مهاجمان سایبری «PhantomBlu» کاربران مایکروسافت آفیس را از طریق OLE به عقب می‌اندازند

یک کمپین ایمیل مخرب صدها کاربر مایکروسافت آفیس را در سازمان‌های مستقر در ایالات متحده هدف قرار می‌دهد تا یک پیام ارسال کند تروجان دسترسی از راه دور (RAT) که تا حدی با نشان دادن به عنوان نرم افزار قانونی از تشخیص فرار می کند.

در کمپینی به نام PhantomBlu توسط محققان در Perception Point، مهاجمان جعل یک سرویس حسابداری را در پیام‌های ایمیلی جعل می‌کنند که افراد را دعوت می‌کند تا فایل Microsoft Office Word را دانلود کنند تا ظاهراً «گزارش حقوق ماهانه» خود را مشاهده کنند. هدف‌ها دستورالعمل‌های دقیقی را برای دسترسی به فایل «گزارش» محافظت‌شده با رمز عبور دریافت می‌کنند، که در نهایت این فایل بدنام را ارائه می‌کند. NetSupport RAT، بدافزار از قانون منفجر شد مدیر NetSupport، یک ابزار پشتیبانی فنی از راه دور کاملاً مفید است. عوامل تهدید قبلاً از RAT برای ردیابی سیستم‌ها قبل از ارائه باج‌افزار بر روی آنها استفاده می‌کردند.

آریل دیویدپور، کارشناس امنیت وب Perception Point، "برای نظارت و کنترل مخفیانه طراحی شده است، مدیریت از راه دور را به بستری برای حملات سایبری و سرقت داده ها تبدیل می کند." نشان داد در یک پست وبلاگی که این هفته منتشر شد.

پس از نصب بر روی نقطه پایانی قربانی، NetSupport می‌تواند رفتار را کنترل کند، ضربه‌های کلید را ضبط کند، فایل‌ها را انتقال دهد، منابع سیستم را در اختیار بگیرد و به دستگاه‌های دیگر درون شبکه منتقل شود، «همه تحت پوشش یک نرم‌افزار پشتیبانی از راه دور خوش‌خیم».

NetSupport RAT's Evasive OLE Delivery Method

این کمپین یک روش تحویل جدید را برای NetSupport RAT از طریق دستکاری الگوهای Object Linking و Embedding (OLE) نشان می‌دهد. دیویدپور نوشت: این یک "روش بهره برداری ظریف" است که از الگوهای اسناد قانونی مایکروسافت آفیس برای اجرای کدهای مخرب در حین فرار از شناسایی استفاده می کند. 

اگر کاربر فایل.docx پیوست شده به پیام‌های کمپین را دانلود کند و از رمز عبور همراه برای دسترسی به آن استفاده کند، محتوای سند بیشتر به هدف‌ها دستور می‌دهد تا روی «فعال کردن ویرایش» کلیک کنند و سپس روی تصویر چاپگر تعبیه‌شده روی سند کلیک کنند. برای مشاهده "نمودار حقوق و دستمزد" آنها.

تصویر چاپگر در واقع یک بسته OLE است، یک ویژگی قانونی در ویندوز مایکروسافت که امکان جاسازی و پیوند به اسناد و سایر اشیاء را فراهم می کند. دیویدپور نوشت: "استفاده قانونی از آن به کاربران امکان می دهد اسناد ترکیبی را با عناصر برنامه های مختلف ایجاد کنند."

از طریق دستکاری الگوی OLE، عوامل تهدید از الگوهای سند برای اجرای کد مخرب بدون شناسایی با پنهان کردن بار در خارج از سند سوء استفاده می کنند. به گزارش Perceptive Point، این کمپین اولین بار است که از این فرآیند در ایمیلی برای تحویل NetSupport RAT استفاده می شود.

دیویدپور توضیح داد: «این تکنیک پیشرفته با پنهان کردن بار مخرب در خارج از سند، سیستم‌های امنیتی سنتی را دور می‌زند و تنها در صورت تعامل با کاربر اجرا می‌شود».

در واقع، با استفاده از فایل‌های .doc رمزگذاری‌شده برای ارائه NetSupport RAT از طریق الگوی OLE و تزریق قالب (CWE T1221)، کمپین PhantomBlu از تاکتیک‌ها، تکنیک‌ها و رویه‌های مرسوم (TTPs) که معمولاً با NetSupport مرتبط است فاصله می‌گیرد. استقرار RAT.

دیویدپور نوشت: «از لحاظ تاریخی، چنین کمپین‌هایی مستقیماً بر فایل‌های اجرایی و تکنیک‌های ساده‌تر فیشینگ متکی بوده‌اند. او نوشت، روش OLE نوآوری کمپین را برای ترکیب «تاکتیک‌های پیچیده فرار با مهندسی اجتماعی» نشان می‌دهد.

پنهان شدن در پشت مشروعیت

در تحقیقات خود در مورد کمپین، محققان نقطه ادراک روش تحویل را گام به گام تشریح کردند و دریافتند که مانند خود RAT، محموله پشت مشروعیت پنهان می شود در تلاش برای پرواز زیر رادار.

به طور خاص، Perceptive Point مسیر بازگشت و شناسه پیام ایمیل‌های فیشینگ را با مشاهده استفاده مهاجمان از «تجزیه و تحلیل کرد.SendInBlue” یا سرویس Brevo. Brevo یک پلت فرم تحویل ایمیل قانونی است که خدماتی را برای کمپین های بازاریابی ارائه می دهد.

دیویدپور نوشت: «این انتخاب بر ترجیح مهاجمان برای استفاده از سرویس‌های معتبر برای پنهان کردن نیت مخرب خود تأکید می‌کند.

اجتناب از سازش

از آنجایی که PhantomBlu از ایمیل به عنوان روش خود برای ارائه بدافزار استفاده می کند، تکنیک های معمول برای جلوگیری از سازش - مانند آموزش و آموزش کارکنان در مورد نحوه شناسایی و گزارش ایمیل های بالقوه مخرب — اعمال کنید.

به گفته کارشناسان، به عنوان یک قاعده کلی، افراد هرگز نباید روی پیوست‌های ایمیل کلیک کنند، مگر اینکه از یک منبع قابل اعتماد یا شخصی باشند که کاربران مرتباً با او در ارتباط هستند. علاوه بر این، کاربران شرکتی به خصوص باید پیام های مشکوک را به مدیران فناوری اطلاعات گزارش دهند، زیرا ممکن است نشانه هایی از یک کمپین مخرب را نشان دهند.

برای کمک بیشتر به ادمین ها در شناسایی PhantomBlu، Perceptive Point لیست جامعی از TTP ها، شاخص های سازش (IOC)، URL ها و نام هاست، و آدرس های IP مرتبط با کمپین را در پست وبلاگ گنجاند.

• محتوای مبتنی بر SEO و توزیع روابط عمومی. امروز تقویت شوید.
• PlatoData.Network Vertical Generative Ai. به خودت قدرت بده دسترسی به اینجا.
• PlatoAiStream. هوش وب 3 دانش تقویت شده دسترسی به اینجا.
• PlatoESG. کربن ، CleanTech، انرژی، محیط، خورشیدی، مدیریت پسماند دسترسی به اینجا.
• PlatoHealth. هوش بیوتکنولوژی و آزمایشات بالینی. دسترسی به اینجا.
• منبع: https://www.darkreading.com/threat-intelligence/phantomblu-cyberattackers-backdoor-microsoft-office-users-ole