قابلیت‌های بدافزار GoCaracal و پروفایل‌های مختلف آن
بدافزار GoCaracal امکان دسترسی به شل از راه دور (Remote Shell Access) و دریافت و اجرای پیلود را برای اپراتورهای خود فراهم می‌کند. پروفایل توسعه‌یافته این فریم‌ورک قابلیت‌های بیشتری از جمله سرقت داده‌های مرورگر، ثبت کلیدهای فشرده‌شده (Keylogging)، کنترل دسکتاپ از راه دور و عبور دادن ترافیک ارتباطی از طریق پروکسی SOCKS5 را در اختیار مهاجمان قرار می‌دهد.
شرکت امنیت سایبری Arctic Wolf ، یک قانون YARA و مجموعه‌ای از شاخص‌های نفوذ (IoCs) را منتشر کرده است که تیم‌های دفاعی می‌توانند از آن‌ها برای شکار تهدید (Threat Hunting) و شناسایی نمونه‌های این بدافزار در شبکه استفاده کنند.
این شرکت برای نسبت دادن این فعالیت به گروه Dark Caracal، شواهد فنی و عملیاتی مختلفی را بررسی کرده است. استفاده از بدافزار Bandook، ویژگی‌های مشترک و تکرارشونده در لودرهای مبتنی بر دلفی (Delphi)، استفاده از محتوای فریبنده با مضمون مالی و مالیاتی به زبان اسپانیایی و به‌کارگیری فایل‌های SVG مخرب از جمله این نشانه‌ها هستند. همچنین، استفاده از سرویس‌های کوتاه‌کننده لینک (URL Shorteners)، به‌کارگیری زیرساخت‌هایی با نام‌گذاری و ظاهر مرتبط با اسناد و تمرکز عملیاتی بر اهدافی در آمریکای لاتین، از دیگر شواهدی هستند که Arctic Wolf در این ارزیابی در نظر گرفته است.
بررسی فنی پروفایل‌های مختلف بدافزار
Arctic Wolf اعلام کرده است که این بدافزار در جریان نفوذ مورد بررسی، در دو پروفایل سبک (Lightweight Profile) و توسعه‌یافته (Extended Profile) مشاهده شده است.
پس از آن، بدافزار Bandook نیز در کنار پروفایل سبک مستقر شد و هر دو بدافزار در جریان این نفوذ مورد استفاده قرار گرفتند. با این حال، Arctic Wolf اعلام کرده است که شواهد کافی برای نشان دادن جایگزینی بدافزار GoCaracal با Bandook وجود ندارد.
پروفایل سبک از قابلیت‌هایی مانند پروفایل‌سازی میزبان، ایجاد کانال رمزنگاری‌شده فرماندهی و کنترل (C2)، فراهم کردن دسترسی به شل تعاملی، دریافت و اجرای پیلود و بارگذاری و تزریق شل‌کد (Shellcode) پشتیبانی می‌کند.
پروفایل توسعه‌یافته قابلیت‌های بیشتری دارد. این پروفایل شامل شناسایی سیستم و فایل‌ها، اجرای دستورات، جمع‌آوری کوکی‌های مرورگر و پایگاه‌های داده ورود به حساب‌ها، ثبت کلیدهای فشرده‌شده، جست‌وجوی هدفمند فایل‌ها، دسترسی به دسکتاپ از راه دور مبتنی بر ارتباطات بلادرنگ وب (WebRTC)، تعامل مخفیانه با مرورگر، پروکسی SOCKS5 و قابلیت‌های مرتبط با پایداری در سیستم (Persistence) است.
فیشینگ؛ روش احتمالی ورود بدافزار به سیستم قربانی
Arctic Wolf بر این باور است که مهاجمان احتمالاً از فیشینگ برای رساندن بدافزار GoCaracal به سیستم قربانی استفاده کرده‌اند. با این حال، این شرکت ایمیل فیشینگ اصلی یا پیوست گرافیک برداری مقیاس‌پذیر (SVG) مورد استفاده در این حمله را از سیستم قربانی به دست نیاورده است.
Arctic Wolf این ارزیابی را بر اساس شواهد موجود انجام داده است. نام‌گذاری آرتیفکت‌ها با مضامین مالی و مالیاتی، الگوی شناخته‌شده این کمپین و وجود بیش از 100 فایل SVG مرتبط، از جمله مواردی بوده‌اند که در این ارزیابی بررسی شده‌اند. این فایل‌ها با یک سایت میزبانی مخرب ارتباط برقرار می‌کردند.
