گروه روسی EncryptHub از آسیب‌پذیری MSC EvilTwin برای استقرار بدافزار Fickle Stealer سوءاستفاده می‌کند

گروه تهدیدآمیز EncryptHub همچنان از آسیب‌پذیری رفع‌شده در سیستم‌عامل مایکروسافت ویندوز برای ارسال بارهای مخرب سوءاستفاده می‌کند. محققان Trustwave SpiderLabs اعلام کردند که اخیراً کمپین جدیدی از EncryptHub را مشاهده کرده‌اند که مهندسی اجتماعی را با بهره‌برداری از آسیب‌پذیری در چارچوب Microsoft Management Console یا MMC (CVE-2025-26633 معروف به MSC EvilTwin) ترکیب می‌کند تا از طریق فایل مخرب Microsoft Console یا MSC، روند آلودگی را آغاز کند. این گروه هکری روسی که با نام‌های LARVA-208 و Water Gamayun نیز شناخته می‌شود، از اواسط سال ۲۰۲۴ به شهرت رسیده و با انگیزه مالی، از روش‌های متنوعی شامل پیشنهادات شغلی جعلی، بررسی نمونه‌کار و حتی نفوذ به بازی‌های Steam برای آلوده کردن اهداف با بدافزار سارق اطلاعات استفاده می‌کند.

در حملات اخیر، مهاجمان خود را بخشی از بخش فناوری اطلاعات معرفی کرده و از طریق Microsoft Teams درخواست اتصال از راه دور ارسال می‌کنند تا بارهای ثانویه را با استفاده از دستورات PowerShell مستقر کنند. آن‌ها از دو فایل MSC با نام یکسان استفاده می‌کنند که یکی بی‌ضرر و دیگری مخرب است، و هنگام اجرای فایل بی‌ضرر، فایل مخرب نیز فعال شده و آسیب‌پذیری CVE-2025-26633 را مورد سوءاستفاده قرار می‌دهد. این حملات منجر به نصب بدافزار سارق اطلاعات Fickle Stealer و ابزارهای دیگری می‌شود که اطلاعات سیستم را جمع‌آوری کرده و با سرورهای کنترل و فرماندهی (C2) ارتباط برقرار می‌کنند. مهاجمان همچنین از پلتفرم‌های ویدئوکنفرانس جعلی مانند RivaTalk برای فریب قربانیان استفاده می‌کنند و حتی به پلتفرم مشروع Brave Support نفوذ کرده‌اند تا بدافزارهای خود را میزبانی کنند.