گزارش تهدیدات سایبری ترلیکس؛ بررسی ۵ کارزار مهم
شرکت ترلیکس در جدیدترین گزارش Trellix SecondSight Threat Hunting به بررسی پنج کارزار مهم سایبری در نیمه نخست سال ۲۰۲۶ پرداخته است. این گزارش نشان می‌دهد مهاجمان چگونه از آسیب‌پذیری‌های نرم‌افزاری، حساب‌های معتبر، سرویس‌های ابری و بسته‌های متن‌باز برای نفوذ به سازمان‌ها استفاده می‌کنند.
یافته‌های گزارش یک پیام روشن دارند: ابزارهای امنیتی سنتی به‌تنهایی نمی‌توانند تمام مراحل حمله را شناسایی کنند. تیم‌های امنیتی باید رفتار فرایندها، ارتباطات شبکه، هویت کاربران و نشانه‌های ضعیف حمله را کنار هم تحلیل کنند.
1- حمله APT28؛ سوءاستفاده از آسیب‌پذیری Microsoft Office
مهاجمان چگونه حمله کردند؟
گزارش ترلیکس یک کارزار چندمرحله‌ای منتسب به APT28 را شرح می‌دهد. این گروه با نام Fancy Bear نیز شناخته می‌شود.
مهاجمان از ۲۸ تا ۳۰ ژانویه ۲۰۲۶ سازمان‌های دولتی، دفاعی و دیپلماتیک اروپای شرقی را هدف گرفتند. سامانه‌های ترلیکس دست‌کم ۲۹ ایمیل مخرب را در میان اهدافی از ۹ کشور شناسایی و مسدود کردند.
مهاجمان از آسیب‌پذیری CVE-2026-21509 در Microsoft Office بهره بردند. آن‌ها فایل‌هایی با پسوند DOC ارسال می‌کردند، اما ساختار واقعی فایل‌ها RTF بود. این ترفند می‌توانست بررسی‌های امنیتی مبتنی بر نوع فایل را دور بزند.
محتوای ایمیل‌ها نیز با موقعیت شغلی قربانیان ارتباط داشت. هشدارهای مربوط به قاچاق تسلیحات، دعوت‌نامه‌های آموزشی نظامی و مکاتبات دیپلماتیک درباره جنگ اوکراین از جمله طعمه‌های مهاجمان بودند.
ابزارهای مخرب APT28
پس از باز شدن فایل، حمله از طریق WebDAV ادامه پیدا می‌کرد. سپس یک فایل میان‌بر مخرب، مرحله بعدی آلودگی را اجرا می‌کرد.
مهاجمان از دو زنجیره اصلی استفاده کردند:
-
BEARDSHELL و Covenant Grunt: این زنجیره با دست‌کاری COM و اجرای کد در حافظه، ماندگاری ایجاد می‌کرد. همچنین از سرویس ابری filen.io برای ارتباط با زیرساخت فرماندهی و کنترل استفاده می‌کرد.
-
NotDoor: این بدافزار فایل پروژه VBA در Outlook را دست‌کاری می‌کرد. سپس ایمیل‌های قربانی را به نشانی‌های تحت کنترل مهاجم می‌فرستاد و تلاش می‌کرد آثار این فعالیت در پوشه Sent Items باقی نماند.
مهاجمان با این روش‌ها به دنبال جمع‌آوری اطلاعات نظامی، مکاتبات دیپلماتیک و اطلاعات زیرساخت‌های حمل‌ونقل بودند.
راهکارهای دفاعی در برابر APT28
سازمان‌ها باید ساختار واقعی پیوست‌های ایمیل را بررسی کنند و به پسوند فایل اکتفا نکنند. همچنین نصب وصله امنیتی مرتبط با CVE-2026-21509 اهمیت زیادی دارد.
تیم‌های امنیتی باید اجرای غیرعادی فایل‌های میان‌بر، دست‌کاری تنظیمات COM و ارسال انبوه ایمیل از Outlook را زیر نظر بگیرند. تحلیل ترافیک خروجی به سرویس‌های ابری نیز می‌تواند به شناسایی فعالیت مشکوک کمک کند.
