عائلة البرمجيات الضارة JavaSquid الجديدة

وتشير تقنيات الاختراق الأولي هذه إلى أن الجهات الفاعلة التي تقف وراء الحملة تسعى إلى تحقيق إصابات انتهازية، وبالتالي من المحتمل أن تكون تعمل بدافع مالي، وربما تكون وسيط وصول أولي (IAB). واستنادًا إلى الموقع الجغرافي لعيّنة الإرسالات، فمن المحتمل جدًا أن يكون هدف الحملة هو أوروبا بشكل رئيسي. 

إن نطاق الثقب المائي المستخدم لخداع الضحايا وخدمة البرمجيات الضارة محمي بواسطة Cloudflare. ومع ذلك، فإن عينة البرمجيات الضارة الخاصة بهم ستتصل بنطاق مختلف يتم حلها إلى عنوان IP الذي يشير أيضًا إلى العديد من النطاقات الأخرى. كما يبدو أن العديد من النطاقات المختلفة التي تشير إلى نفس عنوان بروتوكول الإنترنت (IP) مرتبطة أيضًا بإغراء تقنية الذكاء الاصطناعي وانتحال شخصية شركات أخرى.  

ومن المثير للاهتمام أن بحثنا في OSINT أشار إلى أن عنوان بروتوكول الإنترنت C2 كان مرتبطًا سابقًا بسارقي Lumma و Poseidon. في حين أن سارق Lumma كان يعتمد على سارق مارس القديم، فإن Poseidon هي عائلة برمجيات ضارة تم اكتشافها مؤخرًا مكتوبة بلغة AppleScript، وبالتالي فهي تستهدف بيئات iOS. حقيقة أن هذه العائلة الجديدة مكتوبة بلغة جافا سكريبت قد تشير إلى أن جهة التهديد التي تقف وراء هذا النشاط قد تكون بصدد التحول إلى لغة برمجة نصية يمكن استخدامها في بيئات مختلفة. الجانب الآخر الذي يجب تسليط الضوء عليه هو حقيقة أن عنوان IP ينتمي إلى مزود خدمة إنترنت صيني (شركة تشانغ واي تكنولوجيز المحدودة) بينما المضيف يقع جغرافيًا داخل الاتحاد الروسي. 

كانت عينة البرمجيات الضارة الأولية تحمل توقيعًا رقميًا صالحًا في الوقت الذي قمنا فيه بتحليلها لأول مرة (9 نوفمبر 2024)، صادرًا عن شركة صينية "Taigu Fulong Electronic Tech Co., Ltd.". ومع ذلك، لاحظنا أثناء تحقيقنا أنه قد تم إبطاله بالفعل. 

أثناء البحث عن عينات مماثلة باستخدام محرك البحثSandbox الخاص بنا، وجدنا مجموعة من العينات من نفس العائلة باستخدام نفس الشهادة الرقمية المسروقة على الأرجح، ولكننا وجدنا أيضًا مجموعتين جديدتين من العينات. لم يكن لإحدى المجموعتين أي توقيع رقمي بينما استخدمت الأخرى شهادة رقمية مختلفة. اتبعت جميع العينات نفس الأنماط والتقنيات في التظاهر بأنها أداة مساعدة شرعية استنادًا إلى أسمائها المختلفة (ai_Generation.exe، sweethome3d.exe، Installer_capcut_pro_pro_x64.exe...). 

يتم تجميع البرمجية الضارة جافا سكريبت، باستخدام أداة pkg لتحويل كود جافا سكريبت إلى برمجية ضارة لنظام ويندوز PE. يبدو أن برمجيات JavaScript المجمّعة آخذة في الازدياد في مشهد التهديدات، كما أفاد باحثون آخرون مؤخرًا. تقوم الأداة المذكورة بتجميع حمولة جافا سكريبت في ملف Windows PE عن طريق تضمين مترجم Node JS/V8 مع خيار تجميع الشيفرة البرمجية إلى رمز بايت كود V8، وبالتالي تضمينها في ملف PE إما رمز النص العادي أو رمز بايت كود جافا سكريبت المترجم. يكون استخراج نسخة النص العادي تافهًا في معظم الحالات، على الرغم من أن Metadefender Sandbox يمكنه استخراج الشيفرة البرمجية المترجمة كملف JSC (ملف JavaScript Compiled) وتفكيكها لمزيد من التحليل لاحقًا. 

تحمل حمولة JavaScript الحمولة ذات الصلة بتشفير القاعدة 64، وتفك تشفيرها وتنفذها باستخدام دالة eval. تبدأ هذه الحمولة التي تم فك تشفيرها بتشغيل فحص سريع لحجم ذاكرة الوصول العشوائي (RAM)، وذلك على الأرجح لتجنب التنفيذ في بيئات التحليل. وفي حين أن العديد من صناديق الرمل التقليدية لن تجتاز هذا الفحص، فإن Metadefender Sandbox يقوم بإجراء تحليل أعمق لجميع شيفرة جافا سكريبت، مما يسمح بتشغيل المؤشرات ذات الصلة. 

