گروه SideCopy مرتبط با پاکستان، وزارت مالیه افغانستان را با Xeno RAT هدف قرار داد

محققان امنیت سایبری جزئیات یک کمپین فیشینگ هدفمند (spear-phishing) را فاش کردند که احتمالاً توسط گروه SideCopy وابسته به پاکستان علیه وزارت مالیه افغانستان انجام شده است. این کمپین که «عملیات XENOFISCAL» نام گرفته، از یک تروجان دسترسی از راه دور متن‌باز (open-source RAT) به نام Xeno RAT بهره می‌برد. حمله با ارسال یک فایل فشرده ZIP حاوی یک فایل مخرب LNK با نام‌گذاری عمدی به زبان پشتو آغاز می‌شود که نشان‌دهنده آشنایی مهاجمان با محیط هدف است. علاوه بر وزارت مالیه، ادارات درآمد و مالیه استانی، مقامات دولتی پشتو‌زبان و کارمندان دولتی در سطح استان‌ها نیز هدف این کمپین قرار گرفته‌اند. SideCopy زیرمجموعه گروه تهدید Transparent Tribe (معروف به APT36) است که پیش‌تر در آوریل ۲۰۲۵ نیز به حملاتی علیه بخش‌های مختلف هند با استفاده از همین ابزارهای بدافزاری نسبت داده شده بود.

از نظر فنی، فایل LNK از طریق «mshta.exe» یک فایل HTML Application مخرب (HTA) را از یک دامنه آموزشی افغانستانی به خطر افتاده بارگیری می‌کند و زنجیره‌ای از کدهای جاوااسکریپت مبهم‌سازی‌شده را در حافظه اجرا می‌نماید. این بدافزار با جعل هویت مرورگر Microsoft Edge پایداری (persistence) خود را در رجیستری ویندوز تثبیت کرده و قابلیت‌هایی نظیر ثبت کلیدها (keylogging)، گرفتن تصویر از صفحه، نظارت بر کلیپ‌بورد، تونل‌سازی شبکه از طریق پروکسی SOCKS5 و دسترسی به وب‌کم و میکروفون را داراست. همزمان با این افشاگری، گزارش‌هایی از یک کمپین فیشینگ جداگانه منتسب به Transparent Tribe منتشر شده که با استفاده از فایل‌های مخرب .desktop در لینوکس و مهندسی اجتماعی (social engineering) از طریق واتس‌اپ، زیرساخت نظامی هند را هدف قرار داده و یک ایمپلنت مبتنی بر Golang به نام DeskRAT را مستقر می‌سازد.