یک کارگزار دسترسی اولیه (Initial Access Broker) با نام TA584 که از سال ۲۰۲۰ تحت نظارت بوده، اخیراً فعالیتهای خود را بهطور قابلتوجهی افزایش داده و از بدافزار Tsundere Bot همراه با تروجان دسترسی از راه دور XWorm برای نفوذ به شبکهها و راهاندازی حملات باجافزاری استفاده میکند. محققان Proofpoint گزارش میدهند که حجم فعالیتهای TA584 در اواخر سال ۲۰۲۵ سهبرابر شده و دامنه هدفگیری آن از آمریکای شمالی و بریتانیا به آلمان، کشورهای مختلف اروپایی و استرالیا گسترش یافته است. این گروه از زنجیره حمله پیچیدهای استفاده میکند که با ایمیلهای ارسالی از صدها حساب کاربری قدیمی و هکشده آغاز میشود و شامل فیلترینگ جغرافیایی، صفحات CAPTCHA و تکنیک ClickFix است که قربانیان را به اجرای دستورات PowerShell مخرب ترغیب میکند.
Tsundere Bot که یک پلتفرم بدافزار-بهعنوان-سرویس (Malware-as-a-Service) با قابلیتهای بکدور و لودر است، از بلاکچین اتریوم برای دریافت آدرس سرور کنترل خود استفاده میکرده و میتواند اطلاعات سیستم را جمعآوری کند، کدهای JavaScript دلخواه را اجرا کند و میزبانهای آلوده را بهعنوان پروکسی SOCKS استفاده کند. این بدافزار دارای بازار داخلی برای خرید و فروش باتهای آلوده است و در صورت تشخیص زبانهای کشورهای همسود (CIS) بهویژه روسی، اجرای خود را متوقف میکند. محققان با اطمینان بالا ارزیابی میکنند که آلودگی به Tsundere Bot میتواند منجر به حملات باجافزاری شود و انتظار دارند TA584 به آزمایش بدافزارهای مختلف و گسترش اهداف خود ادامه دهد.
کلمات کلیدی : کارگزار دسترسی اولیه, TA584, Tsundere Bot, XWorm, باجافزاری, بدافزار, حملات سایبری, PowerShell
نظر شما چیست؟
خوشحال میشویم نظر شما را بدانیم. نظری بنویسید.