در موج جدیدی از حملات باجافزاری که در ژوئیه ۲۰۲۵ شناسایی شده، مهاجمان از فایلهای HTML اجرایی با پسوند .HTA استفاده میکنند تا بهصورت مخفیانه باجافزار Epsilon Red را روی سیستم قربانی نصب کنند.
🎯 نحوه فریب کاربران
حمله با یک صفحه تأیید هویت جعلی تحت عنوان “ClickFix” آغاز میشود که ظاهری معتبر و مشابه سرویسهای محبوب مانند Discord، Twitch، Kick و OnlyFans دارد.
کاربران برای «اثبات هویت» خود باید روی دکمهای کلیک کنند که آنها را به صفحهای دیگر هدایت میکند. در این صفحه، ActiveX Control – فناوری قدیمی اما هنوز فعال در ویندوز – استفاده میشود تا کدهای دلخواه از طریق مرورگر Internet Explorer اجرا شوند.
🔐 نتایج حمله
پس از اجرای موفق:
باجافزار Epsilon Red شروع به رمزگذاری فایلها میکند
از ویژگیهای باقیمانده از ActiveX و Windows Script Host (WSH) استفاده میکند تا بدون شناسایی توسط آنتیویروسها یا فیلترهای SmartScreen اجرا شود
دسترسی کامل در سطح کاربر فعال، ایجاد persistence از طریق
schtasks، و آغاز کشف شبکه (network discovery) انجام میشودیادداشت باجگیری شباهتهایی به فرمت REvil دارد اما با تفاوتهای جزئی دستوری
🌐 زیرساختهای مرتبط
تحقیقات شرکت CloudSEK دامنهها و IPهای مرتبط با این کمپین را شناسایی کرده:
دامنهها:
twtich[.]cc,capchabot[.]ccIPها:
155.94.155.227:2269213.209.150.188:8112
این آدرسها بهعنوان زیرساختهای متعلق به خوشهای از مهاجمان سایبری در سطح جهانی شناسایی شدهاند.
🛡️ توصیههای امنیتی فوری
غیرفعالسازی ActiveX و Windows Script Host
استفاده از مرورگرهای مدرن و محدودسازی اجرای اسکریپتهای غیراستاندارد
بلکلیست کردن دامنهها و IPهای شناساییشده
تقویت سیاستهای امنیت شبکه و اجرای تمرینهای ضد فیشینگ برای کارکنان
یک نظر