بدافزار لودر Matanbuchus از طریق مهندسی اجتماعی در تماس‌های Microsoft Teams و با جعل هویت پشتیبانی فنی توزیع می‌شود. این بدافزار که به عنوان سرویس (malware-as-a-service) عرضه می‌شود، نخستین بار در اوایل ۲۰۲۱ در وب تاریک تبلیغ شد و با قیمت ۲۵۰۰ دلار به عنوان لودر ویندوزی معرفی گردید که بارهای مخرب را مستقیماً در حافظه اجرا می‌کند تا از شناسایی فرار کند. محققان شرکت Morphisec کشف کرده‌اند که نسخه جدید این بدافزار، Matanbuchus 3.0، قابلیت‌های پیشرفته‌ای برای فرار از شناسایی، مبهم‌سازی و عملیات پس از نفوذ دارد.
مهاجمان با برقراری تماس خارجی Microsoft Teams و جعل هویت پشتیبانی فنی مشروع، قربانیان را متقاعد می‌کنند تا ابزار Quick Assist را راه‌اندازی کنند و سپس اسکریپت PowerShell مخربی را اجرا کنند. نسخه ۳.۰ این بدافزار از رمزنگاری Salsa20 به جای RC4 استفاده می‌کند، بارهای مخرب را در حافظه اجرا می‌کند و از طریق shellcode سفارشی، فراخوانی‌های سیستمی (syscalls) را انجام می‌دهد تا از پوشش‌های API ویندوز و قلاب‌های EDR عبور کند. این بدافزار همچنین قابلیت شناسایی ابزارهای امنیتی سیستم و تطبیق روش‌های اجرای خود با پشته امنیتی قربانی را دارد.
کلمات کلیدی : بدافزار Matanbuchus, مهندسی اجتماعی, Microsoft Teams, malware-as-a-service, PowerShell مخرب, رمزنگاری Salsa20
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.