Noodlophile Malware Campaign
פושעי סייבר העומדים מאחורי נוזקת Noodlophile מנהלים קמפיין מתמשך המכוון נגד ארגונים בארה"ב, אירופה, המדינות הבלטיות ואזור אסיה-פסיפיק. על ידי שילוב טקטיקות של "פישינג ספיר" עם מנגנוני אספקה מתפתחים, הם שואפים לפרוס כלי רב עוצמה לגניבת מידע שממשיך לגדול בתחכום.
תוכן העניינים
פישינג ספיר עם טוויסט
הקמפיין, הפעיל למעלה משנה, עבר לכיוון הודעות דוא"ל מסוג "פישינג ספיר" במסווה של הודעות על הפרת זכויות יוצרים. הודעות דוא"ל אלו אינן גנריות; התוקפים מתאימים אותן לפי נתוני סיור כגון מזהי דפי פייסבוק ופרטי בעלות על חברות כדי להגביר את אמינותן.
גלים קודמים של קמפיין נודלופילים , שנחשפו במאי 2025, הסתמכו על כלים מזויפים המופעלים על ידי בינה מלאכותית שקודמו דרך ערוצי מדיה חברתית כמו פייסבוק. כעת, המעבר לפיתויים הקשורים לזכויות יוצרים מסמן פרק חדש באבולוציה שלו. ראוי לציין כי אסטרטגיות דומות נראו בעבר: בנובמבר 2024, קמפיין פישינג בקנה מידה גדול השתמש בטענות שווא על הפרת זכויות יוצרים כדי להפיץ את Rhadamanthys Stealer.
אנטומיה של שרשרת ההתקפה
הפעולה הנוכחית מתחילה עם הודעות דיוג שמקורן בג'ימייל, שנועדו לעקוף חשד תוך כדי יצירת דחיפות סביב הפרות זכויות יוצרים לכאורה. בתוך ההודעה, קישור לדרופבוקס מספק קובץ ZIP או MSI. לאחר הביצוע, מתקין זה טוען בצד קובץ DLL זדוני דרך קבצים בינאריים לגיטימיים של קורא ה-PDF של Haihaisoft. לפני שגנב ה-Noodlophile מופעל, נעשה שימוש בסקריפטים של אצווה כדי ליצור עמידות על ידי שינוי ערכי הרישום של Windows.
טכניקה חמקנית במיוחד כוללת תיאורי קבוצות בטלגרם, אשר משמשים כ"פתרון נפילות" (dead drop resolver) כדי להפנות את הקורבנות לשרת המטען בפועל המתארח ב- paste.rs. שיטה זו מסבכת את מאמצי הזיהוי וההסרה תוך מתן אפשרות להעברת מטען דינמית.
טקטיקות התחמקות מתפתחות
בהתבסס על קמפיינים קודמים אשר ניצלו ארכיונים מקודדים ב-Base64 ו-LOLBins כמו certutil.exe, הגרסה הנוכחית מוסיפה:
- ערוצי פיקוד ובקרה מבוססי טלגרם
- טכניקות ביצוע בזיכרון כדי להתחמק מזיהוי מבוסס דיסק
חידושים אלה מציגים מגמה מתמדת לעבר מנגנוני התחמקות מתוחכמים יותר, מה שהופך את ההגנות המסורתיות לפחות יעילות.
יכולותיו של נודלופיל
נודלופיל אינו גנב פשוט, אלא ארגז כלים שמתפתח ללא הרף, שנועד לחשוף מגוון רחב של נתונים רגישים. ניתוח נוכחי מראה שהוא יכול:
- חלץ נתוני דפדפן ומידע מערכת.
- איסוף פרטים הקשורים לעסקים ברשתות חברתיות, במיוחד מפייסבוק.
ניתוח קוד מתמשך מגלה כי המפתחים עובדים על הרחבת הפונקציונליות שלו. התכונות המתוכננות כוללות צילום מסך, רישום מקשים, חילוץ קבצים, ניטור תהליכים, סיור רשת, הצפנת קבצים וחילוץ היסטוריית דפדפן מפורטת.
סיכון ארגוני מתרחב
הדגש של הקמפיין על נתוני דפדפן ומדיה חברתית מדגיש אסטרטגיה מכוונת: לפגוע בארגונים בעלי נוכחות חזקה באינטרנט. עם פונקציות חדשות בפיתוח, נודלופיל עשויה להתפתח לאיום רב-תכליתי ומסוכן יותר, המשלב ריגול, גניבת אישורים ואף יכולות דמויות תוכנות כופר בעתיד.
