هکرها از رزومه‌های جعلی برای سرقت اطلاعات سازمانی و استقرار ماینر ارز دیجیتال استفاده می‌کنند

یک کمپین فیشینگ (phishing) فعال، محیط‌های سازمانی فرانسوی‌زبان را هدف قرار داده است. در این حملات که توسط محققان شرکت Securonix با نام «FAUX#ELEVATE» شناسایی شده، فایل‌های VBScript به‌شدت مبهم‌سازی‌شده (obfuscated) در قالب رزومه‌های جعلی از طریق ایمیل‌های فیشینگ ارسال می‌شوند. پس از اجرا، این بدافزار یک مجموعه ابزار چندمنظوره را مستقر می‌کند که سرقت اطلاعات اعتباری (credential theft)، استخراج داده و استخراج ارز دیجیتال مونرو (Monero) را با یکدیگر ترکیب می‌کند. این کمپین از سرویس‌های قانونی مانند Dropbox برای میزبانی بارهای مخرب، سایت‌های وردپرس مراکشی برای پیکربندی سرور فرمان‌ودهی (C2)، و زیرساخت SMTP سرویس mail.ru برای استخراج اطلاعات دزدیده‌شده سوءاستفاده می‌کند.

این حمله که از نوع «زندگی روی زمین» (living-off-the-land) محسوب می‌شود، تنها ماشین‌های متصل به دامنه سازمانی (domain-joined) را هدف می‌گیرد و سیستم‌های خانگی را کاملاً نادیده می‌گذارد. زنجیره کامل آلودگی تنها در حدود ۲۵ ثانیه از اجرای اولیه VBScript تا استخراج اطلاعات اعتباری به پایان می‌رسد. ابزارهای مورد استفاده شامل اجزایی برای دور زدن رمزنگاری مرورگرهای مبتنی بر Chromium، سرقت اطلاعات Firefox، و استخراج ارز دیجیتال با استفاده از XMRig هستند. پس از اتمام سرقت اطلاعات، تمام ابزارهای مستقرشده برای کاهش ردپای جنایی (forensic footprint) حذف می‌شوند و تنها ماینر و تروجان پایدار (persistent Trojan) باقی می‌مانند.