناشی از کلیکفیکس
تکنیک ClickFix در بین عوامل تهدید مختلف برای توزیع بدافزار محبوبیت پیدا کرده است. دو نمونه قابل توجه عبارتند از:
- تروجان بانکی Lampion : از طریق ایمیلهای فیشینگ با پیوستهای ZIP ارسال میشود. در داخل، یک فایل HTML قربانیان را به یک صفحه CAPTCHA جعلی با دستورالعملهای ClickFix هدایت میکند و یک آلودگی چند مرحلهای را آغاز میکند که بخشهای پرتغالیزبان مانند دولت، امور مالی و حملونقل را هدف قرار میدهد.
MacReaper: یک کمپین گسترده با سوءاستفاده از وبسایتهای قانونی
تحقیقات بیشتر، کمپین Atomic Stealer را به یک حمله watering hole در مقیاس بزرگ به نام MacReaper مرتبط کرده است. نزدیک به ۲۸۰۰ وبسایت قانونی برای نمایش پیامهای جعلی CAPTCHA مورد نفوذ قرار گرفتند. این حملات از جاوا اسکریپت مبهم، iframe های تمام صفحه و زیرساختهای مبتنی بر بلاکچین برای جلوگیری از شناسایی و به حداکثر رساندن آلودگی استفاده کردند.
