موج جدیدی از فعالیت های مخرب بار دیگر نشان می‌دهد که Loader شناخته‌شدهٔ GootLoader بازگشته و این‌بار با به‌کارگیری «ترفند فونت سفارشی» (custom WOFF2 با glyph substitution) و یک تغییر ساده در ساختار آرشیوهای ZIP سعی می‌کند شناسایی خودکار را دور بزند و payloadهای مخرب را روی سایت‌های WordPress مستقر کند. یافته‌های Huntress از سه مورد آلوده سازی از 27 اکتبر 2025 حکایت دارد که در دو مورد، «hands-on keyboard» و compromise دامنهٔ کنترلی (domain controller) ظرف 17 ساعت رخ داده است — نشانۀ قابلیت حرکت جانبی سریع و کار عملیاتی با سطح دسترسی بالا.
چه چیزی تغییر کرده؟
دو نوآوری فنی برجسته در موج جدید مشاهده شده است:
فونت WOFF2 سفارشی با Glyph Substitution
مهاجم با جاسازی یک فونت WOFF2 سفارشی (فشرده‌شده با Z85 — یک variant از Base85) در داخل کد JavaScript صفحه، متن filenames را روی صفحه به‌صورت خوانا نشان می‌دهد در حالی که در سورس یا در هنگام copy/paste کاربر رشته‌هایی عجیب و نامرتبط دیده می‌شود. این روش عملاً باعث می‌شود وقتی تحلیلگر یا ابزار ایستا سعی می‌کند نام فایل را بخواند یا آن را کپی کند، به رشتهٔ مبهمی برسد؛ اما کاربر در مرورگر فایل واقعی مثلFlorida_HOA_Committee_Meeting_Guide.pdfرا می‌بیند.تغییر رفتار ZIP برای گیج کردن ابزارهای آنالیز
مهاجم آرشیو ZIP را طوری دستکاری می‌کند که در ابزارهایی مانند VirusTotal، کتابخانه‌های Python یا 7-Zip به‌صورت یک فایل .TXT یا محتوای بی‌ضرر استخراج شود، اما در Windows File Explorer همان آرشیو محتوی یک JavaScript معتبر استخراج می‌شود — payload واقعی. این اختلاف رفتار بین پلتفرم‌ها، زمان و فرصت مورد نیاز برای تحرکات بعدی مهاجم را افزایش می‌دهد.
زیرساخت حمله و بازیگران
GootLoader که به بازیگری موسوم به Hive0127 (UNC2565) منتسب است، معمولاً با تاکتیک‌های SEO poisoning قربانی را به سایت‌های WordPress آلوده هدایت می‌کند و ZIPهای XOR-encrypted با کلیدهای منحصربه‌فرد را از طریق endpoints نظرات (comment endpoints) منتقل می‌کند. در موج‌های قبلی، دسترسی‌های GootLoader به بازیگران دیگری مانند Storm-0494 واگذار شده تا backdoorهایی مانند Supper (aka SocksShell / ZAPCAT) و ابزارهایی مثل AnyDesk را برای دسترسی از راه دور مستقر کنند که در برخی موارد منجر به استقرار INC یا Interlock/other ransomware شده است.
رفتار پس از نفوذ (post-exploitation)
JavaScript داخل payload وظیفهٔ استقرار backdoor Supper را دارد — یک backdoor ساده اما مؤثر با قابلیت SOCKS5 proxying و remote shell. در نمونه‌هایی که Huntress تحلیل کرده، مهاجم از WinRM برای حرکت جانبی به سمت Domain Controller استفاده کرده و کاربر admin جدیدی ایجاد نموده است. Supper به‌صورت obfuscated پیاده‌سازی شده و با runtime shellcode construction و رمزنگاری سفارشی اجرای آن برای تحلیل‌گران را دشوار می‌سازد، ولی قابلیت‌های پایه‌ای آن عمدتاً شامل SOCKS5 پروکسی و remote shell است — همان «کافی و مؤثر» که مهاجمان نیاز دارند.
