TamperedChef: بدافزار پنهان در نرم‌افزارهای بهره‌وری
هوش مصنوعیخلاصهٔ کامل‌تر
تیم Unit 42 گزارشی از سه خوشه فعال بدافزار منتشر کرده که زیر نام کلی TamperedChef (با نام دیگه EvilAI) دنبال می‌شن. این بدافزارها خودشون رو در قالب نرم‌افزارهای بهره‌وری مثل ویرایشگر PDF، تقویم، ابزار فشرده‌سازی و مبدل فایل جا می‌زنن و از طریق تبلیغات مخرب (malvertising) توزیع می‌شن. تفاوت اصلی‌شون با آدوِر معمولی اینه که ماه‌ها کاملاً خاموش می‌مونن و بعد از طریق یک کانال C2 (ارتباط با سرور فرمان‌دهی) اقدام به سرقت اطلاعات، استقرار RAT یا ایجاد پراکسی مسکونی می‌کنن.
محققان سه خوشه متمایز شناسایی کردن: CL-CRI-1089، CL-UNK-1090 و CL-UNK-1110. خوشه اول از سال ۲۰۲۳ فعاله و کمپین‌هایی مثل Calendaromatic، DocuFlex و AppSuite PDF رو شامل میشه. خوشه دوم ویژگی منحصربه‌فردی داره: اپراتورهاش هم آژانس تبلیغاتی دارن هم بدافزار می‌سازن — یعنی زنجیره توزیع رو کاملاً خودشون کنترل می‌کنن. خوشه سوم که بیشتر با نام TamperedChef شناخته میشه، کمپین‌هایی مثل JustAskJacky و RocketPDFPro رو دربرمی‌گیره.
یکی از روش‌های کلیدی ردیابی، بررسی گواهی‌نامه‌های امضای کد بود. تقریباً همه نمونه‌های مرحله اول با گواهی‌نامه معتبر امضا شدن تا اعتبار بیشتری داشته باشن. اما بی‌دقتی اپراتورها در مدیریت گواهی‌نامه‌ها باعث شد محققان بتونن زنجیره‌های مرتبط رو ردیابی کنن. برای مثال، کمپین Calendaromatic با CROWN SKY LLC امضا شده بود، اما نمونه‌های دیگه‌ای از همون کدبیس با MARKET FUSION INNOVATIONS LLC امضا شده بودن — که نشون‌دهنده یک اپراتور با چند گواهی‌نامه مختلفه.
روش دوم ردیابی، شفافیت تبلیغاتی بود. پلتفرم‌های بزرگ موظفن اطلاعات آگهی‌دهنده‌ها رو عمومی کنن. محققان از این داده‌ها استفاده کردن و فهمیدن که شرکتی به نام CANDY TECH LTD بیش از ۲۰٬۰۰۰ آگهی منحصربه‌فرد برای کمپین‌های TamperedChef توزیع کرده. این شرکت خودش هم چندین نمونه بدافزار رو امضا کرده، از جمله ZipMakerPro و GifsMakerPro.
روش سوم، بررسی ساختارهای شرکتی از طریق OSINT بود. در اسرائیل، سوابق عمومی ثبت شرکت‌ها نشون داد که CANDY TECH LTD، TAU CENTAURI LTD، RED ROOT LTD و چند شرکت دیگه همگی تحت مالکیت مشترک یک فرد و یک هولدینگ به نام Fairark Systems Ltd. (همون FireArc، یک آژانس تبلیغاتی اسرائیلی) هستن. علاوه بر این، یک فایل PDB که به اشتباه داخل بدافزار RapiDoc باقی مونده بود، مسیر D:!Work\Clients\Projects\RapiDoc رو نشون می‌داد و سرنخ مستقیمی از محیط توسعه اپراتور فاش کرد.
در مجموع، این بدافزارها با ساخت سایت‌های حرفه‌ای و قانونی‌نما، ارائه عملکرد واقعی به کاربر، امضای کد معتبر و دوره‌های طولانی خاموشی، از رادار اکثر ابزارهای امنیتی فرار می‌کنن. محققان تاکنون بیش از ۱۲٬۰۰۰ نمونه آلودگی در پایگاه مشتریان پالو آلتو ثبت کردن و این تهدید رو در سطح جهانی و بدون تمرکز جغرافیایی خاص ارزیابی می‌کنن.
نکات کلیدی:
- TamperedChef بدافزاری‌ه که خودش رو در قالب ابزار PDF، تقویم و فشرده‌سازی جا می‌زنه
- سه خوشه مجزا (CL-CRI-1089، CL-UNK-1090، CL-UNK-1110) با اپراتورهای احتمالاً متفاوت شناسایی شده
- بیش از ۴۰۰۰ نمونه و ۸۱ سازمان امضاکننده کد ردیابی شدن
- روش‌های ردیابی: گواهی‌نامه امضای کد، شفافیت تبلیغاتی و ساختارهای شرکتی
- بدافزار هفته‌ها تا ماه‌ها خاموش می‌مونه قبل از اینکه پی‌لود مخرب دریافت کنه
- خوشه CL-UNK-1090 هم آژانس تبلیغاتی داره هم بدافزار می‌سازه — یعنی زنجیره توزیع رو کاملاً کنترل می‌کنه
