گروه تهدید پیشرفته پایدار (APT) روسی به نام COLDRIVER که با نام‌های Callisto، Star Blizzard و UNC4057 نیز شناخته می‌شود، مسئول دور جدیدی از حملات سبک ClickFix شناسایی شده که برای تحویل دو خانواده بدافزار سبک جدید به نام‌های BAITSWITCH و SIMPLEFIX طراحی شده‌اند. محققان امنیتی Zscaler ThreatLabz که این کمپین چندمرحله‌ای را اوایل این ماه کشف کردند، BAITSWITCH را به عنوان یک دانلودر توصیف کرده‌اند که در نهایت SIMPLEFIX، یک بک‌دور PowerShell را نصب می‌کند. این گروه که از سال ۲۰۱۹ طیف گسترده‌ای از بخش‌ها را هدف قرار می‌دهد، از تاکتیک‌های ClickFix برای فریب کاربران استفاده می‌کند تا آن‌ها را وادار به اجرای یک فایل DLL مخرب در پنجره Run ویندوز تحت پوشش تکمیل بررسی CAPTCHA کند.
زنجیره حمله جدید شامل دسترسی BAITSWITCH به دامنه کنترل‌شده مهاجم برای دریافت بک‌دور SIMPLEFIX، ارسال اطلاعات سیستم، دریافت دستورات برای ایجاد پایداری، ذخیره محموله‌های رمزگذاری‌شده در رجیستری ویندوز و دانلود یک مرحله‌ساز PowerShell است. SIMPLEFIX پس از نصب با سرور فرمان و کنترل (C2) ارتباط برقرار کرده و اسکریپت‌های PowerShell، دستورات و فایل‌های اجرایی میزبانی‌شده در URLهای راه دور را اجرا می‌کند. این گروه عمدتاً اعضای سازمان‌های غیردولتی، مدافعان حقوق بشر، اندیشکده‌های مناطق غربی و افراد تبعیدی مقیم روسیه را هدف قرار می‌دهد.
کلمات کلیدی : COLDRIVER, APT روسی, ClickFix, BAITSWITCH, SIMPLEFIX, بدافزار PowerShell
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.