🔎 تحلیل فنی
مکانیزم انتقال
ترافیک SEO و تبلیغات (Google Ads سابقاً ثبت شده) برای هدایت قربانیان به صفحات WordPress آلوده
استفاده از comment endpoints برای تزریق XOR-encrypted ZIP payloads (هر فایل با کلید منحصر)
فونت WOFF2 جاسازی‌شده کدگذاری‌شده با Z85 در JavaScript صفحه برای glyph substitution
ZIPهایی که در محیط تحلیل خارج از Windows متفاوت رفتار می‌کنند → Fileless و evasion-friendly
تفاوت استخراج روی پلتفرم‌ها
VirusTotal / 7-Zip / Python ZIP libs → استخراج .TXT یا بی‌ضرر
Windows Explorer → استخراج JavaScript payload (قابل اجرا)
این نشان‌دهندهٔ تاکتیک هدفمند مهاجم برای سردرگم‌کردن اتوماسیون آنالیز است.
پیاده‌سازی Obfuscation
فونت سفارشی: glyph substitution mapping (رشته‌های عجیب ↔ رشته‌های خوانا)
Z85 encoding: کمینه‌سازی حجم WOFF2 (مثلاً فشرده‌سازی 32KB به ~40KB) و جاسازی مستقیم در JavaScript
🛡 توصیه‌های دفاعی
محدودسازی و هاردنینگ WordPress
بستن یا محدودسازی comment endpoints (خصوصاً روی سایت‌هایی که به آنها نیاز ندارید)
نصب و نگهداری آخرین پچ‌های WordPress، پلاگین‌ها و تم‌ها
پیشگیری از SEO poisoning / malicious ads
مانیتور کردن صفحات لندینگ و صفحاتی با نرخ بازگشت بالا
بررسی کمپین‌های تبلیغاتی مرتبط با کلیدواژه‌های حساس
تحلیل آرشیوهای مشکوک
نمونه‌های ZIP را روی Windows VM (sandbox واقعی) نیز استخراج کنید تا اختلاف رفتار پلتفرم‌ها معلوم شود
هشدار برای ZIPهایی که در خروجی ابزار ایستا به TXT تبدل می‌شوند اما در Windows رفتار متفاوت دارند
پایش Indicators مرتبط با Supper / SOCKS5
شناسایی پراکسی‌سازی محلی: ایجاد پورت‌های SOCKS5 و outbound ارتباطات غیرمعمول
مانیتورینگ WinRM lateral movement و تغییرات حساب‌های Domain
EDR / XDR Rules
شناسایی embed شدن WOFF2 یا رشته‌های Z85 در JavaScript صفحات میزبانی‌شده
detection برای اجرای JavaScript از فایل‌های استخراج‌شده از ZIP (Windows)
Response
در موارد مشکوک، بلافاصله دسترسی‌ها به سرور WordPress را قفل، لاگ‌ها را جمع‌آوری و توکن‌ها/کلیدها را rotate کنید
بررسی رخدادهای WinRM و ایجاد کاربر admin جدید روی DC
🔚 جمع‌بندی Vulnerbyte
GootLoader دوباره بازگشته و با ترکیب دو تکنیک ساده اما مؤثر — فونتِ سفارشیِ glyph-substitution و ZIP-فریب — نشان داده که حتی ابزارهای تحلیل اتوماتیکِ مدرن هم می‌توانند گمراه شوند. تاکتیکِ مهاجم، «پنهان‌سازی در دیدِ کاربر اما گیج‌کردن تحلیلگر» است؛ نتیجه‌اش زمانِ بیشتر برای lateral movement و استقرار backdoorهایی مثل Supper و نهایتاً حضور ransomware در شبکهٔ قربانی است. دفاع مؤثر نیازمند نظارت عمیق روی WordPress endpoints، تحلیل نمونه‌ها روی Windows واقعی و هش‌برداری سریع برای ارتباطات پروکسی و WinRM است.
