بکدورِ تازهٔ TinyRCT و حمله به زیرساختهای حیاتیِ جنوب شرقِ آسیا
خلاصهٔ کاملتر
به گفتهٔ Unit42، در طولِ ۲۰۲۵ یه خوشهٔ فعالیت که با نامِ CL-STA-1062 دنبالش میکنن، نهادهای دولتی و زیرساختِ حیاتیِ جنوب شرقِ آسیا — بهویژه شرکتهای دولتیِ حوزهٔ انرژی و دولت — رو هدف گرفته. اونها با اطمینانِ بالا ارزیابی میکنن که این همون خوشهایه که با نامِ UAT-7237 برای کمپینهاش علیهِ زیرساختِ میزبانیِ وب در تایوان گزارش شده بود. این گروه دستِکم از مارسِ ۲۰۲۲ فعال بوده. از نظرِ فنی، این مهاجمها به یه جعبهابزارِ ترکیبی تکیه میکنن: هم ابزارهای متنبازِ رایج مثلِ SoftEther VPN، Mimikatz و VNT، و هم بهتازگی یه بکدورِ سفارشی و تا پیش از این مستندنشده به اسمِ TinyRCT. نفوذها معمولاً با بهرهبرداری از اپلیکیشنهای وب برای مستقرکردنِ وبشلهای ASPX شروع میشن؛ این وبشلها مرکزِ اجرای فرمان، ریختنِ ابزارِ بیشتر و شناساییِ اولیهان. خودِ TinyRCT یه تروجانِ دسترسیِ راهدورِ (RAT) سبک و مبتنی بر C# برای ویندوزه. قابلیتهاش شاملِ اجرای فرمانِ دلخواهِ سیستمی، فهرستکردن و استخراجِ فایل، گرفتنِ اسکرینشات و مدیریتِ راهدورِ میزبانه. موقعِ اجرا اول یه اعتبارسنجیِ محیط انجام میده و صریح چک میکنه که آیا از مسیرِ %LOCALAPPDATA% اجرا شده یا نه؛ اگه از هر جای دیگهای — مثلِ یه سندباکس یا دسکتاپِ تحلیلگر — اجرا شه، بلافاصله خودش رو میبنده. پیش از حلقهٔ اصلیِ فرمان، بدافزار میزبان رو انگشتنگاری میکنه: نامِ کاربر و ماشین، نسخهٔ سیستمعامل، آدرسهای IPِ محلی، مسیرِ کاملِ اجرا، شناسهٔ فرایند و یه GUIDِ تصادفی بهعنوانِ شناسهٔ ربات. این داده رمزنگاری و بلافاصله با یه درخواستِ HTTP POST به سرورِ C2 فرستاده میشه تا مهاجم تصمیم بگیره ادامه بده یا آلودگی رو خاتمه بده. به گفتهٔ محققها، TinyRCT برای ارتباط از HTTPِ استاندارد استفاده میکنه ولی همهٔ دادهها رو با AES-128 در حالتِ CBC رمزنگاری میکنه؛ کلیدِ رمزنگاری و یه IVِ صفر مستقیم داخلِ باینری هاردکد شدن. بدافزار روی یه مدلِ بیکنینگ کار میکنه، هر ۱۰ ثانیه به C2 سر میزنه، دستورها رو با GET میگیره و دادهٔ استخراجشده رو با POST میفرسته. مجموعهٔ فرمانهاش هم شاملِ اجرای شل، بهروزرسانیِ بازهٔ خواب، فهرستِ فایل، خواندنِ فایلِ متنی، دانلود، استخراجِ فایل و اسکرینشات و خودتخریبیه. زنجیرهٔ آلودگی از یه آرشیوِ مخرب به اسمِ chrome_setup.zip شروع میشه که سه فایل داره: یه فایلِ اجراییِ سالمِ امضاشده، یه فایلِ پیکربندی و یه DLLِ مخرب. این ترکیب برای انجامِ AppDomainManager Injection به کار میره؛ تکنیکی که از رابطهٔ اعتمادِ بینِ یه اپلیکیشنِ .NET و فایلِ پیکربندیش سوءاستفاده میکنه. وقتی کاربر فایلِ اجرایی رو اجرا میکنه، رانتایمِ .NET فایلِ پیکربندیِ کنارش رو میخونه و همین یه DLLِ مخرب رو مجبور به بارگذاری میکنه تا کدِ مخرب فوری و پنهانی داخلِ یه فرایندِ مورداعتماد اجرا شه. این لودر هم یه چکِ محیطی داره و تأیید میکنه که از پوشهٔ Downloads اجرا شده؛ اگه نه، خودش رو میبنده. اگه چک رد شه، به سرورِ استیجینگ وصل میشه و پیلودِ ثانویه رو بهشکلِ PerfWatson2.exe توی %LOCALAPPDATA% ذخیره میکنه تا خودش رو جای یه مؤلفهٔ سالمِ Visual Studio جا بزنه. بعد با یه تسکِ زمانبندیشده که با بالاترین سطحِ دسترسی و در هر بار ورودِ کاربر اجرا میشه، ماندگاری میسازه. سازوکارِ خودتخریبی هم تسکِ زمانبندیشده و خودِ فایلِ اجرایی رو پاک میکنه تا ردِ فارنزیک نمونه. نکات کلیدی:
- خوشهٔ چینیزبانِ CL-STA-1062 دولت و زیرساختِ انرژیِ جنوب شرقِ آسیا رو هدف گرفته
- بکدورِ سفارشیِ TinyRCT یه RATِ سبکِ .NET با اجرای فرمان، سرقتِ فایل، اسکرینشات و خودتخریبیه
- ارتباطِ C2 روی HTTP ولی رمزنگاریشده با AES-128-CBC و کلیدِ هاردکده
- زنجیرهٔ آلودگی از AppDomainManager Injection و جازدنِ فایلها بهجای مؤلفههای سالم استفاده میکنه
- بدافزار با چکِ مسیرِ اجرا سعی میکنه سندباکس و میزِ تحلیلگر رو تشخیص بده
