به گزارش کارگروه امنیت سایبربان؛ یک کمپین فیشینگ جدید شناسایی شده که عاملین آن با استفاده از آسیب پذیری امنیتی Follina (فولینا) در پشتی پیش از این ناشناخته ای به نام Rozena (رُزِنا) را بر روی سیستم های ویندوز منتشر می کنند.
طبق ادعای محققین فورتی گارد لبز رزنا یک در پشتی بدافزاری است که قابلیت تزریق شل کد راه دور کانکشن بک به دستگاه مهاجم را دارد. ( شل کد کانکت بک هنگامی که بر روی سیستم قربانی اجرا شود به سیستم قربانی متصل می شود)
آسیب پذیری حالا اصلاح شده CVE-2022-30190 یا همان فولینا در هفته های اخیر تحت بهره برداری های سنگین قرار گرفته است.
نقطه شروع برای آخرین زنجیره حمله مشاهده شده توسط فورتی نت، یک سند آفیس آلوده است که به هنگام باز شدن، به منظور بازیابی یک فایل HTML به دیسکورد CDN URL متصل می شود و در نهایت پی لود مرحله بعد را دانلود می کند.
کارکرد اصلی رزنا تزریق شل کدی است که یک شل برعکس را در سیستم میزبان مهاجم راه اندازی می کند و از طریق تغییر رجیستری ویندوز حضور خود در سیستم را تثبیت و به عنوان دام، یک سند ورد بی خطر را دانلود می کند.
مهاجم در نهایت می تواند ضمن حفظ در پشتی بر روی سیستم هدف، کنترل سیستم را به دست بگیرد و اقدام به نظارت و جمع آوری اطلاعات کند.
