استفاده متفاوت کمپین جاسوسی SilkParasite از هوش مصنوعی
برخلاف عملیات‌هایی که بر بدافزارهای تولیدشده با هوش مصنوعی متکی هستند، ابزارهای مورد استفاده در کمپین جاسوسی SilkParasite ویژگی‌های یک مجموعه حرفه‌ای برای عملیات جاسوسی را دارند. شواهد موجود نشان می‌دهد این ابزارها عمدتاً توسط اپراتورهای انسانی توسعه یافته‌اند و هوش مصنوعی احتمالاً برای تسریع و ساده‌تر کردن فرآیند توسعه به کار گرفته شده است.
طبق گزارش شرکت امنیت سایبری رومانیایی بیت‌دیفندر (Bitdefender)، واضح‌ترین نشانه استفاده از هوش مصنوعی در یکی از طعمه‌های فیشینگ این عملیات شناسایی شده است. این طعمه به‌طور مشخص با کمک هوش مصنوعی تولید شده و تنها بخش از عملیات است که در آن نشانه‌هایی از سهل‌انگاری مهاجمان به چشم می‌خورد. همین مسئله این احتمال را مطرح کرده است که مهاجمان عمداً چنین ردپایی بر جای گذاشته‌اند تا شناسایی عامل حمله و انتساب عملیات برای پژوهشگران امنیتی دشوارتر شود.
شواهد فنی ارتباط این کمپین با عوامل تهدید چینی
SilkParasite سومین عامل تهدید مهمی است که طی سال‌های اخیر نهادهای مختلفی در آسیای مرکزی را هدف قرار داده است. پیش از آن نیز UAC-0063 و FamousSparrow حملاتی را علیه اهدافی در این منطقه انجام داده بودند.
یکی از مهم‌ترین شواهدی که ارتباط کمپین جاسوسی SilkParasite با چین را تقویت می‌کند، استفاده از بکدور BLOODALCHEMY است. این بدافزار نسخه‌ای بهبودیافته از Deed RAT به شمار می‌رود؛ Deed RAT نیز به‌عنوان نسخه‌ای تکامل‌یافته از ShadowPad شناخته می‌شود و ShadowPad در ادامه روند تکامل PlugX شکل گرفته است. هر دو خانواده ShadowPad و PlugX نیز به‌طور گسترده در عملیات گروه‌های هکری چینی مورد استفاده قرار گرفته‌اند.
BLOODALCHEMY نخستین‌بار در اکتبر 2023 توسط Elastic Security Labs مستندسازی شد. این بکدور در جریان حملات گروه REF5961 علیه سازمان‌های دولتی در جنوب و جنوب‌شرق آسیا شناسایی شد.
این بدافزار که با زبان C توسعه یافته، بخشی از یک مجموعه ابزار گسترده‌تر است. BLOODALCHEMY از طریق یک لودر DLL اجرا می‌شود که با استفاده از یک فایل اجرایی قانونی و تکنیک بارگذاری جانبی DLL (DLL Sideloading) ، کد مخرب را روی سیستم قربانی بارگذاری می‌کند.
BLOODALCHEMY مجموعه‌ای از دستورات پایه را برای جمع‌آوری اطلاعات مربوط به سیستم میزبان در اختیار مهاجم قرار می‌دهد. همچنین این بدافزار قادر است فایل اجرایی اصلی خود، لودر یا فایل اجرایی مورداعتماد آسیب‌پذیر به بارگذاری جانبی DLL را بازنویسی کند. امکان توقف فعالیت و حذف خودکار نیز از دیگر قابلیت‌های تعبیه‌شده در BLOODALCHEMY است.
استفاده از نسخه‌ای بهبودیافته از SpiceRAT نیز یکی دیگر از شواهدی است که ارتباط این عملیات با عوامل تهدید چینی را تقویت می‌کند. این نسخه از SpiceRAT می‌تواند فایل‌های اجرایی را دانلود و اجرا کند و همچنین امکان اجرای دستورات دلخواه را در اختیار مهاجم قرار دهد. SpiceRAT پیش‌تر به یک عامل تهدید چینی‌زبان با نام مستعار SneakyChef نسبت داده شده بود.
زنجیره حمله و معماری ماژولار ابزارهای نفوذ
زنجیره حمله با ارسال آرشیوهای RAR محافظت‌شده با رمز عبور آغاز می‌شود. این آرشیوها حاوی اسناد مخرب مایکروسافت آفیس (Microsoft Office) هستند و مهاجمان احتمالاً آن‌ها را از طریق ایمیل‌های فیشینگ هدفمند (Spear-Phishing) برای قربانیان ارسال می‌کنند. رمز عبور لازم برای باز کردن آرشیو نیز در متن همان ایمیل به قربانی ارائه می‌شود.
