تبدیل بنرهای FTP به کانالی برای انتقال بدافزار ویندوزی
بنرهای FTP رشته‌های متنی هستند که سرور هنگام برقراری اتصال، پیش از ورود، از آن‌ها به‌عنوان پیام خوش‌آمدگویی استفاده می‌کند.
مهاجمان دستورات مخرب را در پاسخ اولیه سرور FTP قرار می‌دهند تا لودر اولیه بدافزار بتواند هنگام اتصال سیستم آلوده، دستورالعمل‌های لازم را از سرور راه دور دریافت کند. به این ترتیب، بنر FTP به بستری برای انتقال دستورات تبدیل می‌شود و بدافزار ویندوزی می‌تواند از همین مسیر، اطلاعات موردنیاز برای ادامه زنجیره آلودگی را دریافت کند.
پژوهشگران پلتفرم هوش تهدید SOCRadar، پس از شناسایی استفاده از بنرهای FTP برای انتقال دستورات مخرب در جریان تحقیقات خود، دامنه بررسی‌ها را گسترش دادند. یافته‌های آن‌ها نشان داد که مهاجمان همچنان از این تکنیک در حملات فعال استفاده می‌کنند.
پژوهشگران با انجام جست‌وجو در FOFA دریافتند که این روش از اوایل جولای 2026 به‌صورت عملیاتی مورد استفاده قرار گرفته و همچنان فعال است. بررسی زیرساخت‌های مرتبط نیز نشان داد نمونه‌های جدیدی از این زیرساخت‌ها تا آگوست 2026 در حال فعالیت بوده‌اند.
آغاز زنجیره آلودگی با فایل ZIP
بر اساس گزارش SOCRadar، حملات شناسایی‌شده با یک فایل فشرده ZIP آغاز می‌شوند که زنجیره آلودگی مبتنی بر فایل LNK را فعال می‌کند. پژوهشگران معتقدند مهاجمان احتمالاً از طریق فیشینگ به سیستم قربانی دسترسی اولیه پیدا می‌کنند.
در ادامه، این زنجیره آلودگی از دو مسیر مجزا برای استقرار دو تروجان دسترسی از راه دور (RAT) با نام‌های E4del و PINHOLE استفاده می‌کند. هر دو مسیر در یکی از مراحل خود، یک اسکریپت پاورشل را از طریق بنرهای FTP دریافت می‌کنند؛ روشی که در نهایت زمینه ورود بدافزار ویندوزی به سیستم قربانی را فراهم می‌سازد.
E4del؛ تروجان دسترسی از راه دور برای کنترل و اجرای دستورات
E4del یک تروجان دسترسی از راه دور (RAT) مبتنی بر Node.js است که در قالب یک اپلیکیشن ساخته‌شده با فریم‌ورک الکترون (Electron) و دارای امضای دیجیتال ارائه می‌شود. این اپلیکیشن برای فریب کاربران، خود را به‌عنوان نرم‌افزار دیسکورد (Discord) معرفی می‌کند و از این پوشش ظاهراً معتبر برای ورود به سیستم قربانی بهره می‌گیرد. به این ترتیب، بدافزار ویندوزی می‌تواند در قالب یک اپلیکیشن قانونی و قابل‌اعتماد به سیستم قربانی راه پیدا کند.
این RAT قابلیت‌های مختلفی را برای کنترل سیستم در اختیار مهاجم قرار می‌دهد، از جمله:
- اجرای دستورات از طریق شل‌های (Shell) دائمی یا شل‌های موقت
- تهیه اسکرین‌شات از صفحه‌نمایش
- استریمینگ دسکتاپ از طریق وب‌سوکت (WebSocket)
- دانلود و اجرای پیلودهای دیگر
همچنین SOCRadar از یک ماژول Node.js با نام crypto32.node خبر داده است که برای افزایش سطح دسترسی (Privilege Escalation) در سیستم تلاش می‌کند. بااین‌حال، پژوهشگران موفق به بازیابی این ماژول برای تحلیل بیشتر نشدند.
