פושעי סייבר משתמשים בטכניקת התחמקות חדשה גם באמצעות תוכנות זדוניות של AsyncRAT


מתקפת פישינג חדשה ומתוחכמת נצפתה המספקת את הטרויאני AsyncRAT כחלק ממסע פרסום של תוכנות זדוניות שהחל בספטמבר 2021. האקרים זוהו המשתמשים בטכניקת התחמקות חדשה להפצת הטרויאן AsyncRAT כחלק ממסע פרסום מתוחכם של תוכנות זדוניות.

"באמצעות טקטיקה פשוטה של ​​דיוג בדוא"ל עם קובץ HTML מצורף, תוקפי איומים מספקים AsyncRAT (טרויאני גישה מרחוק) שנועד לנטר ולשלוט מרחוק במחשבים הנגועים שלו באמצעות חיבור מאובטח ומוצפן".

הפריצות מתחילות בהודעת דוא"ל המכילה קובץ HTML מצורף שמוסווה כקבלת אישור הזמנה (למשל, קבלה-<digits>.html). פתיחת קובץ הפיתוי מפנה את מקבל ההודעה לדף אינטרנט המנחה את המשתמש לשמור קובץ ISO.

אבל בניגוד להתקפות אחרות שמנתבות את הקורבן לתחום דיוג שהוגדר באופן מפורש להורדת התוכנה הזדונית בשלב הבא, מסע הפרסום האחרון של RAT משתמש בחוכמה ב-JavaScript כדי ליצור מקומית את קובץ ה-ISO ממחרוזת מקודדת Base64 ולחקות את תהליך ההורדה.

"הורדת ISO אינה נוצרת משרת מרוחק אלא מתוך הדפדפן של הקורבן על ידי קוד JavaScript שמוטבע בתוך קובץ קבלות ה-HTML".

כאשר הקורבן פותח את קובץ ה-ISO, הוא מותקן באופן אוטומטי ככונן DVD על המארח של Windows וכולל קובץ BAT או VBS, אשר ממשיך את שרשרת ההדבקה כדי לאחזר רכיב בשלב הבא באמצעות ביצוע פקודת PowerShell.

זה גורם לביצוע של מודול NET בתוך הזיכרון שפועל לאחר מכן כ-droper עבור שלושה קבצים - אחד משמש כטריגר עבור הבא - כדי לספק סוף סוף את AsyncRAT כמטען הסופי, תוך בדיקת תוכנת אנטי-וירוס והגדרה אי הכללות של Windows Defender.

AsyncRAT משמשים בדרך כלל ליצירת קישור מרחוק בין שחקן איום למכשיר קורבן, גניבת מידע ומעקב באמצעות מיקרופונים ומצלמות. הם מספקים מערך של יכולות מתקדמות המעניקות לתוקפים את היכולת לנטר ולשלוט באופן מלא על המכונות שנפרצו.

כמו כן, הטקטיקות המתקדמות של מסע הפרסום, אפשרו לתוכנה הזדונית לחמוק כמעט ללא זיהוי על ידי רוב מנועי האנטי-תוכנות זדוניות למרות שהפעולה הייתה בתוקף במשך קרוב לחמישה חודשים.