پس از باز کردن سند، یک ماکرو (Macro) اجرا می‌شود که فرآیند بارگذاری جانبی DLL را آغاز کرده و پیلود مرحله اول را روی سیستم مستقر می‌کند.
مهاجمان طعمه‌های فیشینگ را متناسب با کشورهای موردنظر طراحی کردند. اسناد به‌دست‌آمده نیز به‌گونه‌ای تنظیم شده بودند که برای نهادهای دولتی ازبکستان، ترکمنستان، قرقیزستان، تاجیکستان و قزاقستان مرتبط و معتبر به نظر برسند. در برخی موارد، مهاجمان نام و هویت وزارتخانه‌های مشخصی را نیز جعل کردند. همچنین، سند دیگری که از یک پلتفرم عمومی اشتراک‌گذاری بدافزار به دست آمد، یک نهاد دولتی در گرجستان را هدف قرار داده بود.
یکی از نکات قابل‌توجه در این زنجیره، بررسی وضعیت نرم‌افزار آنتی‌ویروس توسط ماکرو پیش از اجرای کد است. ماکرو پیش از اجرای کد، بررسی می‌کند که آیا کسپرسکی روی سیستم نصب و فعال است یا خیر. این اقدام احتمالاً با هدف دور زدن مکانیزم‌های شناسایی انجام می‌شود، زیرا استفاده از کسپرسکی در کشورهای این منطقه رواج زیادی دارد.
تقریباً تمام ابزارهای مستقرشده در جریان کمپین جاسوسی SilkParasite از معماری مبتنی بر پلاگین بهره می‌برند. این معماری به اپراتورها اجازه می‌دهد قابلیت‌های ابزارها را متناسب با نیاز خود گسترش دهند و تنها پیلودهایی را روی سیستم قربانی مستقر کنند که با محیط آن سازگاری بیشتری دارند.
این رویکرد علاوه بر افزایش انعطاف‌پذیری، احتمال شناسایی فعالیت‌های مهاجمان را نیز کاهش می‌دهد. در نتیجه، مهاجمان می‌توانند تنها قابلیت‌های موردنیاز خود را به کار بگیرند، بدون اینکه نیازی به استقرار مجموعه کاملی از ابزارها داشته باشند. ساختار ماژولار مزیت مهم دیگری هم دارد و به مهاجمان اجازه می‌دهد قابلیت‌های کامپوننت‌های مختلف را در صورت نیاز گسترش دهند، بدون آنکه مجبور باشند ساختار اصلی ابزارها را جایگزین کنند.
هفت ایمپلنت مورد استفاده در این عملیات با چهار زبان برنامه‌نویسی .NET، C++، Go و JavaScript توسعه یافته‌اند. بارگذاری جانبی DLL، اصلی‌ترین روش مورد استفاده برای انتقال این مجموعه ابزارهاست.
در این تکنیک، مهاجم به‌جای استفاده از یک فایل اجرایی از پیش نصب‌شده روی سیستم، نسخه‌ای از یک برنامه قانونی با امضای دیجیتال معتبر را مورد استفاده قرار می‌دهد. سپس DLL مخرب را با نامی که برنامه قانونی انتظار دارد، در کنار فایل اجرایی قرار می‌دهد. با اجرای برنامه، DLL مخرب نیز بارگذاری می‌شود و در نهایت، کد مخرب اجرا خواهد شد.
ابزارهای RAT مورد استفاده در کمپین جاسوسی SilkParasite
در جریان بررسی این کمپین، پژوهشگران پنج خانواده ابزار دسترسی از راه دور (RAT) را شناسایی کردند که پیش از این مستندسازی نشده بودند:
- DriveSilkRAT (.NET/C++): این ابزار از گوگل درایو (Google Drive) به‌عنوان زیرساخت فرماندهی و کنترل (C2) استفاده می‌کند. DriveSilkRATیک پوشه مشخص را برای دریافت دستورات بررسی کرده و وظایف دریافتی را از طریق یک سیستم پلاگین مبتنی بر .NETدر حافظه اجرا می‌کند. سپس نتایج اجرای این وظایف در همان پوشه قرار می‌گیرند. این RAT در مجموع 12 پلاگین دارد که قابلیت‌هایی مانند فهرست‌کردن پردازه‌ها، جمع‌آوری اطلاعات سیستم و شبکه، مدیریت فایل‌ها و اجرای دستورات را فراهم می‌کنند.
