بک‌دور جدید Mistic مرتبط با KongTuke در کمپین‌های ClickFix و ModeloRAT

یک درپشتی (backdoor) مخفیانه جدید با نام Mistic — که با عنوان MLTBackdoor نیز ردیابی می‌شود — از آوریل ۲۰۲۶ در قالب حملاتی با انگیزه مالی علیه سازمان‌هایی در بخش‌های بیمه، آموزش، فناوری اطلاعات و خدمات حرفه‌ای به‌کار گرفته شده است. بر اساس گزارش تیم Threat Hunter متعلق به Symantec و Carbon Black (شرکت Broadcom)، این بدافزار به یک کارگزار دسترسی اولیه (initial access broker) با نام KongTuke — که با نام‌های ۴۰۴ TDS، TAG-124 و Woodgnat نیز شناخته می‌شود — مرتبط است و همراه با ModeloRAT، یک تروجان دسترسی از راه دور (RAT) نوشته‌شده به زبان پایتون، توزیع می‌شود. Mistic بارهای مخرب را مستقیماً در حافظه اجرا می‌کند، هیچ فایلی روی دیسک نمی‌نویسد و دارای یک کلید خاموش‌سازی (kill switch) برای حذف خود است؛ ویژگی‌هایی که نشان‌دهنده تلاش برای دسترسی بلندمدت و کم‌نمایان است. این بدافزار همچنین از تکنیک بارگذاری جانبی DLL (DLL side-loading) با سوءاستفاده از ابزار امنیتی معتبر مایکروسافت («MpExtMs.exe») بهره می‌برد تا از شناسایی بگریزد.

ModeloRAT نخستین بار در ژانویه ۲۰۲۶ توسط Huntress در ارتباط با کمپین ClickFix شناسایی شد؛ کمپینی که در آن عوامل KongTuke از یک افزونه مخرب گوگل کروم — که خود را به‌عنوان مسدودکننده تبلیغات جا می‌زد — برای خراب کردن مرورگر قربانی و فریب دادن او برای اجرای دستورات دلخواه استفاده کردند. Zscaler ThreatLabz این ماه فعالیت Mistic را به یک عامل تهدید مرتبط با باج‌افزار (ransomware) نسبت داده است و Symantec نیز تأیید کرده که ModeloRAT در حملاتی که باج‌افزار Qilin را مستقر کرده‌اند، مشاهده شده است. Broadcom هشدار داد که استفاده از ابزارهای سفارشی در حملات باج‌افزاری رو به افزایش است و Mistic احتمالاً توسط کارگزاران دسترسی همکار با شرکای باج‌افزاری توسعه یافته، نه توسط خود گروه‌های باج‌افزاری.