۲- حمله Bitter APT؛ فیشینگ با طعمه جام جهانی فوتبال
ایمیل دیپلماتیک چگونه به ابزار نفوذ تبدیل شد؟
در ژوئن ۲۰۲۶، یک کارزار منتسب به Bitter APT یک سازمان دیپلماتیک اروپایی در آسیا را هدف گرفت.
مهاجمان به یک صندوق ایمیل دیپلماتیک معتبر دسترسی پیدا کردند و از آن برای ارسال پیام مخرب استفاده کردند. ایمیل ظاهراً در ادامه یک مکاتبه واقعی درباره رویدادی با موضوع جام جهانی فوتبال بود. همین موضوع می‌توانست اعتماد گیرنده را افزایش دهد.
پیوست پیام یک فایل ZIP بود که تصویر دیسک VHDX را در خود داشت. داخل این تصویر، یک فایل میان‌بر LNK خود را شبیه سند PDF نشان می‌داد. با اجرای فایل، مجموعه‌ای از فرمان‌های PowerShell آغاز می‌شد.
استقرار BDarkRAT و حفظ دسترسی
زنجیره حمله یک وظیفه زمان‌بندی‌شده ایجاد می‌کرد و با یک سرور راه دور ارتباط می‌گرفت. سپس اطلاعات سیستم را جمع‌آوری می‌کرد و نصب‌کننده MSI مرحله بعدی را دریافت می‌کرد.
این نصب‌کننده تروجان دسترسی از راه دور BDarkRAT را مستقر می‌کرد. مهاجم پس از استقرار موفق بدافزار می‌توانست سیستم را بررسی کند، فایل‌ها را سرقت کند و فرمان‌های راه دور اجرا کند.
Trellix همچنین استفاده دوباره از زیرساخت حمله را شناسایی کرد. دامنه مرتبط با BDarkRAT در کارزاری علیه همان هدف در اکتبر ۲۰۲۵ نیز دیده شده بود. این هم‌پوشانی به تحلیلگران کمک کرد ارتباط دو عملیات را تشخیص دهند.
راهکارهای دفاعی در برابر Bitter APT
سازمان‌ها باید فایل‌های ZIP حاوی تصاویر دیسک VHD، VHDX یا ISO را با دقت بررسی کنند. اجرای PowerShell از سوی فایل‌های LNK نیز به بررسی بیشتری نیاز دارد، به‌ویژه زمانی که فایل خود را شبیه یک سند معمولی معرفی می‌کند.
پایش وظایف زمان‌بندی‌شده جدید، اجرای پنهانی پوسته فرمان و ارتباط با دامنه‌های مشکوک می‌تواند به شناسایی این حمله کمک کند. تیم‌های امنیتی همچنین باید سابقه دامنه‌ها و زیرساخت‌های دیده‌شده در حملات قبلی را بررسی کنند.
۳- DarkSword؛ هدف‌گیری آیفون‌های مقام‌های همسو با ناتو
فیشینگ هدفمند علیه کاربران iOS
گزارش Trellix از کارزاری علیه مقام‌های دولتی و دفاعی در سازمان‌های همسو با ناتو خبر می‌دهد. در ۲۶ مارس ۲۰۲۶، مهاجمان چهار ایمیل فیشینگ هدفمند ارسال کردند.
پیام‌ها فرستنده‌ای آشنا را جعل می‌کردند و گیرندگان را با نام کامل به جلسه‌ای محرمانه دعوت می‌کردند. لینک‌های داخل ایمیل به صفحاتی می‌رسیدند که محتوای خود را بر اساس دستگاه و موقعیت جغرافیایی بازدیدکننده تغییر می‌دادند.
صفحات برای برخی ابزارهای امنیتی محتوایی بی‌خطر نشان می‌دادند. اما اگر صفحه یک آیفون واقعی را در منطقه هدف تشخیص می‌داد، امکان ارائه زنجیره بهره‌برداری DarkSword وجود داشت.
قابلیت‌های زنجیره DarkSword
طبق گزارش، DarkSword نسخه‌های iOS 18.4 تا iOS 18.7 را هدف می‌گرفت و از شش آسیب‌پذیری در مراحل مختلف حمله استفاده می‌کرد.
این زنجیره مؤلفه‌هایی مانند WebKit و JavaScriptCore را هدف می‌گرفت. سپس تلاش می‌کرد کد اجرا کند، از محدودیت‌های امنیتی عبور کند و سطح دسترسی خود را افزایش دهد.
