بدافزار SIMPLEFIX

گروه تهدید پیشرفته مداوم (APT) روسی COLDRIVER با موج جدیدی از حملات به سبک ClickFix مرتبط شده است که دو خانواده بدافزار سبک وزن را معرفی می‌کند: BAITSWITCH و SIMPLEFIX. محققان امنیتی این کمپین چند مرحله‌ای را در سپتامبر 2025 شناسایی کردند. BAITSWITCH به عنوان یک دانلودکننده عمل می‌کند که در نهایت SIMPLEFIX، یک درب پشتی مبتنی بر PowerShell، را ارائه می‌دهد.

COLDRIVER که با نام‌های مستعاری مانند Callisto، Star Blizzard و UNC4057 نیز شناخته می‌شود، از سال ۲۰۱۹ فعال بوده و طیف وسیعی از سازمان‌ها را هدف قرار داده است. کمپین‌های اولیه برای هدایت قربانیان به صفحات جمع‌آوری اطلاعات محرمانه، به فیشینگ هدفمند متکی بودند. با گذشت زمان، این گروه ابزارهای سفارشی مانند SPICA و LOSTKEYS را توسعه داده است که نشان‌دهنده پیچیدگی فنی رو به رشد آن است.

کلیک‌فیکس: یک مسیر حمله‌ی اثبات‌شده و مداوم

این گروه APT پیش از این تاکتیک‌های ClickFix را که اولین بار در ماه مه ۲۰۲۵ مستند شده بود، به کار گرفته بود. در آن کمپین‌ها، وب‌سایت‌های جعلی با ارائه درخواست‌های جعلی CAPTCHA، قربانیان را فریب می‌دادند تا دستورات PowerShell را اجرا کنند که اسکریپت ویژوال بیسیک LOSTKEYS را تحویل می‌داد.

اگرچه ClickFix نه جدید است و نه خیلی پیشرفته، اما استفاده مکرر از آن، اثربخشی آن را به عنوان یک عامل آلودگی نشان می‌دهد. حملات اخیر از همان روش کلی استفاده می‌کنند: قربانیان فریب می‌خورند تا یک DLL مخرب را از طریق پنجره Run ویندوز اجرا کنند، ظاهراً برای تکمیل بررسی CAPTCHA.

آناتومی زنجیره حمله

حمله به شرح زیر انجام می‌شود:

فایل DLL مربوط به BAITSWITCH اجرا شده و به دامنه تحت کنترل مهاجم (captchanom.top) متصل می‌شود تا درب پشتی SIMPLEFIX را دریافت کند. یک سند جعلی که در گوگل درایو میزبانی می‌شود، برای پرت کردن حواس قربانی نمایش داده می‌شود.

چندین درخواست HTTP به یک سرور ارسال می‌شوند تا اطلاعات سیستم را منتقل کنند، دستورات لازم برای ماندگاری را دریافت کنند، فایل‌های رمزگذاری شده را در رجیستری ویندوز ذخیره کنند، یک استیجر پاورشل دانلود کنند و تاریخچه‌ی دیالوگ Run اخیر را برای پوشاندن ردپاها پاک کنند.

استیجر پاورشل، SIMPLEFIX را از southprovesolutions.com دانلود می‌کند. SIMPLEFIX با یک سرور فرماندهی و کنترل (C2) ارتباط برقرار می‌کند و اجرای اسکریپت‌ها، دستورات و فایل‌های باینری پاورشل را از راه دور امکان‌پذیر می‌سازد.

یک اسکریپت PowerShell که از طریق SIMPLEFIX اجرا می‌شود، مجموعه‌ای از دایرکتوری‌ها و انواع فایل‌ها را برای استخراج هدف قرار می‌دهد و همپوشانی‌هایی با کمپین‌های قبلی LOSTKEYS دارد.

مشخصات هدف و تمرکز استراتژیک

فعالیت‌های COLDRIVER در درجه اول بر بازیگران جامعه مدنی، از جمله موارد زیر، متمرکز است:

• اعضای سازمان‌های مردم‌نهاد و اندیشکده‌ها در مناطق غربی

کمپین فعلی با این قربانی‌شناسیِ جاافتاده همسو است و علاقه‌ی مداوم این گروه به جامعه‌ی مدنی روسیه و شبکه‌های مرتبط را تقویت می‌کند.