استفاده هکرهای چینی از یک شبه کوبالت استرایک جدید!

به گزارش کارگروه حملات سایبری سایبربان؛ محققین چارچوب حمله جدیدی را در مرحله پسا بهره برداری شناسایی کرده اند که نام آن Manjusaka (مَنجوساکا) است و در حملات مورد استفاده قرار دارد. منجوساکا جایگزینی برای مجموعه ابزار محبوب کوبالت استرایک به حساب می آید.

 منجوساکا از ایمپلنت های نوشته شده به زبان Rust (راست) استفاده می کند این درحالی است که باینری های آن به زبان گو لَنگ هستند. 

ایمپلنت های RAT آن از اجرای فرمان، دسترسی فایل، جاسوسی شبکه و...پشتیبانی می کنند. بنابراین هکرها می توانند منجوساکا را در راستای همان اهدافی بکار ببرند که از کوبالت استرایک استفاده می کردند. 

منجوساکا توسط محققین سیسکو تَلُس شناسایی شده است. 

زنجیره آلودگی منجوساکا از طریق سند آلوده ای آغاز می شود که ظاهرا در مورد یک کیس کووید19 در شهر گولماد تبت و ردیابی تماس های آن است. 

این سند دارای یک ماکروی زبان برنامه‌نویسی ویژوال‌بیسیک برای برنامه‌ها (VBA) است که از طریق rundll32.exe اجرا می شود و پس از انتقال پی لود مرحله دوم یعنی کوبالت استرایک آن را در مموری بارگذاری می کند. 

محققین سیسکو هشدار دادند منجوساکا به عنوان شبیه ساز چارچوب کوبالت استرایک در حال تبلیغ شدن است. هر دو ورژن ویندوز و لینوکس این ایمپلنت دارای قابلیت های مشابهی می باشد و از مکانیزم های ارتباطی مشابهی بهره مند است. 

این ایمپلنت متشکل از یک RAT و یک ماژول مدیریت فایل است که هر کدام دارای قابلیت های به خصوصی هستند. 

این RAT از طریق cmd.exe از اجرای فرمان دلخواه پشتیبانی، داده های احراز هویت بایگانی شده در مرورگرهای وب، SSID وای فای و پسورد را جمع آوری و ارتباطات شبکه، نام های حساب، گروه های محلی و.. را شناسایی می کند. 

این RAT همچنین می تواند داده های احراز هویت پرمیوم سافت نَویکَت را به سرقت ببرد، از صفحه دسکتاپ اسکرین شات تهیه کند، ، فرآیندهای در حال اجرا را فهرست کند و مشخصات و حرارت سخت افزار را مورد بررسی قرار دهد. 

ماژول مدیریت فایل آن می تواند فایل ها را شمارش، دایرکتوری ها را ایجاد و فایل ها یا دایرکتوری ها را حذف کنند. این ماژول همچنین می تواند فایل ها را میان مکان های مختلف انتقال دهد، مسیر کامل فایل را به دست بیاورد و محتوای فایل ها را بخواند و بنویسد. 

این چارچوب حمله جدید، تمامی قابلیت هایی که ما از یک ایمپلنت داریم را داراست اگرچه به مدرن ترین زبان برنامه نویسی نوشته شده است. 

استفاده متداول از این ایمپلنت توسط بازیگران مخرب، امری قابل پیش بینی است. محققین بر این باورند که توسعه دهندگان این ایمپلنت در چین مستقر هستند چرا که سند آلوده آن به زبان چینی نوشته شده است. بنابراین باید منتظر استفاده متداول از منجوساکا در کمپین هکری چینی باشیم!