به گزارش کارگروه حملات سایبری سایبربان؛ بدافزار جدیدی به نام DarkWatchman (دارک واچ من) در جرم های سایبری زیرزمینی پدیدار شده است.
این بدافزار، یک RAT جاوا اسکریپت کم حجم و سبک می باشد که با یک کی لاگر C# جفت شده است. طبق گزارش فنی محققین Prevailion، این RAT جدید توسط بازیگران مخرب روس زبانی مورد استفاده قرار دارد که عمدتا سازمان های روسیه را مورد هدف قرار می دهند.
اولین نشانه های وجود این بدافزار در اوایل نوامبر و زمانی پدیدار شد که بازیگر مخرب، شروع به انتشار بدافزار از طریق ایمیل های فیشینگ کرد. گفتنی است فایل های زیپ مخربی به این ایمیل ها ضمیمه بودند.
این ضمیمه های فایل زیپ شامل فایل های قابل اجرایی هستند که با استفاده از آیکون، یک سند متنی را جعل می کنند. این فایل قابل اجرا یک آرشیو WinRAR است که RAT و کی لاگر را نصب می کند.
در صورت باز شدن آن، پیام پاپ آپی با این عنوان به کاربر نمایش داده می شود: "Unknown Format"
اما در واقع پی لودها در پس زمینه دستگاه نصب شده اند.
دارک واچ من یک بدافزار بسیار سبک است. ( 32 کیلو بایت ) شکل فشرده شده آن تنها 8.5 کیلو بایت از فضا ذخیره سازی را اشغال می کند.
یکی از جنبه های جالب بدافزار دارک واچ من، استفاده آن از مکانیزسم ذخیره سازی بدون فایل رجیستری ویندوز برای کی لاگر است.
هر زمانی که کاربر به ویندوز وارد می شود، RAT دارک واچ من آغاز به کار می کند.
هنگامی که این بدافزار آغاز به کار می کند، اسکریپت پاورشلی را اجرا می کند که با استفاده از فرمان .NET CSC.exe کی لاگر را فشرده سازی می کند و آن را در مموری به راه می اندازد.
قابلیت های عملکردی دارک واچ من عبارتند از:
- اجرای فایل های EXE
- لود کردن فایل های DLL
- اجرای فرمان ها بر روی خط فرمان
- اجرای فرمان های WSH
- اجرای فرمان های متنوع از طریق WMI
- اجرای فرمان های پاورشل
- ارزیابی جاوا اسکریپت
- آپلود فایل ها در سرور کنترل و فرمان از دستگاه قربانی
- توقف و لغو نصب راه دور RAT و کی لاگر
- به روز رسانی از راه دور نشانی سرور کنترل و فرمان
- به روز رسانی از راه دور RAT و کی لاگر
- یک الگوریتم تولید دامین برای کنترل و فرمان
محققین Prevailion معتقدند که دارک واچ من احتمالا مورد استفاده گروه های باج افزاری قرار دارد که قصد دارند با یک ابزار خوب و مخرب، شرکای کم قابلیت تر خود را تقویت کنند.
