هشدارهای جعلی مایکروسافت برای توزیع بدافزار NarwhalRAT کره شمالی استفاده می‌شود

به گزارش زوم تک، گروه هکری تحت حمایت دولت کره شمالی با نام ScarCruft (که با نام APT37 نیز شناخته می‌شود) با استفاده از پیام‌های فیشینگ هدفمند که هشدارهای امنیتی مایکروسافت را جعل می‌کنند، بدافزار جدیدی به نام NarwhalRAT را توزیع می‌کند. مرکز امنیت جنیانس (GSC) اعلام کرده است که ایمیل‌های حمله حاوی پیام‌هایی با ظاهر هشدار امنیتی حساب کاربری مایکروسافت بوده و برای ایجاد نگرانی در مورد احتمال به خطر افتادن حساب و سوءاستفاده از رمزهای یکبارمصرف طراحی شده‌اند تا گیرنده را به اجرای فایل پیوست ترغیب کنند. جالب اینجاست که پیوست ایمیل به جای یک سند معمولی، یک بایگانی ZIP حاوی یک فایل LNK مخرب است که کاربر را فریب می‌دهد تا آن را اجرا کند.

زنجیره عفونت چندمرحله‌ای و نصب بدافزار

پس از اجرای فایل LNK، یک زنجیره عفونت چندمرحله‌ای آغاز می‌شود که از اسکریپت‌های دسته‌ای واسط برای دانلود و نصب بدافزار NarwhalRAT استفاده می‌کند. این فرآیند شامل دریافت فایل اجرایی پایتون از وب‌سایت رسمی و یک فایل کاتالوگ امنیتی ویندوز (CAT) نیز می‌شود. ماندگاری بدافزار از طریق یک وظیفه زمان‌بندی شده تأمین می‌شود که وظیفه راه‌اندازی فایل CAT را برای دریافت و اجرای بار اصلی در حافظه، بدون برجای گذاشتن هیچ اثری بر روی دیسک، بر عهده دارد. بدافزار NarwhalRAT که با زبان پایتون نوشته شده، به قابلیت‌های متعددی از جمله ثبت ضربات کلید، گرفتن اسکرین‌شات (با پشتیبانی از تصاویر با وضوح بالا)، ضبط صدای محیط، آپلود محتویات دایرکتوری، جمع‌آوری اطلاعات پنجره فعال، گردآوری داده‌های از رسانه‌های USB، اجرای دستورات ارسالی از سرور فرماندهی و کنترل (C2) و تغییر سرورهای C2 مجهز است.

تغییر استراتژی ScarCruft در انتخاب بدافزار

نام NarwhalRAT از استفاده این بدافزار از مسیر “%APPDATA%\naverwhale” برای ذخیره‌سازی اطلاعات جمع‌آوری شده از سیستم قربانی الهام گرفته شده است. انتخاب این نام پنهان برای دایرکتوری، تلاشی برای فرار از شناسایی با جعل هویت مرورگر Whale ناور است که توسط شرکت فناوری کره جنوبی Naver Corporation توسعه یافته است. نکته قابل توجه در استقرار NarwhalRAT توسط گروه APT37، تغییر رویه این گروه در استفاده از بدافزار RokRAT است که پیشتر به طور انحصاری به این گروه هکری نسبت داده می‌شد. این تغییر نشان می‌دهد که بازیگران تهدید مرتبط با کره شمالی به طور مداوم در حال به‌روزرسانی زرادخانه خود و توسعه ابزارهای جدید برای دور زدن راهکارهای امنیتی هستند.

زیرساخت فرماندهی و کنترل مبتنی بر سرویس‌های کره‌ای و ابری

بر اساس تحلیل شرکت امنیتی جنیانس، بدافزار NarwhalRAT از وب‌سایت‌های کره‌ای از جمله ‘daehoat[.]com’ و ‘novel21[.]co.kr’ به عنوان رله‌های ارتباطی اولیه استفاده می‌کند و در عین حال، قابلیت ارتباطی مبتنی بر API سرویس ذخیره‌سازی ابری pCloud را نیز پیاده‌سازی کرده است. به ویژه، روال‌های اختصاصی pCloud که پارامترهای ‘folderid’ و ‘auth’ را پردازش می‌کنند، در کد بدافزار شناسایی شده‌اند که نشان می‌دهد این بدافزار برای استفاده از سرویس ابری معتبر به عنوان یک کانال C2 ثانویه به شکل Dead Drop Resolver طراحی شده است. این رویکرد به مهاجمان امکان می‌دهد تا ترافیک فرماندهی و کنترل خود را در میان ترافیک مشروع سرویس‌های ابری پنهان کرده و تشخیص آن را برای سیستم‌های دفاعی دشوارتر سازند.

شباهت‌ها با حملات قبلی و روش‌های ماندگاری

تحلیل‌ها نشان می‌دهد که این فعالیت‌ها شباهت‌های متعددی با حملات مبتنی بر پایتون قبلی که توسط گروه ScarCruft انجام شده، دارد. از جمله این شباهت‌ها، کمپین‌های فیشینگ هدفمندی است که از ترفندهای تأیید بلیت و دعوت‌نامه‌های رویداد برای فریب قربانیان به باز کردن بایگانی‌های ZIP حاوی فایل‌های LNK استفاده می‌کردند. زنجیره حمله در تمامی موارد به همین شکل عمل می‌کند؛ فایل LNK به عنوان مجرایی برای اسکریپت دسته‌ای مبهم که از سرور C2 راه‌دور دانلود می‌شود عمل کرده و سپس فایل باینری پایتون و فایل CAT را دریافت می‌کند و در نهایت به استقرار یک اسکریپت کامپایل شده پایتون منجر می‌شود که قادر به اجرای دستورات از راه دور و ارسال نتایج به سرور C2 است. جالب اینکه نام وظایف زمان‌بندی شده برای ماندگاری نیز از الگوی مشابهی پیروی می‌کند؛ در عفونت NarwhalRAT از نام “MicrosoftUserInterfacePicturesUpdateTackMachine” و در زنجیره دوم از نام “MicrosoftMusicLibrariesPackageTaskMachine” استفاده شده است. شرکت جنیانس در جمع‌بندی خود اعلام کرده که NarwhalRAT یک بدافزار پیشرفته RAT محسوب می‌شود که لودر چندمرحله‌ای مبتنی بر پایتون، ساختار اجرای در حافظه، چارچوب عملیاتی چندگانه C2 و عملکردهای انتخابی جمع‌آوری اطلاعات را در خود ادغام کرده است.