ارتباط بدافزار PEEP با RedExt و ماهیت پس از نفوذ آن
پس از نصب افزونه، عامل آن هر 30 ثانیه از طریق پروتکل HTTP بدون رمزنگاری با زیرساخت فرماندهی و کنترل (C2) ارتباط برقرار می‌کند تا دستورهای جدید را از سرورهای واقع در آدرس‌های 206.237.30[.]232 و xfjcc[.]fun دریافت کند.
این عامل هم‌زمان اطلاعاتی مانند تاریخچه مرورگر، متادیتای تب فعال (Active Tab) و کوکی‌های نشست را جمع‌آوری کرده و به زیرساخت مهاجم ارسال می‌کند. همچنین بدافزار PEEP به‌عنوان ابزاری برای دسترسی از راه دور و نظارت بر فعالیت مرورگر عمل می‌کند و به مهاجم امکان اجرای دستورهای سیستم میزبان، سرقت اطلاعات احراز هویت، ربایش نشست‌های کاربری و تغییر محتوای صفحات وب را می‌دهد.
این بدافزار بر پایه RedExt توسعه یافته است. RedExt یک فریم‌ورک متن‌باز برای تحلیل داده‌های مرورگر و عملیات Red Teaming است که پیش‌تر در برخی حملات GlassWorm نیز مورد استفاده قرار گرفته بود. با این حال، این ابزار قابلیت‌های بیشتری به RedExt افزوده است که از جمله آن‌ها می‌توان به سازوکارهای اختصاصی نصب، پل ارتباطی با میزبان بومی (Native Host Bridge)، تله‌متری دوره‌ای، کانال به‌روزرسانی و مجموعه گسترده‌تری از دستورها اشاره کرد. به همین دلیل، این ابزار را می‌توان نسخه‌ای برگرفته از RedExt دانست.
این ابزار یک فریم‌ورک پس از نفوذ است و برای نفوذ اولیه به سیستم طراحی نشده است. بنابراین، مهاجم باید ابتدا از طریق روش دیگری به سیستم هدف نفوذ کند و سپس این ابزار را روی آن مستقر سازد. هویت عامل این فعالیت هنوز مشخص نیست، اما نشانه‌های چینی در کد منبع، احتمال ارتباط آن با یک مهاجم چینی‌زبان را مطرح می‌کند.
تبدیل افزونه مرورگر به ابزار دسترسی از راه دور
افزونه مخرب مورد استفاده در بدافزار PEEP با نام Smart Bookmarks و شناسه ejkndncpkdcjcikfhiamcdehdoegilbj خود را به‌عنوان یک افزونه عادی پنهان می‌کند.
عامل اصلی (Main Agent) در یک چرخه ارتباط دوره‌ای ، هر 30 ثانیه از مسیر /api/commands به سرور متصل می‌شود. این عامل اطلاعات مرورگر را جمع‌آوری می‌کند، دستورهای جدید را از سرور دریافت کرده و نتایج اجرای آن‌ها را برای سرور ارسال می‌کند.
برای دسترسی به قابلیت‌های سیستم‌عامل، افزونه در صورت نیاز فایل اجرایی کمکی nm_host.exe را اجرا می‌کند. اما قابلیت‌هایی که مستقیماً در محیط مرورگر قابل اجرا هستند، مانند تهیه اسکرین‌شات، دسترسی به کلیپ‌بورد و تزریق جاوااسکریپت (JavaScript Injection)، در همان محیط مرورگر انجام می‌شوند. استفاده از باینری میزبان پیام‌رسانی بومی به این بدافزار اجازه می‌دهد علاوه بر سرقت اطلاعات احراز هویت، به قابلیت‌های یک ابزار دسترسی از راه دور نیز دست پیدا کند.
به گفته SOCRadar، این افزونه در سطح حساب کاربری اجرا می‌شود و اطلاعات ذخیره‌شده در مرورگر را استخراج می‌کند. سپس از طریق com.peep.lab/nm_host.exe امکان اجرای دستورات شل (Shell Commands)، مدیریت فایل‌ها و شناسایی پردازه‌ها و سرویس‌های فعال سیستم را فراهم می‌کند. همچنین این ابزار برای نصب و حفظ پایداری(persistence) خود در مرورگر، محدودیت‌های نصب افزونه از مسیر رسمی را دور می‌زند و از روش‌هایی مانند بارگذاری جانبی (Sideloading)، سیاست‌های نصب اجباری سازمانی، دست‌کاری تنظیمات امنیتی مرورگر و سازوکار جایگزین ScriptCache استفاده می‌کند.