در صورت موفقیت حمله، کد مخرب می‌توانست اطلاعاتی مانند پیام‌ها، اعتبارنامه‌ها، مخاطبان، موقعیت مکانی و فایل‌ها را جمع‌آوری کند.
راهکارهای دفاعی در برابر DarkSword
سازمان‌ها باید به‌روزرسانی آیفون‌ها و دیگر دستگاه‌های همراه را در اولویت قرار دهند. کاربران نیز باید لینک‌های دریافتی را حتی در مکاتبات ظاهراً معتبر بررسی کنند.
تیم‌های امنیتی می‌توانند از اطلاعات مربوط به فرستنده، دامنه، زمان دریافت پیام و سابقه فعالیت کاربر برای بررسی فیشینگ هدفمند استفاده کنند. پاک بودن نتیجه بررسی یک لینک در زمان دریافت ایمیل نیز به‌تنهایی امنیت آن را تضمین نمی‌کند.
۴- JSCeal؛ پنهان‌سازی بدافزار در محیط Node.js
زنجیره آلودگی چگونه کار می‌کند؟
کارزار JSCeal سازمان‌هایی در جنوب شرق آسیا را هدف قرار داد. حمله با اجرای یک اسکریپت رمزگذاری‌شده PowerShell آغاز می‌شد. این اسکریپت اجزای مورد نیاز، از جمله محیط اجرای Node.js و یک اسکریپت رمزگذاری‌شده را از زیرساخت مهاجم دریافت می‌کرد.
مهاجمان سپس از چند لایه رمزگذاری و فشرده‌سازی استفاده می‌کردند تا تحلیل فایل‌ها را دشوارتر کنند. زنجیره اجرا، محتوای مخرب را رمزگشایی می‌کرد و در محیط Node.js به اجرا درمی‌آورد.
استفاده از Node.js اهمیت زیادی دارد؛ زیرا بسیاری از توسعه‌دهندگان و سازمان‌ها از این محیط برای اجرای برنامه‌های قانونی استفاده می‌کنند. به همین دلیل، تشخیص فعالیت مخرب به بررسی رفتار فرایندها و مسیر اجرای آن‌ها نیاز دارد.
قابلیت‌های احتمالی JSCeal
گزارش این فعالیت را با یک بدافزار سرقت اطلاعات مرتبط می‌داند. JSCeal می‌تواند اطلاعات حساس مرورگر، از جمله گذرواژه‌ها، کوکی‌های نشست و اطلاعات کیف پول‌های دیجیتال را هدف بگیرد.
گزارش همچنین قابلیت‌هایی مانند ثبت صفحه و ثبت ورودی صفحه‌کلید را مطرح می‌کند. بدافزار برای حفظ ماندگاری می‌تواند یک سرویس ویندوز ایجاد کند و از ارتباط HTTPS برای دریافت محموله و ارسال اطلاعات استفاده کند.
راهکارهای دفاعی در برابر JSCeal
تیم‌های امنیتی باید اجرای PowerShell رمزگذاری‌شده و ایجاد فرایندهای Node.js از مسیرهای غیرمعمول را بررسی کنند. ارتباط شبکه‌ای مشکوک پس از اجرای یک اسکریپت نیز می‌تواند نشانه مهمی باشد.
همبسته‌سازی رویدادها به تحلیلگران کمک می‌کند زنجیره‌ای مانند PowerShell، سپس Node.js و در ادامه اجرای اسکریپت را شناسایی کنند. ثبت رویدادهای اجرای اسکریپت، محدودسازی PowerShell و استفاده از فهرست مجاز برنامه‌ها نیز می‌تواند سطح خطر را کاهش دهد.
۵- حمله زنجیره تأمین Axios در مخزن npm
انتشار نسخه‌های مخرب Axios
Axios یکی از کتابخانه‌های پرکاربرد جاوااسکریپت برای ارسال درخواست‌های HTTP است. گزارش Trellix از انتشار نسخه‌های مخرب axios@1.14.1 و axios@0.30.4 در اواخر مارس ۲۰۲۶ خبر می‌دهد.
