لودر جدید OXLOADER از تبلیغات مخرب گوگل برای توزیع CastleStealer استفاده می‌کند

محققان امنیت سایبری جزئیات یک کمپین جدید را فاش کردند که بدافزار سرقت اطلاعات CastleStealer را از طریق یک بارگذار بدافزار (malware loader) ناشناخته به نام OXLOADER توزیع می‌کند. بر اساس گزارش آزمایشگاه‌های امنیتی Elastic، این کمپین که با نام REF8372 شناسایی شده، از تبلیغات مخرب گوگل (malicious Google Ads) به عنوان نقطه آغاز استفاده می‌کند. شواهد نشان می‌دهد عامل تهدید احتمالاً روسی‌زبان و با انگیزه مالی است، چرا که کد بدافزار به‌صراحت از آلوده کردن سیستم‌های واقع در کشورهای مشترک‌المنافع (CIS) جلوگیری می‌کند. حساب تبلیغ‌دهنده مرتبط با این کمپین در ۱۴ مه ۲۰۲۶ توسط گوگل حذف شد.

حمله زمانی آغاز می‌شود که کاربران عبارت‌هایی مانند «نسخه LTS از Node.js» را جستجو می‌کنند و از طریق تبلیغات جعلی به یک وب‌سایت تقلبی هدایت می‌شوند. در این سایت، یک اسکریپت دسته‌ای (batch script) میزبانی‌شده روی پلتفرم ذخیره‌سازی ابری Storj به کاربر ارائه می‌شود که ضمن نمایش یک رابط کاربری نصب جعلی، بارگذار OXLOADER را به‌صورت مخفیانه دانلود و اجرا می‌کند. این بارگذار از تکنیک‌های پیچیده‌ای مانند مسطح‌سازی جریان کنترل (control-flow flattening)، گزاره‌های مبهم (opaque predicates) و رمزنگاری خودتغییردهنده برای فرار از شناسایی استفاده می‌کند و در نهایت بدافزار CastleStealer را از طریق بارگذاری جانبی DLL (DLL side-loading) اجرا می‌نماید. محققان Elastic هشدار دادند که OXLOADER در مرحله اولیه عملیاتی قرار دارد، اما طراحی پیچیده آن نرخ شناسایی پایینی را در موتورهای تحلیل استاتیک به همراه داشته است.