IPImen ، Firewall ، NGFirewall-UTM، آیپی ایمن، فایروال ایرانی ، فایروال بومی، یوتی ام بومی، یوتی ام ایرانی، فایروال نسل بعدی ایرانی، فایروال نسل بعدی بومی

سرویسی شبیه «تحویل بدافزار به‌عنوان خدمت» با صفحات فرود جعلی و دستورهای PowerShell

پژوهشگران امنیت سایبری جزئیات یک پلتفرم توزیع بدافزار مبتنی بر تکنیک ClickFix را منتشر کرده‌اند که ROMULUS نام دارد و برای پخش بدافزارهایی مانند Legion Loader به کار می‌رود.

---

ROMULUS چیست؟

بر اساس تحلیل Forescout Research – Vedere Labs، ROMULUS شبیه یک سرویس تحویل بدافزار عمل می‌کند و با استفاده از طعمه‌های سبک ClickFix روی صفحات فرود جعلی، کاربران ناآگاه را فریب می‌دهد تا خودشان دستورهای مخرب را اجرا کنند و دستگاهشان را آلوده کنند.

سای مولیگه (Sai Molige)، پژوهشگر امنیتی این شرکت، می‌گوید ماهیت دقیق این پلتفرم هنوز روشن نیست. به گفته او، ROMULUS ممکن است یک پنل خصوصی، یک سرویس تجاری تحویل بدافزار برای مجرمان سایبری، یک چارچوب وابسته‌محور (Affiliate)، یا نرم‌افزاری باشد که میان اپراتورهای مختلف کپی شده است.

هنوز مشخص نیست چه کسی پشت این پلتفرم قرار دارد. نکته مهم این‌که ROMULUS هیچ همپوشانی‌ای با RomulusLoader ندارد؛ بدافزاری که به گروه چین‌محور Silver Fox (با نام دیگر TA4922) نسبت داده می‌شود. آن گروه بارها از بهانه‌های مرتبط با مالیات برای توزیع تروجان‌های دسترسی از راه دور مانند ValleyRAT و DcRAT از طریق بارگذاری کناری DLL استفاده کرده است.

---

شش آدرس IP مرتبط با پلتفرم

Forescout شش آدرس IP را شناسایی کرده که ROMULUS روی آن‌ها اجرا می‌شود:

• 96.62.224[.]81
• 86.109.75[.]7
• 151.240.151[.]223
• 23.94.145[.]224
• 93.152.224[.]118
• 2.27.248[.]127

ارتباط با کمپین Custom GPT های مخرب

نکته قابل‌توجه این است که آدرس 96.62.224[.]81 میزبان یک اسکریپت ClickFix و یک فایل نصب‌کننده MSI در ارتباط با کمپین دیگری بوده است؛ کمپینی که از Custom GPT‌های مخرب در ChatGPT برای هدایت قربانیان به یک نشانی جعلی استفاده می‌کرد که طعمه ClickFix را ارائه می‌داد.

تحلیل Forescout پس از آن نشان داد همان بدافزار از طریق سرور دیگری نیز (86.109.75[.]7) توزیع می‌شود که پنلی با کدنام ROMULUS را میزبانی می‌کرد. افزون بر این، یک زنجیره جداگانه که از طریق ClickFix فعال می‌شود، یک اسکریپت PowerShell اجرا می‌کند و این اسکریپت Legion Loader را تحویل می‌دهد؛ بارگذاری که با نام‌های Satacom downloader، CurlyGate و RobotDropper نیز شناخته می‌شود.

---

نحوه کار پلتفرم

پلتفرم ROMULUS دو نقطه پایانی (Endpoint) در معرض دید قرار می‌دهد که برای دانلود یک اسکریپت مرحله‌بندی PowerShell طراحی شده‌اند. این اسکریپت تصمیم می‌گیرد مرحله بعد چه بار مخربی دریافت شود:

• یک نصب‌کننده MSI دستکاری‌شده که یک بارگذار بدافزار را حمل می‌کند، یا
• یک آرشیو رمزنگاری‌شده حاوی Legion Loader

بارگذار نیز به‌نوبه خود با یک سرور راه دور ارتباط برقرار می‌کند تا بارهای مخرب بیشتری را دریافت و اجرا کند.

