کمپین بدافزار DEAD#VAX با استقرار AsyncRAT از طریق فایل‌های فیشینگ VHD میزبانی‌شده در IPFS

کمپین بدافزاری جدید و پیچیده‌ای با نام DEAD#VAX شناسایی شده که با استفاده از ترکیبی از تکنیک‌های پیشرفته و سوءاستفاده هوشمندانه از ویژگی‌های مشروع سیستم، مکانیزم‌های تشخیص سنتی را دور می‌زند و تروجان دسترسی از راه دور AsyncRAT را مستقر می‌کند. محققان شرکت Securonix اعلام کردند که این حمله از فایل‌های VHD میزبانی‌شده در IPFS، مبهم‌سازی شدید اسکریپت، رمزگشایی در زمان اجرا و تزریق شل‌کد (shellcode) در حافظه به فرآیندهای معتبر ویندوز استفاده می‌کند، بدون اینکه هرگز یک فایل باینری رمزگشایی‌شده را روی دیسک ذخیره کند.

زنجیره آلودگی با ایمیل فیشینگ حاوی فایل دیسک سخت مجازی (VHD) آغاز می‌شود که به‌عنوان فایل PDF سفارش خرید جعل شده است. پس از دانلود و باز کردن فایل، آن به‌عنوان درایو مجازی مانت می‌شود و اسکریپت WSF را اجرا می‌کند که پس از بررسی عدم اجرا در محیط مجازی‌سازی یا sandbox، یک ماژول تزریق پاورشل را فعال می‌کند. این ماژول بدافزار نهایی را در فرآیندهای امضاشده مایکروسافت مانند RuntimeBroker.exe و OneDrive.exe تزریق می‌کند تا کاملاً در حافظه اجرا شود و با فعالیت‌های مشروع سیستم ترکیب شود. محققان تأکید کردند که این مدل اجرای بدون فایل (fileless execution) تشخیص و بازسازی جرم‌شناسی را به‌طور قابل‌توجهی دشوارتر می‌کند و به AsyncRAT اجازه می‌دهد با ریسک کمتری از کشف توسط کنترل‌های امنیتی سنتی عمل کند.