محققان امنیت سایبری به کمپین جدیدی با نام JS#SMUGGLER هشدار داده‌اند که از وب‌سایت‌های هک‌شده برای توزیع تروجان دسترسی از راه دور NetSupport RAT استفاده می‌کند. شرکت Securonix توضیح داد که این حمله سه‌مرحله‌ای شامل یک لودر جاوااسکریپت مبهم‌شده تزریق‌شده در وب‌سایت، یک برنامه HTML که اسکریپت‌های پاورشل رمزگذاری‌شده را اجرا می‌کند، و یک پی‌لود پاورشل برای دانلود و اجرای بدافزار اصلی است. این بدافزار به مهاجمان کنترل کامل بر سیستم قربانی از جمله دسترسی ریموت دسکتاپ، عملیات فایل، اجرای دستورات و سرقت اطلاعات را می‌دهد. این کمپین که کاربران سازمانی را هدف قرار می‌دهد، از تکنیک‌های پیشرفته‌ای مانند آی‌فریم‌های مخفی، لودرهای مبهم‌شده و اجرای چندلایه اسکریپت استفاده می‌کند و مکانیزم ردیابی دارد تا منطق مخرب فقط در اولین بازدید اجرا شود و احتمال شناسایی را کاهش دهد.
Securonix همچنین کمپین دیگری با نام CHAMELEON#NET را افشا کرد که از ایمیل‌های فیشینگ برای توزیع بدافزار Formbook استفاده می‌کند. این کمپین با فریب کاربران بخش تامین اجتماعی ملی برای دانلود یک آرکایو BZ2. آغاز می‌شود و از یک فایل جاوااسکریپت به‌شدت مبهم‌شده به‌عنوان دراپر استفاده می‌کند که منجر به اجرای یک لودر VB.NET پیچیده می‌شود. این لودر از تکنیک‌های پیشرفته و رمزگشایی XOR شرطی سفارشی برای رمزگشایی و اجرای Formbook به‌طور کامل در حافظه استفاده می‌کند و از طریق پوشه استارتاپ ویندوز یا رجیستری پایداری را حفظ می‌کند.
کلمات کلیدی : JS#SMUGGLER, NetSupport RAT, بدافزار, امنیت سایبری, فیشینگ, Formbook
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.