محققان امنیت سایبری جزئیات یک کمپین جدید «کلیک‌فیکس» (ClickFix) را فاش کردند که از وب‌سایت‌های قانونی هک‌شده برای توزیع یک تروجان دسترسی از راه دور (RAT) ناشناخته به نام «MIMICRAT» (با نام دیگر AstarionRAT) استفاده می‌کند. بر اساس گزارش آزمایشگاه‌های امنیتی Elastic، این بدافزار یک RAT سفارشی نوشته‌شده با ++C است که از جعل توکن ویندوز (Windows token impersonation)، تونل‌سازی SOCKS5 و ۲۲ دستور برای قابلیت‌های گسترده پس از نفوذ پشتیبانی می‌کند. نقطه ورود این حمله، سرویس قانونی اعتبارسنجی شماره شناسایی بانکی (BIN) به نام bincheck[.]io بوده که با تزریق کد مخرب جاوااسکریپت به خطر افتاده است.
زنجیره آلودگی شامل یک صفحه جعلی تأیید هویت کلودفلر (Cloudflare) است که قربانی را فریب می‌دهد تا دستوری را در پنجره Run ویندوز اجرا کند؛ این دستور یک اسکریپت PowerShell چندمرحله‌ای را راه‌اندازی می‌کند که پیش از نصب بارگذار مبتنی بر Lua، سازوکارهای ثبت رویداد ویندوز (ETW) و اسکن آنتی‌ویروس (AMSI) را دور می‌زند. این کمپین از ۱۷ زبان پشتیبانی می‌کند و محتوای فریب را بر اساس تنظیمات زبان مرورگر قربانی به‌صورت پویا بومی‌سازی می‌کند. قربانیان شناسایی‌شده شامل یک دانشگاه آمریکایی و کاربران چینی‌زبان هستند و هدف نهایی حمله، استقرار باج‌افزار یا سرقت داده ارزیابی شده است.
کلمات کلیدی : کمپین کلیک‌فیکس, تروجان دسترسی از راه دور MIMICRAT, بدافزار RAT سفارشی, حمله ClickFix جاوااسکریپت, دور زدن آنتی‌ویروس PowerShell, سرقت داده و باج‌افزار
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.