هکرهای DragonForce از رله‌های Microsoft Teams برای پنهان‌سازی ترافیک C2 با Backdoor.Turn سوءاستفاده می‌کنند

گروه تهدید مرتبط با باج‌افزار DragonForce از یک تروجان دسترسی از راه دور (RAT) سفارشی مبتنی بر زبان Go به نام «Backdoor.Turn» استفاده کرده است تا ترافیک فرمان و کنترل (C2) خود را در زیرساخت رله مایکروسافت تیمز پنهان کند. بر اساس یافته‌های شرکت‌های Symantec و Carbon Black (متعلق به Broadcom)، این درپشتی (backdoor) علیه یک شرکت خدماتی بزرگ آمریکایی به‌کار گرفته شده است. این بدافزار با دریافت یک توکن ناشناس از سرویس‌های هویتی مبتنی بر اسکایپ مایکروسافت، از رله قانونی TURN مایکروسافت تیمز برای برقراری اتصال استفاده می‌کند و سپس یک نشست QUIC به سرور C2 واقعی مهاجمان برقرار می‌سازد؛ به‌گونه‌ای که از دید مدافعان شبکه، تنها اتصالات خروجی به سرورهای قانونی مایکروسافت تیمز قابل مشاهده بود. مهاجمان بین یک تا دو ماه در شبکه قربانی حضور داشتند.

فعالیت مخرب از دسامبر ۲۰۲۵ آغاز شد و مهاجمان با اجرای دستورات PowerShell، یک فایل ZIP را تحت عنوان به‌روزرسانی پشتیبانی فنی مستقر کردند که حمله بارگذاری جانبی DLL (DLL side-loading) را راه‌اندازی کرد. این حمله از تکنیک «درایور آسیب‌پذیر خودآورده» (BYOVD) با استفاده از درایور هوآوی برای خاموش کردن نرم‌افزارهای امنیتی بهره برد. نکته قابل توجه آنکه Backdoor.Turn پس از استقرار باج‌افزار DragonForce اجرا شد که نشان‌دهنده تلاش برای حفظ دسترسی مستمر به سیستم آلوده است. این بدافزار قابلیت‌های گسترده‌ای از جمله اجرای دستور، اسکن شبکه، جستجوی LDAP و Active Directory، حرکت جانبی (lateral movement) و سرقت اعتبارنامه مرورگر را پشتیبانی می‌کند. کارشناسان Symantec این گروه را که اکنون از مدل باج‌افزار-به‌عنوان-سرویس (RaaS) به ساختار کارتل سازمان‌یافته تبدیل شده، یکی از توانمندترین و پایدارترین گروه‌های باج‌افزاری فعال امروز توصیف کردند.