PINHOLE؛ پنهان‌کاری در حافظه و دریافت پیکربندی از سرویس‌های آنلاین
PINHOLE برای دریافت پیکربندی فرماندهی و کنترل (C2) از روشی متفاوت استفاده می‌کند. این تروجان دسترسی از راه دور (RAT) پیکربندی مربوط به سرور C2 خود را از پین‌های پینترست (Pinterest Pins) و سؤالات موجود در نظرسنجی‌های SurveyMonkey دریافت می‌کند؛ روشی که انعطاف‌پذیری زیرساخت مهاجمان را افزایش می‌دهد و شناسایی و از کار انداختن آن را دشوارتر می‌کند.
این بدافزار ویندوزی برای کاهش ردپای خود روی سیستم، از تکنیک تغییر متناوب شل‌کد (Shellcode Fluctuation) استفاده می‌کند. در این روش، تنها یک بخش 4 کیلوبایتی از پیلود در هر لحظه در حافظه قرار می‌گیرد. در مرحله بعد، مهاجمان کد نهایی را با استفاده از تکنیک تزریق Early Bird APC در پردازه ApplicationFrameHost.exe که اجرای آن متوقف شده است، تزریق می‌کنند.
PINHOLE از 14 دستور پشتیبانی می‌کند که امکان کنترل بخش‌های مختلف سیستم را برای مهاجم فراهم می‌کنند، از جمله:
- فهرست‌برداری از فایل‌ها
- آپلود و دانلود فایل‌ها
- اجرای دستورات
- مدیریت پردازه‌ها
- تهیه اسکرین‌شات
استقرار ماژولی برای سرقت اطلاعات احراز هویت ذخیره‌شده در مرورگرها
میزان پنهان‌کاری بنرهای FTP در انتقال بدافزار ویندوزی
در زمان تحلیل، تنها 11 مورد اجرای اسکریپت PINHOLE مشاهده شد که نشان می‌دهد این کمپین احتمالاً هنوز در مراحل ابتدایی فعالیت خود قرار داشته است.
بااین‌حال، استفاده از بنرهای FTP برای انتقال دستورات، رویکردی جدید در مقایسه با زیرساخت‌های متداول دد دراپ به شمار می‌رود. SOCRadar معتقد است این روش نسبت به دد دراپ‌های مبتنی بر وب، پنهان‌کاری کمتری دارد؛ زیرا ارتباط با سرورهای FTP ناشناس، برخلاف ترافیک عادی سرویس‌های وب شناخته‌شده، بیشتر می‌تواند در شبکه جلب توجه کرده و شناسایی شود.
مهاجمان معمولاً از سرویس‌های وب قانونی مانند ایکس (X)، گیت‌هاب و یوتیوب برای پنهان کردن ارتباطات خود در میان حجم بالای ترافیک عادی و مورد انتظار شبکه استفاده می‌کنند. در مقابل، بنرهای FTP رویکردی جدید و جایگزین برای انتقال دستورات محسوب می‌شوند.
همچنین پژوهشگران تأکید می‌کنند که این تکنیک انعطاف‌پذیری بالایی دارد و مهاجمان می‌توانند به‌راحتی از آن در کمپین‌های مهندسی اجتماعی (Social Engineering) مبتنی بر کلیک‌فیکس (ClickFix) استفاده کنند. این انعطاف‌پذیری، امکان استفاده از این روش را در طیف گسترده‌تری از حملات فراهم می‌کند.
گزارش SOCRadar نیز مجموعه‌ای از شاخص‌های نفوذ (IoC) را ارائه کرده است که می‌تواند به تیم‌های امنیتی در شناسایی زیرساخت‌های مخرب مرتبط با بدافزار ویندوزی و همچنین سیستم‌های آلوده موجود در شبکه کمک کند.
در مجموع، استفاده از بنرهای FTP به‌عنوان کانالی برای انتقال دستورات نشان می‌دهد مهاجمان همچنان به دنبال روش‌های جایگزین برای انتقال و کنترل پیلودهای خود هستند. اگرچه این روش لزوماً پنهان‌کاری بیشتری نسبت به دد دراپ‌های مبتنی بر وب ندارد، اما استفاده هم‌زمان از آن با فایل‌های LNK، پاورشل و تکنیک‌های پیشرفته تزریق کد، زنجیره‌ای چندمرحله‌ای و پیچیده برای آلودگی سیستم ایجاد می‌کند.
