WIRTE از بارگذاری جانبی AshenLoader برای نصب بک‌دور جاسوسی AshTag استفاده می‌کند

گروه تهدید پیشرفته پایدار (APT) به نام WIRTE که با نام Ashen Lepus نیز شناخته می‌شود، از سال ۲۰۲۰ با استفاده از مجموعه بدافزار پیشتر ناشناخته‌ای به نام AshTag به حملات علیه نهادهای دولتی و دیپلماتیک در خاورمیانه مشغول بوده است. شبکه‌های پالو آلتو اعلام کرد که این گروه دامنه عملیاتی خود را فراتر از تشکیلات خودگردان فلسطین، اردن، عراق، عربستان سعودی و مصر به عمان و مراکش گسترش داده است. این گروه که با باند سایبری غزه (Gaza Cyber Gang) همپوشانی دارد و به عربی صحبت می‌کند، برخلاف سایر گروه‌های وابسته که فعالیت‌شان کاهش یافت، در طول درگیری اسرائیل و حماس و حتی پس از آتش‌بس غزه در اکتبر ۲۰۲۵ به فعالیت خود ادامه داده و نسخه‌های جدید بدافزار را مستقر کرده است.

زنجیره حملات با ایمیل‌های فیشینگ حاوی طعمه‌های مرتبط با مسائل ژئوپلیتیک منطقه آغاز می‌شود و از طریق فایل‌های PDF بی‌ضرر، قربانیان را به دانلود آرشیو RAR فریب می‌دهد که منجر به نصب بدافزار ماژولار AshTag می‌شود. این بدافزار که خود را به عنوان ابزار قانونی VisualServer جا می‌زند، قابلیت‌هایی از جمله اجرای دستورات از راه دور، ضبط صفحه نمایش، مدیریت فایل و سرقت اطلاعات را دارد. محققان یونیت ۴۲ مشاهده کردند که مهاجمان اسناد دیپلماتیک را از صندوق ورودی ایمیل قربانیان استخراج کرده و با استفاده از ابزار Rclone به سرورهای تحت کنترل خود منتقل می‌کنند، که نشان‌دهنده تعهد این گروه به جمع‌آوری مستمر اطلاعات استخباراتی است.