طبق گزارش، مهاجمان با به‌خطر انداختن حساب یکی از نگه‌دارندگان پروژه، نسخه‌های آلوده را منتشر کردند. این نسخه‌ها وابستگی مخربی به نام plain-crypto-js داشتند که فایل بارگذار setup.js را در خود جای داده بود.
پس از نصب، بارگذار می‌توانست محموله‌ای متناسب با سیستم‌عامل قربانی دریافت کند. گزارش به محموله‌هایی برای Windows، macOS و Linux اشاره می‌کند.
قابلیت‌های بدافزار و دامنه تأثیر
محموله‌ها می‌توانستند اطلاعات سیستم را جمع‌آوری کنند، فرمان‌های راه دور اجرا کنند و فهرست فایل‌ها و فرایندها را در اختیار مهاجم قرار دهند. ارتباط با سرور فرماندهی و کنترل نیز از طریق درخواست‌های HTTP انجام می‌شد.
مهاجمان برای کاهش احتمال کشف، از نام‌هایی شبیه مؤلفه‌های قانونی سیستم‌عامل استفاده می‌کردند. آن‌ها همچنین تلاش می‌کردند فایل‌های مربوط به نصب مخرب را پس از اجرا حذف کنند.
ترلیکس اجرای این فعالیت را در ۳ درصد از محیط‌های در معرض خطر مشاهده کرد؛ پیش از آنکه بسته‌های مخرب از دسترس خارج شوند. این آمار به محیط‌های بررسی‌شده در گزارش مربوط است و نباید آن را به همه کاربران Axios تعمیم داد.
راهکارهای دفاعی در برابر حمله زنجیره تأمین
توسعه‌دهندگان باید نسخه وابستگی‌ها را دقیق تثبیت کنند و تغییرات فایل‌های قفل وابستگی را بررسی کنند. اجرای خودکار نسخه‌های جدید بدون بررسی کافی می‌تواند کد مخرب را وارد محیط توسعه یا تولید کند.
سازمان‌ها همچنین باید فهرست وابستگی‌های نرم‌افزاری خود را نگه دارند و لاگ‌های فرایند ساخت را بررسی کنند. اگر اجرای نسخه آلوده را تأیید کردند، باید سیستم‌های درگیر را ایزوله کنند و اعتبارنامه‌ها و توکن‌هایی را که در معرض دسترسی بدافزار قرار داشته‌اند، از یک محیط امن تغییر دهند.
شکار تهدید؛ رویکرد ترلیکس برای شناسایی حملات پنهان
از اطلاعات تهدید تا بررسی محیط واقعی
روش شکار تهدید در گزارش SecondSight بر بررسی هم‌زمان چند نشانه تکیه دارد. تحلیلگران فقط به هشدارهای امنیتی اکتفا نمی‌کنند؛ آن‌ها اطلاعات مربوط به کارزارها، اهداف مهاجمان و روش‌های نفوذ را با داده‌های محیط سازمان تطبیق می‌دهند.
این رویکرد چهار مرحله اصلی دارد:
۱- اعتبارسنجی اطلاعات تهدید: تحلیلگران اعتبار و ارتباط اطلاعات منتشرشده را بررسی می‌کنند.
۲- تحلیل رفتار مهاجم: تیم امنیتی رفتار مشاهده‌شده را با روش‌های شناخته‌شده حمله مقایسه می‌کند.
۳- ارزیابی میزان مواجهه: تحلیلگران مشخص می‌کنند کدام سیستم‌ها، نرم‌افزارها یا حساب‌ها ممکن است در معرض خطر باشند.
۴- اقدام بر اساس شواهد: تیم امنیتی درباره بررسی عمیق‌تر، مهار آلودگی و اطلاع‌رسانی به افراد یا سازمان‌های در معرض خطر تصمیم می‌گیرد.
نقش هوش مصنوعی در شکار تهدید
هوش مصنوعی و خودکارسازی به تیم‌های امنیتی کمک می‌کنند حجم زیادی از داده‌ها را سریع‌تر پردازش کنند. این فناوری‌ها می‌توانند ارتباط میان رویدادها را پیدا کنند و اطلاعات تهدید را به قواعد جست‌وجو تبدیل کنند.
بااین‌حال، هوش مصنوعی جای تحلیل کارشناسان را به‌طور کامل نمی‌گیرد. تحلیلگران باید شواهد را در زمینه واقعی بررسی کنند و میان فعالیت قانونی و رفتار مشکوک تفاوت بگذارند.