مسیرهای ارتباطی بدافزار PEEP با سرور C2
افزونه مخرب مورد استفاده در بدافزار علاوه بر مسیر اصلی دریافت دستورها، از چند Endpoint دیگر نیز استفاده می‌کند که برای ثبت آلودگی، ارسال اطلاعات سیستم، به‌روزرسانی افزونه، ارسال نتایج اجرای دستورها و ارسال داده‌های جمع‌آوری‌شده به کار می‌روند:
- /api/registerبرای ثبت سیستم آلوده در سرور C2
- /api/agents/<id>/heartbeatبرای ارسال اطلاعاتی مانند رشته شناسایی مرورگر (User-Agent)، سیستم‌عامل و منطقه زمانی سیستم
- /api/extension_update/ و /api/extension_crx/ برای به‌روزرسانی افزونه
- /api/agents/<id>/task_result برای ارسال نتایج اجرای دستورها
- /api/exfil برای ارسال خودکار داده‌های جمع‌آوری‌شده، از جمله کوکی‌ها، تاریخچه اخیر مرورگر، تب‌های باز، URL فعال، آدرس IP عمومی، تنظیمات منطقه‌ای و منطقه زمانی سیستم
- /healthبرای نمایش وضعیت داخلی سیستم بدون نیاز به اطلاعات ورود
- /loginبرای نمایش رابط ورود به پنل C2 روی پورت 5001
استقرار افزونه در مرورگر
یکی از قابلیت‌های مهم این ابزار، امکان دست‌کاری فایل Secure Preferences است. این قابلیت به ابزار اجازه می‌دهد افزونه را طوری تنظیم کند که با هر بار اجرای مرورگر، به‌صورت خودکار فعال شود. از آنجا که این افزونه در کروم وب استور (Chrome Web Store) و سایر فروشگاه‌های رسمی افزونه‌ها وجود ندارد، بدافزار PEEP برای نصب و استقرار آن از سیاست‌هایی مانند ExtensionInstallForcelist و ExtensionSettings در کنار روش بارگذاری جانبی استفاده می‌کند.
برای انجام این کار، از چند اسکریپت استفاده می‌شود. دو اسکریپت پاورشل (PowerShell) تنظیمات مرورگر را تغییر می‌دهند و اسکریپت دیگری نیز امکان ثبت مجدد افزونه را بدون دست‌کاری فایل Secure Preferences فراهم می‌کند:
- ps1با فعال‌سازی حالت توسعه‌دهنده (Developer Mode) ، امکان بارگذاری جانبی افزونه‌های دلخواه را فراهم می‌کند.
- ps1فایل Secure Preferences را دست‌کاری می‌کند تا افزونه بدون نیاز به فرایند معمول نصب و تأیید، فعال بماند.
- ps1افزونه را از بخش external_uninstalls در فایل Preferences حذف می‌کند، فایل CRX را در مسیر %LOCALAPPDATA%PEEPcrxقرار می‌دهد و سپس افزونه را از طریق کلید HKCU Extensions و فایل JSON افزونه‌های خارجی دوباره در مرورگر ثبت می‌کند. در نهایت، مرورگر را مجدداً راه‌اندازی می‌کند.
علاوه بر این، اسکریپت پایتون patch_secure_prefs_linux.py نیز وجود دارد که همین سازوکار را در محیط لینوکس(Linux) پیاده‌سازی می‌کند. وجود این اسکریپت نشان می‌دهد این سازوکار برای استقرار افزونه روی سیستم‌های لینوکسی نیز در نظر گرفته شده است.
عملکرد افزونه پس از استقرار و قابلیت‌های آن
افزونه پس از راه‌اندازی، فایل پیکربندی خود را بررسی می‌کند تا اطلاعات سرور فرماندهی و کنترل (C2) را استخراج کرده و قابلیت جمع‌آوری خودکار داده‌ها را فعال کند.
هم‌زمان، افزونه اسکریپت محتوایی content.js را در تمام صفحات وب تزریق می‌کند تا این اسکریپت بتواند در محیط مرورگر اجرا شود.
به گفته SOCRadar، عبارت Authorized CTF (چالش امنیتی مجاز) چندین بار در کدهای مرتبط با این عملیات مشاهده شده است. این موضوع احتمال آن را مطرح می‌کند که مهاجم از چنین پوششی برای کاهش محدودیت‌های ایمنی ابزارهای هوش مصنوعی و استفاده از آن‌ها در توسعه بدافزار استفاده کرده باشد. با این حال، هنوز مشخص نیست این عملیات چه اهدافی را دنبال می‌کند یا چه سیستم‌هایی را هدف قرار داده است. در همین حال، مسیر /health در سرور C2 وجود 34 عامل، 10 نشست فعال و 507 رکورد داده را نشان داده است. البته مشخص نیست چه تعداد از این موارد به سیستم‌های واقعاً آلوده مربوط می‌شوند و کدام‌یک صرفاً ورودی‌های آزمایشی یا استقرارهای تأییدشده هستند.
به گفته SOCRadar، بدافزار PEEP از دسترسی‌ای استفاده می‌کند که مهاجم پیش‌تر روی سیستم هدف به دست آورده است. این ابزار با تکیه بر پل پیام‌رسانی بومی، مرورگرهای کروم و اج را به یک بکدور پایدار تبدیل می‌کند و از طریق آن می‌تواند از محیط سندباکس مرورگر (Browser Sandbox) عبور کرده و به قابلیت‌های سیستم‌عامل دسترسی پیدا کند. از آنجا که بخش اصلی عملکرد این ابزار درون پردازه امضاشده مرورگر اجرا می‌شود، ممکن است برخی سازوکارهای امنیتی که بر شناسایی فایل‌های اجرایی جدید یا فاقد امضای دیجیتال تمرکز دارند، نتوانند این ابزار را به‌درستی شناسایی کنند. در چنین شرایطی، مرورگر به بستری برای دسترسی مهاجم به سیستم تبدیل می‌شود و مهاجم می‌تواند از آن برای سرقت اطلاعات احراز هویت، سوءاستفاده از نشست‌های کاربری و اجرای دستور استفاده کند.
