قام باحثو الأمن السيبراني بوضع علامة على سلسلة هجمات جديدة متعددة المراحل لتسليم البرامج الضارة تستخدم الهندسة الاجتماعية وصفحات Blogger لتقديم أداة سرقة معلومات تسمى PureLogs.
تمت تسمية النشاط باسم رمزي الحجاب #قطرة بواسطة سيكيورونكس. يُشتبه في أن الحمولات الأولية يتم توزيعها إما عن طريق التصيد الاحتيالي أو التسوية من خلال القيادة، والذي يحدث عندما يصل مستخدم غير متوقع إلى موقع ويب (مشروع أو غير ذلك) تحت سيطرة المهاجم.
“تبدأ سلسلة العدوى بملف JavaScript مسمى بشكل مخادع يتنكر في شكل مستند (على سبيل المثال، Transcript.pdf.js)، والذي يتم تنفيذه من خلال Windows Script Host ويطلق PowerShell مع تمكين تجاوزات سياسة التنفيذ”، هذا ما قاله الباحثون Akshay Gaikwad وShikha Sangwan وAaron Beardslee في تقرير تمت مشاركته مع The Hacker News.
على مستوى عالٍ، يكون البرنامج النصي PowerShell مسؤولاً عن استرداد حمولة المرحلة التالية المستضافة على Blogger (“htlwub00klocate.blogspot”[.]com”)، مما يسمح للمهاجمين بتجاوز الدفاعات القائمة على السمعة عن طريق إساءة استخدام البنية التحتية الموثوقة لشركة Google كمنصة مسرحية والاندماج في أنشطة الويب المشروعة.
تعمل حمولة PowerShell التي تم تنزيلها كقناة لتحميل صفحة ويب حميدة مثل Google، مما يخلق انطباعًا بأن مستند PDF مفتوح، بينما يستمر تسلسل الإصابة بصمت في الخلفية، مما يؤدي في النهاية إلى نشر PureLogs Stealer، وهو برنامج سرقة معلومات قائم على .NET معروف بجمع مجموعة واسعة من البيانات الحساسة من الأجهزة المضيفة المخترقة.
يحاول برنامج تحميل PowerShell أيضًا ضمان التنفيذ غير المقيد لأوامر PowerShell للمتابعة، وإنهاء العمليات المحددة مثل “wscript.exe” لتقليل أثر الطب الشرعي، وحذف “transcript.pdf.js” لإزالة أدلة التنفيذ، وفك تشفير الحمولة المضمنة.
“بعد فك تشفير XOR الناجح، ينتقل المُحمل إلى أحد المكونات الأكثر مراوغة في إطار عمل VEIL#DROP: إنشاء المرحلة الديناميكية جنبًا إلى جنب مع طفرة وقت التشغيل”، أوضح Securonix. “بدلاً من استخدام مؤشرات ثابتة مثل عناوين URL المشفرة أو أنماط التنفيذ التي يمكن التنبؤ بها، تقوم البرامج الضارة بإنشاء موقع حمولة المرحلة التالية ديناميكيًا أثناء التنفيذ.”
يتضمن ذلك إنشاء مدونة فريدة من نوعها[.]com لكل عملية تنفيذ عن طريق إدراج عدد عشوائي من الشرطات المائلة للأمام (“https://thehackernews.com/”) إلى سلسلة عنوان URL وذلك لتجاوز توقيعات عنوان URL الثابتة والحظر القائم على المؤشرات وآليات التصفية المستندة إلى عنوان URL.
بالإضافة إلى ذلك، يقدم البرنامج النصي الذي تم فك تشفيره طفرة وقت التشغيل وتعدد الأشكال عن طريق استبدال قيم العناصر النائبة داخل البرنامج النصي بسلاسل وقيم يتم إنشاؤها عشوائيًا أثناء التنفيذ. تم تصميم هذا التنوع للتغلب على توقيعات البرنامج النصي وتجزئات الملفات، وبالتالي منع الاكتشاف الموثوق.
أخيرًا يتم تنفيذ البرنامج النصي المُعاد بناؤه بالكامل في الذاكرة دون ترك أي قطع أثرية على القرص. يعمل هذا المكون كمحمل مسؤول عن فك تشفير مكون البرامج الضارة الأساسي وتشغيله، وهو ليس سوى تجميع .NET يتم تشغيله باستخدام تقنية تُعرف باسم تحميل التعليمات البرمجية العاكسة.
في حالة منع عناصر التحكم الأمنية والقيود البيئية الأخرى من تنفيذ تجميعات .NET المستردة مباشرةً من الذاكرة، يقوم المُحمل بتضمين طريقة تنفيذ احتياطية تعتمد على الثنائيات الموقعة من Microsoft، مثل “regsvcs.exe”، و”installutil.exe”، و”msbuild.exe”، و”aspnet_compiler.exe،” لتحقيق نفس الأهداف دون جذب أي انتباه.
ونظرًا لأن هذه الثنائيات موثوقة وموقعة من Microsoft وموجودة بالفعل على النظام، فإن أسلوب العيش خارج الأرض (LotL) يمكّن المهاجمين من جعل نشاطهم يبدو مشروعًا ويطير تحت الرادار.
وأشار الباحثون إلى أن “أحد أبرز جوانب المُحمل هو أنه لا يعتمد على أي LOLBin واحد”. “بدلاً من ذلك، يتبع التنفيذ نموذجًا متتاليًا، حيث يتم تجربة كل طريقة حتى تنجح إحداها.”
عادةً ما يتجاوز تأثير عدوى السرقة نقطة النهاية التي تم اختراقها في البداية، حيث يمكن أن تكون البيانات التي تم جمعها بمثابة نقطة انطلاق للحفر بشكل أعمق في البيئة المستهدفة، وتحقيق الثبات، وإجراء حركة جانبية، وحتى اختراق البنية التحتية السحابية الخاصة بها.
“إن الجمع بين مواقع الويب المخترقة، والتنكر متعدد الامتدادات، والخدمات السحابية الموثوقة، وحمولات XOR المبهمة، والتحميل .NET العاكس، والتنفيذ بدون ملفات، وإساءة استخدام LOLBIN يوضح جهدًا متعمدًا للتهرب من حلول مكافحة الفيروسات التقليدية، وتقليل التحف الجنائية، والحفاظ على التخفي التشغيلي طوال دورة حياة العدوى،” قال Securonix.