گزارش ترلیکس بر اهمیت ترکیب اطلاعات تهدید، فناوری و تجربه انسانی تأکید می‌کند. این ترکیب می‌تواند زمان شناسایی حمله و واکنش به آن را کاهش دهد.
توصیه‌های کلیدی برای تقویت امنیت سایبری
۱- وصله‌های امنیتی را به‌موقع نصب کنید
آسیب‌پذیری‌های شناخته‌شده در سیستم‌عامل‌ها و نرم‌افزارهای پرکاربرد می‌توانند مسیر ورود مهاجمان باشند. سازمان‌ها باید اصلاحیه‌ها را بر اساس میزان خطر و سطح مواجهه اولویت‌بندی کنند.
۲- پیوست‌های ایمیل را دقیق بررسی کنید
پسوند فایل به‌تنهایی نوع واقعی آن را مشخص نمی‌کند. ابزارهای امنیتی باید ساختار داخلی فایل‌ها را نیز بررسی کنند و فایل‌های مشکوک را در محیط ایزوله تحلیل کنند.
۳- رفتار فرایندها را زیر نظر بگیرید
اجرای PowerShell، Node.js یا ابزارهای معتبر از مسیرهای غیرمعمول می‌تواند نشانه سوءاستفاده باشد. تیم امنیتی باید ارتباط میان فرایندها، فایل‌های ایجادشده و ارتباطات شبکه را بررسی کند.
۴- زنجیره تأمین نرم‌افزار را ایمن کنید
نسخه وابستگی‌ها را تثبیت کنید، تغییرات بسته‌ها را بررسی کنید و از نصب خودکار نسخه‌های تأییدنشده جلوگیری کنید. نگهداری فهرست وابستگی‌ها نیز به شناسایی سریع بسته‌های آسیب‌دیده کمک می‌کند.
۵- حساب‌های معتبر را محافظت کنید
مهاجمان می‌توانند از حساب‌های به‌خطر‌افتاده برای عبور از کنترل‌های امنیتی استفاده کنند. احراز هویت چندمرحله‌ای، پایش ورودهای غیرمعمول و بررسی دسترسی‌های حساس، خطر این حملات را کاهش می‌دهد.
۶- ارتباطات خروجی را تحلیل کنید
استفاده از یک سرویس ابری یا ابزار قانونی به‌تنهایی نشانه حمله نیست. بااین‌حال، ارتباطات غیرمعمول، تکرارشونده یا مرتبط با فرایندهای مشکوک باید بررسی شوند.
۷- رویدادها را با یکدیگر همبسته کنید
بررسی جداگانه هر هشدار ممکن است زنجیره حمله را پنهان نگه دارد. تیم‌های امنیتی باید داده‌های ایمیل، فایل‌ها، فرایندها، حساب‌های کاربری و ترافیک شبکه را کنار هم قرار دهند.
جمع‌بندی
گزارش SecondSight شرکت Trellix نشان می‌دهد مهاجمان در سال ۲۰۲۶ همچنان از آسیب‌پذیری‌های نرم‌افزاری، حساب‌های معتبر، سرویس‌های ابری و بسته‌های پرکاربرد برای نفوذ استفاده می‌کنند.
کارزار APT28 اهمیت بررسی ساختار واقعی فایل‌ها و ترافیک ابری را نشان می‌دهد. حمله Bitter APT خطر سوءاستفاده از مکاتبات معتبر را برجسته می‌کند. DarkSword یادآور می‌شود که دستگاه‌های همراه نیز هدف حملات پیچیده قرار می‌گیرند. JSCeal اهمیت پایش زنجیره اجرای فرایندها را نشان می‌دهد و حمله Axios ضرورت کنترل وابستگی‌های نرم‌افزاری را برجسته می‌کند.
پیام اصلی گزارش روشن است: دفاع مؤثر فقط به تولید هشدار بیشتر وابسته نیست. سازمان‌ها باید اطلاعات تهدید را با رفتار واقعی سیستم‌ها تطبیق دهند، نشانه‌های پراکنده را به هم مرتبط کنند و پیش از گسترش حمله، اقدام مناسب انجام دهند.
منبع: گزارش SecondSight Threat Hunting Report در وب‌سایت رسمی Trellix