عندما يتم اجتياز التحقق، سينفذ النموذج طلب HTTP إلى عنوان URL لحدث في تقويم google، والذي يخزن في وصفه عنوان URL ثانٍ بتنسيق base64. 

يشير عنوان URL الذي تم فك تشفيره إلى نطاق يتحكم فيه المهاجم، والذي يقدم حمولة base64 جديدة بعد الطلب المقابل. عند فك تشفير حمولة JavaScript الجديدة، يتم تنفيذها أيضًا على الفور باستخدام دالة eval. تقوم شفرة JavaScript الإضافية هذه بفك تشفير وتنفيذ حمولة إضافية مشفرة بتشفير طبقة إضافية مشفرة باستخدام تشفير AES.  

من المثير للاهتمام، يتم الحصول على مفاتيح IV و AES من رؤوس الاستجابة لآخر طلب HTTP، والتي لاحظنا أنها مختلفة في كل طلب، مما يعني أن الحمولة المقدمة والعناوين يتم إنشاؤها ديناميكيًا في كل طلب إلى C2 ليتم فك تشفيرها بمفاتيح مختلفة. علاوةً على ذلك، يبدو أن الحمولة التي تم فك تشفيرها هي نفسها دائمًا، ولكن مع تشويش مختلف، مما يكشف أن التشفير لا يحدث ديناميكيًا في كل طلب فحسب، بل يحدث التشويش أيضًا. لا يمكن لهذه التقنية أن تعيق التحليل الجنائي في حالة وقوع حادث أو بحث عن التهديدات فحسب، بل يمكن أن تتهرب أيضًا من عمليات الكشف القائمة على التوقيع لأن التعتيم يختلف في كل طلب. 

هذه الوحدة النمطية المشفرة حديثًا مشفرة بشكل كبير وتجلب العديد من الوظائف الإضافية إلى العينة عن طريق إضافة كود مكتبات إضافية، خاصة للتعامل مع عمليات الملفات ووظائف الضغط باستخدام وحدة adm. بالإضافة إلى ذلك، فإنه يُسقط ملفات مختلفة في دلائل فرعية مختلفة %appdata%\Local، باستخدام تسمية عشوائية. 

أحد الملفات التي تم إسقاطها هو برنامج PowerShell النصي المسمى run.ps1، والذي يحتوي على التعليمات البرمجية لتثبيت مثبّت NodeJS MSI لتشغيل حمولة JavaScript النهائية لاحقًا باستخدام NodeJS المثبت، بدلاً من حمولة JavaScript المجمّعة الأولية. 

عند هذه النقطة، سيؤدي التنفيذ إلى ظهور رسالة خطأ للمستخدم في شكل نافذة منبثقة، من المحتمل أن تؤدي إلى دفع الضحية إلى الاعتقاد بأن "برنامج الذكاء الاصطناعي" المتوقع (ProAI.exe) قد لا يكون قادرًا على العمل على نظامه، مما يصرف انتباهه عن إصابة JavaSquid المستمرة. ستعمل حمولة JavaScript هذه في المرحلة اللاحقة أيضًا على تنزيل ملف JavaScript أخير باستخدام نفس آلية الاتصال بتقويمات google، ثم الاتصال بنطاقهم الخاضع للتحكم باستخدام رؤوس استجابة HTTP لفك تشفير الحمولة التي تم تقديمها أخيرًا. في هذه المرة، سيتم حفظ الحمولة النهائية كملف index.js في دليل باسم عشوائي يقع داخل دليل %appdata%/Romaing. 

سيتم استبدال ملف run.ps1 السابق لاحقًا بنص برمجي PowerShell مختلف يستخدم نفس الاسم ويتم تنفيذه على الفور أيضًا. كما نرى من لقطة الشاشة، يُستخدم هذا النص البرمجي فقط للحصول على الثبات على الجهاز، بينما تمت كتابة التعليمات البرمجية الضارة الرئيسية في index.js. 

ملفات إضافية أسقطتها البرمجيات الضارة: 

• VeqVMR.zip (اسم تم إنشاؤه عشوائيًا): تم تنزيله من نفس C2. يحتوي فقط على مثبت المفكرة (npp.8.6.6.6.Installer.exe) على ما يبدو دون تأثير على السلوك العام. 
• bypass.ps1: يُستخدم لتنفيذ البرنامج النصي run.ps1 المذكور سابقًا، مع تجاوز قيود تشغيل البرنامج النصي بوويرشيل. 
• NiOIOihmgUci.msi (اسم تم إنشاؤه عشوائيًا): مُثبِّت nodejs، تم استرجاعه من موقعه الرسمي على الويب. 
• Update.lnk: عند وضعه في مجلد بدء التشغيل، سيشير إلى البرنامج النصي PowerShell run.ps1.