- CookiETagRAT (C++): این ابزار از هدرهای پاسخ HTTP شامل کوکی Cookie و ETag به‌عنوان کانال C2استفاده می‌کند و از طریق آن‌ها دستورات را دریافت و اجرا می‌کند.
- NomadRAT (C++): این ابزار یک هماهنگ‌کننده اصلی (Orchestrator) و یک کتابخانه فرستنده اختصاصی برای مدیریت ترافیک C2 دارد. پلاگین‌ها نیز تنها زمانی که موردنیاز باشند، با استفاده از شناسه‌های عددی از سرور دریافت می‌شوند.
- GoginRAT (Go): معماری GoginRAT شباهت زیادی به NomadRAT دارد و برای ارتباط با زیرساخت C2از یک فرستنده مجزا استفاده می‌کند. قابلیت‌های مربوط به فایل سیستم (File System) و شل (Shell) نیز در قالب پلاگین‌های مستقل پیاده‌سازی شده‌اند و خروجی آن‌ها از طریق یک سازوکار مشترک به اپراتور ارسال می‌شود.
- NodeEdgeRAT (JavaScript): این ابزار برخلاف نمونه‌های مبتنی بر معماری ماژولار، تمامی قابلیت‌های خود از جمله اجرای دستورات، مدیریت فایل و انتقال فایل را در یک اسکریپت واحد جای داده است.
طبق اعلام شرکت امنیت سایبری بیت‌دیفندر، حدود 65 نمونه آلوده به DriveSilkRAT شناسایی شده است که بیشتر آن‌ها در کشورهای آسیایی قرار داشته‌اند.
نشانه‌های توسعه با هوش مصنوعی و الگوهای شناسایی
برخی جزئیات فنی مشاهده‌شده در GoginRAT و NodeEdgeRAT نیز احتمال استفاده از هوش مصنوعی در فرآیند توسعه این ابزارها را تقویت می‌کنند. در کمپین جاسوسی SilkParasite، GoginRAT همراه با توابع آزمایشی Go ارائه شده و از یک کلید AES هاردکدشده با مقدار 0123456789abcdef استفاده می‌کند. NodeEdgeRAT نیز در پیکربندی خود فیلدی برای کلید رمزنگاری دارد که مقدار آن به‌صورت پیش‌فرض روی change_this_key تنظیم شده است.
شباهت معماری NomadRAT و GoginRAT نیز می‌تواند نشانه‌ای از استفاده از هوش مصنوعی در فرآیند توسعه باشد. ساختار این دو ابزار نشان می‌دهد که یک الگوی طراحی مشترک، احتمالاً با دو زبان برنامه‌نویسی متفاوت در هر دو ابزار پیاده‌سازی شده است. چنین رویکردی می‌تواند با استفاده از گردش‌کارهای توسعه مبتنی بر هوش مصنوعی (AI-Assisted Workflows) با سرعت بیشتری انجام شود.
طبق اعلام بیت‌دیفندر، بارگذاری جانبی DLL پایدارترین نشانه قابل شناسایی در سراسر این عملیات محسوب می‌شود. با این حال، نام DLL به‌تنهایی معیار قابل‌اعتمادی برای شناسایی نیست. آنچه اهمیت بیشتری دارد، شناسایی هم‌زمان چند نشانه غیرمعمول در نحوه اجرای برنامه و ارتباط آن با سرویس‌های شبکه است.
در این الگو، یک برنامه قانونی با امضای دیجیتال معتبر، کتابخانه‌ای را از مسیری غیرمعمول در کنار فایل اجرایی خود بارگذاری می‌کند. به همین دلیل، شناسایی ارتباط غیرمعمول میان یک پردازه و سرویس‌های شبکه می‌تواند نشانه قابل‌اعتمادتری نسبت به جست‌وجوی امضای یک فایل خاص باشد.
به‌طور کلی، ایمپلنت‌های پلاگین‌محوری که ردپای محدودی روی سیستم و شبکه باقی می‌گذارند و برای ارتباط از سرویس‌های ابری قانونی استفاده می‌کنند، با روش‌های شناسایی متکی بر الگوهای ترافیک شبکه به‌راحتی شناسایی نمی‌شوند. برای شناسایی مؤثر این تهدیدها، باید الگوی معمول فعالیت سیستم را در نظر گرفت تا ارتباطات غیرمعمول میان پردازه‌ها و سرویس‌های شبکه مشخص شود. در چنین شرایطی، اتکا به امضای یک آرتیفکت به‌تنهایی برای شناسایی تهدید کافی نیست.
