محققان امنیت سایبری بدافزار جدیدی مبتنی بر زبان برنامه‌نویسی Golang را شناسایی کرده‌اند که از تلگرام به‌عنوان مکانیزم ارتباط فرمان و کنترل (C2) استفاده می‌کند. آزمایشگاه تهدیدات Netskope که عملکرد این بدافزار را تشریح کرده، آن را احتمالاً دارای منشأ روسی توصیف کرده است. لئاندرو فروئس، محقق امنیتی، در تحلیلی که هفته گذشته منتشر شد گفت: “این بدافزار در Golang کامپایل شده و پس از اجرا مانند یک بک‌دور عمل می‌کند. اگرچه به نظر می‌رسد این بدافزار هنوز در حال توسعه است، اما کاملاً کاربردی است.”
پس از راه‌اندازی، این بک‌دور طراحی شده تا بررسی کند آیا در مکان مشخص “C:\Windows\Temp\svchost.exe” اجرا می‌شود یا خیر، و در صورت منفی بودن، محتویات خود را می‌خواند و در آن مکان کپی کرده و فرآیند جدیدی برای اجرای نسخه کپی‌شده ایجاد می‌کند. جنبه قابل توجه این بدافزار استفاده از کتابخانه متن‌باز برای ارتباط با API ربات تلگرام است که چهار دستور مختلف را پشتیبانی می‌کند: /cmd برای اجرای دستورات از طریق PowerShell، /persist برای راه‌اندازی مجدد، /screenshot که هنوز پیاده‌سازی نشده، و /selfdestruct برای حذف فایل و خاتمه فرآیند. ریشه‌های روسی این بدافزار از این واقعیت مشخص می‌شود که دستور “/cmd” پیام “Enter the command:” را به زبان روسی ارسال می‌کند.
کلمات کلیدی : بدافزار گولنگ, تلگرام بات, امنیت سایبری, بک‌دور, فرمان و کنترل, پاورشل
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.