تیم تحقیقاتی GReAT کسپرسکی دو بکدر جدید به نام‌های OctLurk و SilkLurk را شناسایی کرده که در یک کمپین جاسوسی هماهنگ علیه نهادهای دولتی آسیای میانه مورد استفاده قرار گرفته‌اند. بر اساس ارزیابی کسپرسکی، این کمپین به هیچ گروه دولتی شناخته‌شده‌ای نسبت داده نشده و فقط با اطمینان متوسط به گویش‌وری چینی مرتبط شده است.
معماری فنی OctLurk و SilkLurk
هر دو بدافزار از روش رمزنگاری دو-XOR با کلید مختص سخت‌افزار قربانی استفاده می‌کنند: OctLurk از شماره سریال دیسک و SilkLurk از نام رایانه برای رمزگشایی استفاده می‌کنند — یعنی پیلود فقط روی همان دستگاه قربانی که برایش ساخته شده، قابل رمزگشایی است — روشی که تحلیل خودکار را دشوار می‌کند. هر دو بدافزار بیشتر اوقات درون حافظه اجرا می‌شوند و ردپای بسیار کمی روی دیسک بر جا می‌گذارند که شناسایی خودکار را دشوار می‌کند. ابزار کمکی به نام LurkProxy نیز به‌عنوان پروکسی SOCKS5 برای انتقال ترافیک مورد استفاده قرار می‌گیرد.
روش نفوذ و حرکت جانبی
مهاجمان ابتدا از طریق اعتبارنامه‌های مدیریتی دست‌یافته به سیستم نفوذ کرده و یک وظیفه زمانبندی‌شده (Scheduled Task) جدید ایجاد می‌کنند. اسکریپت‌های بٰچی که اجرا می‌شوند، سرویسی را راه‌اندازی می‌کنند که یک کتابخانه (DLL) مخرب را از طریق یک برنامه اجرایی قانونی بارگذاری می‌کند (تکنیک DLL Side-loading). پس از نفوذ، مهاجمان شناسایی سیستم را با PowerShell و کویری‌های WMI انجام می‌دهند، رمزها را با ابزار Impacket secretsdump از کنترلرهای دامنه استخراج می‌کنند و با ابزار FSCAN شبکه را اسکن می‌کنند تا حرکت جانبی انجام دهند. در نهایت، اطلاعات با ابزارهای WinRAR/7-Zip فشرده‌سازی و از طریق اشتراک‌گذاری‌های شبکه منتقل می‌شوند.
نشانه‌های هشدار و IOCها
- ایجاد وظیفه زمانبندی‌شده مشکوک: وظایفی با نام‌های فریبنده مانند GoogleUpDate یا AnyDesk که واقعاً مرتبط به آن‌ها نیستند.
- DLL Side-loading: بارگذاری کتابخانه‌های مخرب توسط برنامه‌های قانونی.
- ارتباط با دامنه‌های مشکوک: مانند dns.multitoconference.com و tj.tajikistandip.com.
- فعالیت Impacket/FSCAN: استخراج رمز از کنترلر دامنه و اسکن شبکه.
چرا این تهدید برای سازمان‌های ایرانی مهم است؟
این کمپین دقیقاً نهادهای دولتی و تحقیقاتی در منطقه آسیای میانه را هدف قرار داده و روشی مشابه را می‌تواند علیه هر نهاد دولتی یا سازمانی به‌کار گرفته شود. تکنیک مورداستفاده — اجرای وظیفه زمانبندی‌شده مشکوک و DLL Side-loading — برای بسیاری از سازمان‌ها قابل شناسایی نیست و این اهمیت نگهداری را دوچندان می‌کند.
توصیه‌های عملی برای سازمان‌ها
- پایش وظایف زمانبندی‌شده: هرگونه وظیفه جدید یا غیرمنتظره را بررسی کنید.
- تأیید امضای فایل: بررسی امضای دیجیتال فایل‌ها به‌جای اتکا به نام آن‌ها (جلوگیری از DLL Side-loading).
- مدیریت امن رمزها: محدود کردن دسترسی به ابزارهایی مانند Impacket.
- راهکار EDR با تشخیص تزریق بازتابی: پوشش‌هایی که قادر به شناسایی الگوهای تزریق بازتابی (Reflective Injection) هستند.
- مسدودسازی شبکه: جلوگیری از حرکت جانبی آزاد در زیرساخت.
جمع‌بندی
OctLurk و SilkLurk نمونه‌ای از جاسوسی سایبری دقیق و کم‌ردپای هستند که با ترکیب رمزنگاری مختص سخت‌افزار و DLL Side-loading، شناسایی را بسیار دشوار می‌کنند. دفاع مؤثر نیازمند پایش فراتر از امضای فایل و تمرکز بر رفتار غیرعادی فرآیندهاست. جزئیات کامل فنی این گزارش در مقاله اصلی کسپرسکی روی Securelist در دسترس است.
مشاوره امنیتی رایگان با کارشناسان فدک رایان
اگر سازمان شما نگران تکنیک‌های پیچیده‌ای مانند DLL Side-loading است و می‌خواهید مطمئن شوید رفتار غیرعادی در فرآیندها و کتابخانه‌ها قابل شناسایی است، کارشناسان فدک رایان با راهکارهای EDR و XDR کسپرسکی آماده پاسخگویی به سؤالات شما هستند. برای دریافت مشاوره تخصصی یا بررسی وضعیت امنیتی سازمان، همین امروز از طریق صفحه تماس با ما با ما در ارتباط باشید؛ کارشناسان ما در اسرع وقت پاسخگوی سؤالات شما خواهند بود.