استفاده از قرارداد هوشمند اتریوم برای دریافت آدرس C2 جایگزین
در حالت عادی، بدافزار ابتدا با سرور اصلی فرماندهی و کنترل (C2) که در پیکربندی آن تعیین شده است، ارتباط برقرار می‌کند. اگر این تلاش‌ها چندین بار با شکست مواجه شوند، یک درخواست eth_getStorageAt را به یک Endpoint عمومی اتریوم از نوع JSON-RPC ارسال می‌کند.
پاسخ این درخواست، آدرس جایگزین ذخیره‌شده در قرارداد هوشمند را در اختیار بدافزار قرار می‌دهد. بدافزار این آدرس را در پیکربندی موجود در حافظه ثبت کرده و سپس تلاش می‌کند ارتباط معمول خارج از زنجیره با سرور C2 را از طریق این آدرس جدید برقرار کند.
مهاجمان برای خواندن اطلاعات یک قرارداد هوشمند، می‌توانند از چند Endpoint عمومی RPC استفاده کنند. در نتیجه، از کار افتادن یا در دسترس نبودن یکی از این Endpointها مانع دریافت اطلاعات قرارداد نمی‌شود و مهاجم می‌تواند از Endpoint دیگری استفاده کند.
Arctic Wolf تأکید کرده است که این سازوکار به معنای قرار گرفتن کل کانال C2 بدافزار روی شبکه اتریوم نیست. در این روش، اتریوم تنها برای دریافت آدرس جدید سرور C2 مورد استفاده قرار می‌گیرد و ارتباط بدافزار با زیرساخت مهاجم همچنان به‌صورت خارج از زنجیره انجام می‌شود.
این سازوکار مبتنی بر قرارداد هوشمند به اپراتور اجازه می‌دهد بدون انتشار یک باینری جدید از بدافزار GoCaracal، آدرس سرور C2 جایگزین را تغییر دهد.
با این حال، در گزارش عمومی Arctic Wolf هیچ شواهدی از میزبانی در جریان نفوذ ماه ژوئن ارائه نشده است که این سازوکار جایگزین را فعال کرده باشد و پس از دریافت آدرس جدید، توانسته باشد از طریق سرور C2 جایگزین دوباره با مهاجمان ارتباط برقرار کند.
سابقه فعالیت Dark Caracal در آمریکای لاتین
گروه Dark Caracal پیش‌تر نیز در کشورهای آمریکای لاتین فعالیت داشته است. در سال 2018، گزارش‌هایی درباره فعالیت این گروه منتشر شد. در سال 2020 نیز نمونه‌های بازطراحی‌شده بدافزار Bandook شناسایی شدند و یک سال بعد، حملات مبتنی بر این بدافزار در ونزوئلا مورد توجه قرار گرفتند.
Arctic Wolf اعلام کرده است که آرتیفکت‌ها و زیرساخت‌های مرتبط با این فعالیت در کشورهای برزیل، اکوادور، شیلی، کلمبیا، السالوادور و اروگوئه نیز شناسایی شده‌اند. این شرکت با اطمینان متوسط، فعالیت‌های مرتبط در این منطقه را به همین جریان عملیاتی نسبت داده است. با این حال، هیچ‌یک از این کشورها به‌عنوان محل حضور قربانیان تأییدشده معرفی نشده‌اند.
همچنین، Arctic Wolf در گزارش عمومی خود تعداد سازمان‌های مورد نفوذ با بدافزار GoCaracal را اعلام نکرده است.
شاخص‌های نفوذ و اطلاعات منتشرشده درباره بدافزار GoCaracal
Arctic Wolf مجموعه‌ای از شاخص‌های نفوذ (IoCs) مرتبط با این فعالیت سایبری را برای شناسایی و بررسی تهدید منتشر کرده است که عبارتند از:
- یک قانون YARA برای شناسایی پروفایل سبک بدافزار GoCaracal
- تعدادی هش SHA-256 و دامنه‌ها و آدرس‌های IP مرتبط
- شاخص‌های مرتبط با قراردادهای هوشمند و کیف پول‌های اتریوم
- مسیرهای میزبان مرتبط با بدافزار
Arctic Wolf اعلام کرده است که شاخص‌های منتشرشده صرفاً برای ارجاع و شناسایی اولیه ارائه شده‌اند و مجموعه کامل IoCها در اختیار مشتریان این شرکت قرار دارد.
