تومیریس به ایمپلنت‌های خدمات عمومی برای C2 مخفی‌تر در حملات علیه اهداف دولتی روی می‌آورد

گروه تهدیدساز توماریس (Tomiris) به حملات علیه وزارت‌خارجه‌ها، سازمان‌های بین‌دولتی و نهادهای دولتی در روسیه متهم شده است که هدف آن‌ها ایجاد دسترسی از راه دور و استقرار ابزارهای اضافی بوده است. محققان کسپرسکی اعلام کردند که این حملات تغییر قابل توجهی در تاکتیک‌های توماریس را نشان می‌دهد، به‌ویژه استفاده فزاینده از ایمپلنت‌هایی که از خدمات عمومی مانند تلگرام و دیسکورد به‌عنوان سرورهای فرمان و کنترل (C2) استفاده می‌کنند تا ترافیک مخرب را با فعالیت‌های مشروع خدمات ترکیب کرده و از ابزارهای امنیتی فرار کنند.

بیش از ۵۰ درصد ایمیل‌های فیشینگ هدفمند و فایل‌های طعمه استفاده شده در این کمپین دارای نام‌های روسی و متن روسی بوده که نشان‌دهنده تمرکز اصلی بر کاربران یا نهادهای روسی‌زبان است. این حملات همچنین ترکمنستان، قرقیزستان، تاجیکستان و ازبکستان را با محتوای متناسب با زبان‌های ملی آن‌ها هدف قرار داده‌اند. توماریس که نخستین بار در سپتامبر ۲۰۲۱ شناسایی شد، ترکیبی از شل‌های معکوس، ایمپلنت‌های سفارشی و فریم‌ورک‌های C2 متن‌باز مانند Havoc و AdaptixC2 را برای تسهیل فعالیت‌های پس از نفوذ به‌کار می‌گیرد. کسپرسکی اعلام کرد که کمپین توماریس ۲۰۲۵ از ماژول‌های بدافزار چندزبانه برای افزایش انعطاف‌پذیری عملیاتی و فرار از تشخیص استفاده می‌کند و تکامل تاکتیک‌ها بر تمرکز این گروه تهدیدساز بر مخفی‌کاری، پایداری بلندمدت و هدف‌گیری استراتژیک سازمان‌های دولتی و بین‌دولتی تأکید دارد.