یک کمپین بدافزار جدید با استفاده از تاکتیک‌های مهندسی اجتماعی برای توزیع روت‌کیت متن‌باز r77 شناسایی شده است. این فعالیت که توسط Securonix با نام OBSCURE#BAT نامگذاری شده، به مهاجمان امکان ایجاد پایداری و فرار از تشخیص در سیستم‌های آسیب‌دیده را می‌دهد. محققان امنیتی اعلام کردند که این روت‌کیت قابلیت پنهان‌سازی هر فایل، کلید رجیستری یا وظیفه‌ای که با پیشوند خاصی شروع می‌شود را دارد و عمدتاً کاربران انگلیسی‌زبان در آمریکا، کانادا، آلمان و انگلستان را هدف قرار می‌دهد.
این کمپین از دو روش اصلی برای دسترسی اولیه استفاده می‌کند: استراتژی ClickFix که کاربران را به صفحه تأیید جعلی CAPTCHA کلودفلر هدایت می‌کند، و روش دوم که بدافزار را به عنوان ابزارهای مشروع مانند مرورگر Tor، نرم‌افزار VoIP و کلاینت‌های پیام‌رسان تبلیغ می‌کند. بدافزار از طریق اسکریپت batch مبهم‌شده ویندوز شروع به کار کرده و دستورات PowerShell را اجرا می‌کند تا فرآیند چندمرحله‌ای را فعال کند که به استقرار روت‌کیت منجر می‌شود. این بدافزار اسکریپت‌های مبهم‌شده را در رجیستری ویندوز ذخیره کرده و از طریق وظایف زمان‌بندی‌شده اجرا می‌شود، همچنین درایور جعلی (ACPIx86.sys) را ثبت کرده و فعالیت کلیپ‌بورد و تاریخچه دستورات را نظارت می‌کند.
کلمات کلیدی : کمپین بدافزار, روت‌کیت r77, مهندسی اجتماعی, OBSCURE#BAT, ClickFix, PowerShell malware
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.