PyVil؛ ابزار جاسوسی جدید Evilnum

گروه Evilnum بدافزار 1ی را توسعه داده که مهاجمان آن را قادر به سرقت نشانیهای ایمیل، رمزهای عبور و اطلاعات حساس متعدد سازمانی میکند.

Evilnum که کارزارهای آن را میتوان آن پیشرفته و مستمر (APT) دانست از سال ۲۰۱۸ فعال بوده است. حملات این گروه هدفمند و تمرکز اصلی آنها شرکتهای فعال در حوزه فنآوری مالی (FinTech) بوده است. یکی از دلایل موفقیت این گروه تغییر مستمر 1ها و تاکتیکهای آنها است.

در توسعه ابزارهای مورد استفاده Evilnum از زبانهای برنامهنویسی JavaScript و #C بهره گرفته شده است. اما شرکت سایبرایزن در گزارشی به بررسی بدافزار جدیدی از این گروه پرداخته که با زبان Python برنامهنویسی شده است.

بدافزار مذکور که سایبرایزن از آن با عنوان PyVil یاد کرده نوعی اسب تروای دسترسی از راه دور (Remote Access Trojan – به اختصار RAT) محسوب میشود.

PyVil علاوه بر استخراج مشخصات دستگاه آلوده نظیر نسخه Windows و محصول ضدویروس نصب شده بر روی آن، قادر است که با ضبط کلیدهای فشرده شده توسط کاربر (Keylogging) و تصویربرداری از فعالیتهای او انواع اطلاعات سازمانی را سرقت کند. ضمن اینکه امکان اجرای بدافزارهای مورد نظر مهاجمان را نیز بر روی دستگاه قربانی فراهم میکند.

در اکثر حملات Evilnum، رخنه اولیه به سازمان، از طریق ایمیلهای فیشینگ هدفمند (Spear Phishing) صورت میپذیرد. پیوست این ایمیل ها فایلی با پسوند ZIP است. فایل ZIP نیز خود یک فایل LNK در ظاهر با پسوند PDF است.

اجرای فایل LNK توسط قربانی موجب فراخوانی فایلهای مخرب مورد نظر مهاجمان با بهره گیری از تکنیک های موسوم به “بدون فایل” (Fileless) بر روی دستگاه میشود.

برخی فایلهای مخرب مورد استفاده در جریان این کارزار به نوعی نسخ قدیمی نرمافزارهای معتبری همچون Java Web Start Launcher هستند که کدهای مورد نظر مهاجمان در آنها تزریق شده است. برای مثال تصویر زیر مشخصات فایل دستکاری شده را نشان میدهد:

تصویر زیر نیز مشخصات فایل معتبر را نمایش میدهد:

همانطور که پیداست تفاوت در امضا نشدن فایل مخرب توسط شرکت سازنده (Oracle) است.

علاوه بر استفاده از ضدویروس قدرتمند و بهروز و ابزارهای موسوم به ضدهرزنامه، آموزش کاربران در پرهیز از باز کردن فایلهای ناآشنا و مشکوک نقشی اساسی در ایمن نگاه داشتن سازمان از گزند این نوع تهدیدات مخرب دارد.

مشروح گزارش سایبرایزن در لینک زیر قابل دریافت و مطالعه است:

https://www.cybereason.com/blog/no-rest-for-the-wicked-evilnum-unleashes-pyvil-rat

دامنهها:

• voipasst[.]com
• voipreq12[.]com
• telecomwl[.]com
• crm-domain[.]net
• leads-management[.]net
• fxmt4x[.]com
• xlmfx[.]com
• telefx[.]net
• voipssupport[.]com
• trquotesys[.]com
• extrasectr[.]com
• veritechx[.]com
• quotingtrx[.]com
• vvxtech[.]net
• corpxtech[.]com

نشانیهای IP:

• ۱۹۳.۵۶.۲۸[.]۲۰۱
• ۱۸۵.۲۳۶.۲۳۰[.]۲۵
• ۵.۲۰۶.۲۲۷[.]۸۱
• ۱۷۶.۱۰۷.۱۸۸[.]۱۷۵

درهمساز:

• db5d09edc2e9676a41f26f5f4310df9d13abdae8011b1d37af7139008362d5f1
• ۳b7cd07e87902deae4b482e987dea9e25a93a55ec783884e8b466dc55c346bce
• c7cf5c62ecfade27338acb2cc91a06c2615dbb97711f2558a9379ee8a5306720
• f5f79e2169db3bbe7b7ae3ff4a0f40659d11051e69ee784f5469659a708e829e
• cff5ed4de201256678c7c068c1dbda5c47f4b322b618981693b1fd07a0ea7e68
• ۸۳c375dcdadb8467955f5e124cf4e8d6eac78c51c03fb7393dc810a243ba1a90
• ۴ce0954ca7173bd696afe8f44bf48027b3d4d630c0cce414b95d6715e662b5fb
• 0d7dc074be83f1096f39ba95bfc4e1a17c411dbed0e5eeeb48e88a12d79b541c
• ۴e396586fd6dfcc24686aae73ba5c336939ee7a7aa9ffb76a1f78867926c6e4b
• ۵aa1109d057e830d6f3faf4b6ff6f69075d158dadb5f46794b3e07685922d09d
• ۲۵c119a7ee5b53212b5992992907a7772610b491ce2992c860dc206d0f3f844d
• e678ec3dbccfbd5cf0f303d2841e726ac7628044de5297bf9ebe791d66270a2f
• a81f152a31c03b45dbcf29439050bbe080b1f6308b032aebc0205886d1f41e5d
• ۶۱۳۶۳۰۹a207b89ccd423f8c087a9cdd633d8f5e78b8ebd576b7750b49274c532
• 0c920e7dfdd0028d9d15344c2e9c64ae57c2c9417dc7b22b865fdfe0cc0b8b1f
• ۷۹e21ff9142821b2e3d6e3dc8d812e86da231dbbd1217415b4add748a4c1ce3c
• c4b90fdec0848ad68abe18a42889ec0e5e45b7678afbf0353fedf53915b76275
• ۷۹e21ff9142821b2e3d6e3dc8d812e86da231dbbd1217415b4add748a4c1ce3c
• ۴۵۷۴۲۳۹efb728913fd379cc914039b1d7fa8c3ac8d6e3503d6f5bc73de504c96
• ۷۹b032dbb8ade21b97be5dcaa63c974b6cdbb3c6f32b4abf2872288ae43ea4a6
• ۱a3f39dc604dbca691aefeaf1d5a372fbca3650003d4145671525a2960e1239e
• bdc20527d5afc4f13fa45c9182c8f58eb88cb4edc76aa38be83d95fd3365ce0a
• ۰۴۸۳۸۸c04738763c0ec57124e3a88fc82a545639636fb5ed6cd397881dd6ced9
• ۱۱d9a87b144c0eaf71e8dea1b08117d464ed7f24a6e716e935e0c7f3a7e03edc
• 0b95c8c70d2dad47baef15d0299cd7e273e8a59ae0420921632b21789a80aef0