سواستفاده مهاجمان از فایل‌های CHM برای تحویل بدافزار – استفاده از فایل deklaracja.chm با سناریوی بانکی در لهستان

گروه‌های تهدید از فایل‌های Microsoft Compiled HTML Help (CHM) برای توزیع بدافزار استفاده کرده‌اند. یکی از نمونه‌های شاخص، فایلی با نام deklaracja.chm است که از کشور لهستان در VirusTotal بارگذاری شده و نشان‌دهنده‌ی زنجیره‌ای چندمرحله‌ای از آلودگی است.

 

محتوای مخرب

فایل CHM به‌عنوان یک بسته باینری شامل صفحات HTML فشرده و اشیاء مرتبط عمل کرده و پس از اجرا از طریق برنامه‌ی پیش‌فرض hh.exe، یک تصویر جعلی با نام deklaracja.png نمایش می‌دهد. این تصویر شبیه رسید بانکی از بانک لهستانی PKO طراحی شده تا توجه کاربر را منحرف کرده و هم‌زمان فعالیت‌های مخرب در پس‌زمینه اجرا شوند.

---

تحلیل فنی

پس از استخراج فایل CHM، اجزای زیر قابل مشاهده‌اند:

• فایل‌های سیستمی استاندارد CHM (با پیشوند ‘#’)

• فایل HTML مبهم‌شده با نام index.htm که دارای کد جاوااسکریپت رمزگذاری‌شده با الگوهای obfuscator.io مانند متغیرهای _0x و بازیابی رشته‌ها از طریق آرایه است

• یک فایل cabinet با نام جعلی desktop.mp3 که payload اصلی با نام unt32.dll را در خود دارد

• تصویر فریب‌دهنده‌ی deklaracja.png

درون فایل index.htm، کد جاوااسکریپت رشته‌ای بزرگ از داده‌های هگزادسیمال را به HTML اجرایی تبدیل کرده که عملکرد زیر را دارد:

• نمایش decoy از طریق iframe

• استفاده از تگ <bgsound> (فقط در Internet Explorer فعال) برای اجبار به دانلود فایل desktop.mp3

• ایجاد یک شیء ActiveX از طریق CLSID مربوط به hhctrl.ocx به شناسه adb880a6-d8ff-11cf-9377-00aa003b7a11

این کنترل ActiveX فرآیند اجرای دستورات زیر را شبیه‌سازی می‌کند:

1. اجرای cmd.exe به‌صورت minimize

2. رفتن به مسیر %temp%

3. استفاده از ابزار LOLBIN forfiles.exe برای پیدا کردن فایل‌های .tmp

4. بررسی سایز فایل‌ها (۱۸۰۷۳۸ بایت مطابق desktop.mp3)

5. استخراج DLL از طریق ابزار expand

6. اجرای آن با rundll32.exe از طریق ordinal شماره ۱

---

عملکرد بدافزار unt32.dll

این DLL با زبان C++ نوشته شده و از رشته‌های رمزگذاری‌شده با الگوریتم XOR و کلید ۱۲۸ بایتی چرخشی استفاده می‌کند. با APIهای WinHTTP اقدام به دریافت payload از آدرس زیر می‌کند:

hxxps://rustyquill[.]top/shw/the-magnus-protoco1.jpg

این دامنه به پادکست Rusty Quill اشاره دارد و نشان‌دهنده ترفندهای مهندسی اجتماعی منطقه‌ای است.

پس از دریافت:

• چک می‌کند که سایز فایل بالای ۲۸۹۱۰۹ بایت باشد

• بخش ابتدایی (احتمالاً هدر JPEG) را حذف می‌کند

• داده‌های ضمیمه‌شده را با همان کلید XOR رمزگشایی می‌کند

• DLL رمزگشایی‌شده را با نام net32.dll در مسیر AppData\Local\TaskSync\ ذخیره کرده

• آن را با rundll32.exe اجرا می‌کند (ordinal 1)

• برای ماندگاری از Scheduled Task مبتنی بر COM استفاده می‌کند

---

ابعاد وسیع‌تر

این تکنیک با کمپین‌های قبلی، از جمله فایلی با نام dowód_wpłaty.zip (۷ آوریل ۲۰۲۵) که آن هم به دامنه rustyquill مرتبط بود، تطابق دارد. این نشان می‌دهد که با یک تهدید مداوم طرف هستیم.

تحلیل‌ها، گروه مهاجم را به FrostyNeighbor یا UNC1151 نسبت می‌دهند که با بلاروس مرتبط و سابقه حمله به اوکراین، لیتوانی، لتونی، لهستان و آلمان را دارند.

روش استفاده از طعمه‌های بانکی و ارجاع به پادکست‌ها، نشان‌دهنده مهندسی اجتماعی دقیق با هدف فریب کاربران منطقه‌ای است.

استفاده از فایل‌های تصویری با محتوای پنهان (steganography)، بهره‌گیری از فرمت‌های منسوخ مانند CHM و اجرای غیرمستقیم دستورات از طریق LOLBINها، راه‌هایی برای عبور از سیستم‌های دفاعی مدرن هستند.

---

Indicators of Compromise (IOCs)