بدافزار CloudZ از Microsoft Phone Link برای سرقت پیامک و رمزهای یک‌بار مصرف سوءاستفاده می‌کند

محققان شرکت Cisco Talos یک افزونه مخرب جدید به نام «Pheno» کشف کرده‌اند که در نسخه جدیدی از ابزار دسترسی از راه دور (RAT) به نام CloudZ به‌کار گرفته می‌شود. این افزونه با سوءاستفاده از برنامه Microsoft Phone Link که به‌صورت پیش‌فرض روی ویندوز ۱۰ و ۱۱ نصب است، ارتباط بین رایانه و گوشی موبایل کاربر را هدف قرار می‌دهد تا رمزهای یک‌بارمصرف (OTP) مبتنی بر پیامک و سایر اطلاعات حساس را به سرقت ببرد. این بدافزار که از حداقل ژانویه ۲۰۲۵ فعال بوده، پایگاه داده SQLite برنامه Phone Link را رصد کرده و به محتوای آن دسترسی می‌یابد؛ بدین ترتیب مهاجم می‌تواند بدون نیاز به نفوذ مستقیم به دستگاه موبایل قربانی، پیام‌های حساس را رهگیری کند.

زنجیره آلودگی با اجرای یک به‌روزرسانی جعلی ScreenConnect آغاز می‌شود که یک بارگذار (loader) مبتنی بر Rust را مستقر می‌کند و در ادامه، یک بارگذار دات‌نت (.NET) نصب CloudZ RAT را انجام داده و از طریق یک وظیفه زمان‌بندی‌شده (scheduled task) پایداری آن را تضمین می‌کند. این بارگذار همچنین دارای قابلیت‌های ضدتحلیل از جمله فرار از محیط‌های شبیه‌سازی‌شده (sandbox evasion) و شناسایی ابزارهایی مانند Wireshark و Fiddler است. Cisco Talos توصیه می‌کند کاربران به‌جای رمزهای یک‌بارمصرف مبتنی بر پیامک، از اپلیکیشن‌های احراز هویت و برای اطلاعات حساس‌تر از کلیدهای سخت‌افزاری مقاوم در برابر فیشینگ استفاده کنند.