---

ClickFix؛ از یک ترفند مهندسی اجتماعی تا نقطه ورود اصلی بدافزار

یافته‌های Forescout نشان می‌دهد ClickFix از یک تکنیک ساده مهندسی اجتماعی فراتر رفته و به یک نقطه ورود بسیار مؤثر برای بدافزار تبدیل شده است. ویژگی اصلی این روش آن است که قربانی با دستان خود دستور مخرب را اجرا می‌کند؛ بنابراین بسیاری از کنترل‌های امنیتی که بر اساس شناسایی فایل یا بهره‌برداری عمل می‌کنند، دور زده می‌شوند.

این پلتفرم یادآور روندی گسترده‌تر است: مجرمان سایبری، این الگو را به‌صورت سرویس‌های آماده و قابل‌تکرار درمی‌آورند و هر اپراتوری می‌تواند با کمترین مهارت فنی از آن استفاده کند. استفاده از Custom GPTهای مخرب برای هدایت قربانیان نیز نشان می‌دهد مهاجمان، خود پلتفرم‌های هوش مصنوعی را به‌عنوان کانال توزیع به کار می‌گیرند.

---

توصیه‌های امنیتی

• هرگز دستوری را که یک صفحه وب از شما می‌خواهد کپی کنید و در پنجره Run، Windows Terminal یا PowerShell اجرا کنید؛ حتی اگر صفحه ظاهری قانونی، مثل تأیید کپچا یا رفع خطا، داشته باشد.
• اجرای PowerShell و پنجره Run را برای کاربران عادی از طریق AppLocker، Application Control یا Group Policy محدود کنید.
• ثبت لاگ بلوک اسکریپت PowerShell (Script Block Logging) را فعال کنید تا دستورهای مبهم‌سازی‌شده قابل بررسی باشند.
• تیم‌های امنیتی باید به‌طور فعال به دنبال دستورهای مشکوک PowerShell و رویدادهای بارگذاری کناری DLL بگردند؛ دو شاخص کلیدی که Forescout برای شکار این تهدید توصیه کرده است.
• ارتباط با شش آدرس IP فهرست‌شده را در لاگ‌های شبکه جست‌وجو و مسدود کنید.
• نصب‌کننده‌های MSI را فقط از منابع رسمی دانلود کنید و از اجرای فایل‌های MSI دریافت‌شده از لینک‌های ناشناس پرهیز کنید.
• کارکنان را درباره روش‌های ClickFix آموزش دهید، به‌ویژه این‌که لینک‌های دریافتی از چت‌بات‌ها و GPTهای سفارشی نیز می‌توانند مخرب باشند.

---

جمع‌بندی

ROMULUS نمونه‌ای دیگر از تبدیل ClickFix به یک زیرساخت توزیع سازمان‌یافته است: پنلی که قربانیان را از طریق صفحات جعلی به اجرای دستور PowerShell وامی‌دارد و سپس بسته به شرایط، یک MSI دستکاری‌شده یا آرشیو حامل Legion Loader تحویل می‌دهد. با وجود این‌که هویت اپراتور و ماهیت دقیق این سرویس هنوز نامعلوم است، ارتباط آن با کمپین Custom GPTهای مخرب و استفاده از شش آدرس IP مشخص، فرصت‌هایی برای شناسایی و مسدودسازی در اختیار مدافعان قرار می‌دهد. دفاع مؤثر، ترکیبی است از محدودسازی PowerShell و پنجره Run، پایش بارگذاری کناری DLL، و آموزش کاربران برای هرگز اجرا نکردن دستورهایی که یک صفحه وب از آن‌ها می‌خواهد.