محققان امنیت سایبری جزئیات کمپین جدیدی به نام OneClik را منتشر کرده‌اند که از فناوری استقرار نرم‌افزار ClickOnce مایکروسافت و بک‌دورهای سفارشی Golang برای نفوذ به سازمان‌های بخش انرژی، نفت و گاز استفاده می‌کند. محققان شرکت Trellix اعلام کردند که این کمپین ویژگی‌هایی مطابق با عاملان تهدید وابسته به چین نشان می‌دهد، اگرچه انتساب آن هنوز محتاطانه باقی مانده است. این حملات فیشینگ از یک لودر مبتنی بر .NET به نام OneClikNet برای استقرار بک‌دور پیچیده‌ای مبتنی بر Go با نام رمز RunnerBeacon استفاده می‌کنند که برای ارتباط با زیرساخت کنترل‌شده مهاجمان طراحی شده و از طریق سرویس‌های ابری Amazon Web Services مخفی می‌شود.
زنجیره حملات با ایمیل‌های فیشینگ حاوی لینک به وب‌سایت جعلی تحلیل سخت‌افزار آغاز می‌شود که به عنوان کانالی برای تحویل اپلیکیشن ClickOnce عمل می‌کند. بک‌دور RunnerBeacon قابلیت‌های گسترده‌ای از جمله عملیات فایل، اجرای دستورات شل، ارتقای امتیازات و حرکت جانبی در شبکه دارد و می‌تواند از طریق پروتکل‌های مختلف HTTP(s)، WebSockets، TCP خام و SMB named pipes با سرور کنترل و فرماندهی ارتباط برقرار کند. سه نسخه مختلف از OneClick تنها در مارس ۲۰۲۵ مشاهده شده که هر نسخه قابلیت‌های بهبودیافته‌ای برای فرار از تشخیص نشان می‌دهد، در حالی که نسخه‌ای از RunnerBeacon قبلاً در سپتامبر ۲۰۲۳ در یک شرکت خاورمیانه‌ای در بخش نفت و گاز شناسایی شده بود.
کلمات کلیدی : امنیت سایبری, OneClik, ClickOnce, بک‌دور, فیشینگ, RunnerBeacon
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.