سیسکو تالوس (Cisco Talos) یک خوشه فعالیت تهدیدی ناشناخته با نام UAT-10027 را شناسایی کرده که حداقل از دسامبر ۲۰۲۵ بخش‌های آموزش و بهداشت در ایالات متحده را هدف قرار داده است. هدف اصلی این حملات، استقرار یک درپشتی (backdoor) جدید و پیش‌تر مستندنشده با نام رمز «Dohdoor» است که از تکنیک DNS-over-HTTPS برای ارتباطات فرمان و کنترل (C2) استفاده می‌کند و قادر به دانلود و اجرای بارهای مخرب دیگر به‌صورت بازتابی (reflectively) است. بردار دسترسی اولیه هنوز مشخص نیست، اما احتمالاً از طریق فیشینگ مهندسی اجتماعی (social engineering phishing) و اجرای اسکریپت‌های PowerShell صورت می‌گیرد. این بدافزار با استفاده از تکنیک بارگذاری جانبی DLL (DLL side-loading) از طریق فایل‌های اجرایی معتبر ویندوز راه‌اندازی شده و زیرساخت Cloudflare را برای پنهان‌سازی سرورهای C2 به کار می‌گیرد.
محققان سیسکو تالوس شباهت‌های تاکتیکی میان Dohdoor و Lazarloader، ابزاری که پیش‌تر توسط گروه هکری کره شمالی لازاروس (Lazarus) استفاده شده، یافته‌اند؛ هرچند هویت عاملان پشت UAT-10027 هنوز به‌طور قطعی مشخص نیست. تالوس تأکید کرد که تمرکز این کمپین بر بخش‌های آموزش و بهداشت با الگوی معمول لازاروس که ارزهای دیجیتال و صنایع دفاعی را هدف می‌گیرد متفاوت است، اما با توجه به سابقه گروه‌های APT کره شمالی نظیر Kimsuky در هدف قرار دادن بخش آموزش و استفاده از باج‌افزار Maui علیه بخش بهداشت، همپوشانی‌هایی در قربانی‌شناسی (victimology) این کمپین با سایر گروه‌های APT کره شمالی وجود دارد.
کلمات کلیدی : بدافزار Dohdoor, UAT-10027 سیسکو تالوس, حملات سایبری بخش بهداشت و آموزش, گروه هکری لازاروس کره شمالی, درپشتی DNS-over-HTTPS, بارگذاری جانبی DLL
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.