كشف باحثو أمن المعلومات عن برنامج خبيث جديد متطور يُدعى CoffeeLoader مصمم لتنزيل وتنفيذ حمولات ثانوية. وفقاً لشركة Zscaler ThreatLabz، يشارك هذا البرنامج الخبيث أوجه تشابه سلوكية مع برنامج تحميل ضار آخر معروف باسم SmokeLoader.
آلية عمل CoffeeLoader الخبيثة
قال بريت ستون-جروس، المدير الأول لاستخبارات التهديدات في Zscaler: “الغرض من هذا البرنامج الضار هو تنزيل وتنفيذ حمولات المرحلة الثانية مع تفادي اكتشافه بواسطة منتجات الأمان المستندة إلى نقاط النهاية”.
التقنيات المتقدمة للتهرب من الاكتشاف:
- حزمة Armoury المتخصصة التي تستخدم وحدة معالجة الرسومات (GPU)
- تزيف سجل المكالمات (Call stack spoofing)
- إرباك فترات السكون (Sleep obfuscation)
- استخدام ألياف ويندوز (Windows fibers)
التفاصيل التقنية للهجوم
ظهر CoffeeLoader لأول مرة حوالي سبتمبر 2024، ويستخدم خوارزمية توليد نطاقات (DGA) كآلية احتياطية في حالة تعذر الوصول إلى قنوات القيادة والتحكم (C2) الرئيسية.
حزمة Armoury الأساسية:
- تنفذ التعليمات البرمجية على GPU النظام لتعقيد التحليل في البيئات الافتراضية
- تحاكي الأداة الشرعية Armoury Crate المطورة من قبل ASUS
مراحل العدوى:
- برنامج الإسقاط (Dropper) يحاول تنفيذ حمولة DLL مع امتيازات مرتفعة
- محاولة تجاوز تحكم حساب المستخدم (UAC) إذا لزم الأمر
- إنشاء مهمة مجدولة للاستمرارية (تشتغل عند تسجيل الدخول أو كل 10 دقائق)
- تنفيذ مكون Stager الذي يحمل الوحدة الرئيسية
تقنيات التخفي المتقدمة
تستخدم الوحدة الرئيسية تقنيات متطورة لتفادي الاكتشاف من قبل:
- برامج مكافحة الفيروسات (AV)
- أنظمة اكتشاف الاستجابة لنقاط النهاية (EDRs)
هذه التقنيات تمكن البرنامج الخبيث من:
- تزيف سجل المكالمات لإخفاء أصل استدعاء الوظيفة
- إرباك الحمولة أثناء حالة السكون
- تجنب الاكتشاف بواسطة البرامج الأمنية
الهدف النهائي
يتصل CoffeeLoader بخادم C2 عبر HTTPS للحصول على برنامج ضار للمرحلة التالية، بما في ذلك أوامر لحقن وتنفيذ شل كود Rhadamanthys.
الصلة مع SmokeLoader
حددت Zscaler العديد من أوجه التشابه بين CoffeeLoader وSmokeLoader على مستوى الكود المصدري، مما يثير احتمال أن يكون CoffeeLoader التكرار الرئيسي التالي لـSmokeLoader، خاصة بعد الجهود التي بذلتها إنفاذ القانون العام الماضي والتي أسقطت بنيته التحتية.
حملات ضارة ذات صلة
كشفت Seqrite Labs عن حملة تصيد احتيالي تبدأ سلسلة عدوى متعددة المراحل تقوم بإسقاط برنامج خبيث لسرقة المعلومات يُدعى Snake Keylogger.
كما تم رصد نشاط آخر يستهدف مستخدمي تداول العملات المشفرة عبر منشورات Reddit التي تروج لإصدارات مخترقة من TradingView لخداع المستخدمين لتركيب برامج سرقة مثل Lumma وAtomic على أنظمة Windows وmacOS.
