תוכנה זדונית Matanbuchus 3.0

Matanbuchus היא פלטפורמת Malware-as-a-Service ידועה לשמצה, שנועדה לספק מטענים בשלב הבא, כגון Cobalt Strike beacons ו-ransomware. התוכנה הזדונית, שקודמה לראשונה בפברואר 2021 בפורומים דוברי רוסית תמורת 2,500 דולר, הפכה במהרה לבחירה מועדפת עבור גורמי איום. תוקפים השתמשו בה בקמפיינים בסגנון ClickFix, והטעו משתמשים דרך אתרים לגיטימיים אך פרוצים.

טקטיקות משלוח ווקטורי איום מתפתחים

טכניקות ההפצה של התוכנה הזדונית הפכו מתוחכמות יותר ויותר. קמפיינים ראשוניים הסתמכו במידה רבה על הודעות דוא"ל פישינג שהפנו קורבנות לקישורים זדוניים של גוגל דרייב. עם הזמן, התוקפים הרחיבו את הארסנל שלהם וכללו:

• הורדות Drive-by מאתרים שנפרצו
• מתקינים זדוניים של MSI
• קמפיינים של פרסום זדוני

Matanbuchus נצפה פורס מטענים משניים כמו DanaBot, QakBot ו-Cobalt Strike, המשמשים לעתים קרובות כאבני קפיצה להדבקות באמצעות תוכנות כופר.

מתנבוכוס 3.0: יכולות ותכונות מתקדמות

הגרסה האחרונה, Matanbuchus 3.0, מציגה שיפורים משמעותיים לשיפור החמקנות והעמידות. שדרוגים עיקריים כוללים:

• טכניקות פרוטוקול תקשורת מתקדמות
• ביצוע בזיכרון לצורך התגנבות
• ערפול משופר כדי להתחמק מגילוי
• תמיכה במעטפת הפוכה דרך CMD ו-PowerShell
• יכולת להפעיל עומסי DLL, EXE ו-shellcode

התפתחות זו מדגישה את תפקידה של התוכנה הזדונית בקידום התקפות מתקדמות ורב-שלביות.

ניצול בעולם האמיתי: הנדסה חברתית באמצעות Microsoft Teams

חוקרים חשפו קמפיין מיולי 2025 שכוון נגד חברה אנונימית. התוקפים התחזו לאנשי צוות תמיכה של IT במהלך שיחות חיצוניות של Microsoft Teams, ושכנעו עובדים להפעיל את Quick Assist לגישה מרחוק. זה אפשר להם להריץ סקריפט PowerShell שפורס את Matanbuchus.

טקטיקות כאלה משקפות שיטות הנדסה חברתית שקושרו בעבר לקבוצת הכופר Black Basta, דבר המצביע על חפיפה הולכת וגוברת בין פעולות טוען לבין פעולות כופר.

מתחת למכסה המנוע: שרשרת הדבקה והתמדה

לאחר שהקורבנות מריצים את הסקריפט שסופק, מתבצעת הורדה של קובץ ארכיון. בפנים נמצאים:

• עדכון Notepad++ (GUP) ששמו שונה
• קובץ תצורת XML שעבר שינוי
• קובץ DLL זדוני המייצג את הטוען

לאחר הביצוע, Matanbuchus אוספת נתוני מערכת, בודקת כלי אבטחה ומאשרת רמות הרשאות לפני שידור פרטים לשרת הפיקוד והבקרה (C2) שלה. מטענים נוספים מועברים לאחר מכן כחבילות MSI או קבצי הרצה. עמידות מושגת על ידי יצירת משימות מתוזמנות באמצעות אובייקטי COM והזרקת shellcode, טכניקה המשלבת פשטות ותחכום.

התגנבות ושליטה: למה זה מסוכן

הטוען תומך בתכונות מתקדמות, כולל שאילתות WQL ופקודות מרחוק לאיסוף פרטים על תהליכים, שירותים ויישומים מותקנים. הוא יכול לבצע פקודות מערכת כגון regsvr32, rundll32, msiexec, ואפילו לבצע תהליך חלול, מה שמדגיש את הגמישות שלו.

תמחור ומודל העסקי שמאחורי האיום

פלטפורמת MaaS זו ראתה את התמחור שלה מרקיע שחקים עם מערך התכונות שלה:

• 10,000 דולר לחודש עבור גרסת HTTPS
• 15,000 דולר לחודש עבור גרסת ה-DNS

עלויות כאלה משקפות את יעילותה של התוכנה הזדונית ואת הביקוש שלה במערכת האקולוגית של פשעי הסייבר.

מתנבוכוס והתמונה הגדולה יותר של התפתחות MaaS

הגרסה האחרונה מגלמת את המגמה של טוענים חמקניים הממנפים LOLBins, חטיפת COM ו-PowerShell stagers כדי להישאר בלתי מזוהים. ניצול לרעה של כלי שיתוף פעולה כמו Microsoft Teams ו-Zoom מסבך עוד יותר את אבטחת הארגון. חוקרים מדגישים שילוב של זיהוי טוענים בניהול משטחי התקיפה ככל שאיומים אלה ממשיכים להתפתח.