بدافزار لودر MintsLoader برای تحویل تروجان دسترسی از راه دور مبتنی بر PowerShell به نام GhostWeaver استفاده می‌شود. این بدافزار از طریق زنجیره عفونت چندمرحله‌ای شامل اسکریپت‌های JavaScript و PowerShell مبهم‌سازی شده عمل می‌کند و از تکنیک‌های فرار از sandbox و ماشین مجازی، الگوریتم تولید دامنه (DGA) و ارتباطات کنترل و فرماندهی مبتنی بر HTTP استفاده می‌کند. از اوایل سال 2023، کمپین‌های فیشینگ و دانلود drive-by که MintsLoader را توزیع می‌کنند شناسایی شده‌اند.
GhostWeaver برای حفظ ارتباط مداوم با سرور C2 طراحی شده و قابلیت تولید دامنه‌های DGA بر اساس الگوریتم seed ثابت و تحویل بارهای اضافی در قالب پلاگین‌هایی که می‌توانند داده‌های مرورگر را سرقت کرده و محتوای HTML را دستکاری کنند، دارد. ارتباط بین GhostWeaver و سرور C2 از طریق رمزگذاری TLS با استفاده از گواهی X.509 خودامضا و مبهم‌سازی شده که مستقیماً در اسکریپت PowerShell تعبیه شده، تأمین می‌شود. حملات اخیر از تاکتیک مهندسی اجتماعی ClickFix برای فریب کاربران جهت کپی و اجرای کد مخرب JavaScript و PowerShell استفاده می‌کنند.
کلمات کلیدی : بدافزار MintsLoader, تروجان GhostWeaver, PowerShell malware, فیشینگ کمپین, مهندسی اجتماعی ClickFix, سرور C2
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.