محققان امنیت سایبری شرکت Huntress یک کمپین جدید بدافزار ایمیلی (malspam) را شناسایی کرده‌اند که از دامنه DoubleClick گوگل برای فرار از شناسایی و انتشار یک تروجان دسترسی از راه دور (RAT) به نام DesckVB RAT استفاده می‌کند. این تروجان مبتنی بر .NET از فوریه ۲۰۲۶ فعال بوده است. حمله با باز کردن یک فایل HTML پیوست‌شده به ایمیل فیشینگ آغاز می‌شود که کاربر را از طریق یک URL ردیابی کلیک در Google DoubleClick Campaign Manager هدایت می‌کند. سپس آدرس ایمیل قربانی به‌صورت پویا رمزگشایی شده و صفحه‌ای شخصی‌سازی‌شده با برندینگ شرکت هدف نمایش داده می‌شود تا اعتماد قربانی جلب شود. با کلیک روی دکمه «دانلود PDF»، یک فایل ZIP دانلود می‌شود که زنجیره آلودگی را آغاز می‌کند.
این بدافزار از تکنیک‌های پیشرفته‌ای برای فرار از شناسایی بهره می‌برد؛ از جمله غیرفعال‌سازی رابط اسکن ضدبدافزار (AMSI)، ردیابی رویدادهای ویندوز (ETW)، و تزریق به فرآیندهای امضاشده مایکروسافت از طریق تکنیک «process hollowing». پس از اجرا، تروجان با سرور فرمان و کنترل (C2) از طریق سوکت‌های TCP ارتباط برقرار کرده، داده‌ها را استخراج می‌کند و کنترل کامل سیستم آلوده را در اختیار مهاجمان قرار می‌دهد. شرکت Huntress توصیه کرده است که سازمان‌ها با پیکربندی سیاست‌های گروهی (GPO) برای باز کردن فایل‌های اسکریپت در Notepad، و همچنین استقرار پروتکل‌های امنیتی ایمیل نظیر DMARC، DKIM و SPF، لایه‌های دفاعی چندگانه‌ای ایجاد کنند.
کلمات کلیدی : بدافزار ایمیلی, تروجان دسترسی از راه دور, فیشینگ گوگل DoubleClick, DesckVB RAT, فرار از شناسایی بدافزار, امنیت سایبری
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.