کمپین گروه لازاروس بستههای مخرب را در اکوسیستمهای npm و PyPI منتشر میکند تاریخ انتشار: 13 فوریه 2026 پژوهشگران امنیت سایبری از کشف مجموعهای جدید از بستههای مخرب در مخازن npm و PyPI خبر دادهاند که با یک کمپین جعلی استخدامی مرتبط است. این عملیات به گروه لازاروس، وابسته به کره شمالی، نسبت داده شده و با نام «graphalgo» شناخته میشود. بررسیها نشان میدهد این فعالیت حداقل از اواسط 2025 آغاز شده است. در این کمپین، مهاجمان با ایجاد هویتهای جعلی شرکتی در حوزه بلاکچین و صرافیهای رمزارزی، توسعهدهندگان را هدف قرار میدهند. سناریوی حمله به این صورت است که مهاجمان شرکتی ساختگی مانند Veltrix Capital ایجاد میکنند، برای آن دامنه اینترنتی ثبت میکنند و یک سازمان در GitHub میسازند تا مخازنی حاوی پروژههای برنامهنویسی (عمدتاً Python و JavaScript) منتشر کنند. این پروژهها ظاهراً برای ارزیابی فنی متقاضیان شغلی طراحی شدهاند و در نگاه اول فاقد کد مخرب آشکار هستند. اما وابستگیهای این پروژهها شامل بستههایی در npm و PyPI است که حاوی کد مخرباند.مهاجمان از طریق LinkedIn، Facebook و حتی آگهیهای شغلی در Reddit با توسعهدهندگان تماس میگیرند و آنها را ترغیب میکنند پروژههای ارائهشده را روی سیستم خود اجرا کنند. با اجرای این پروژهها، وابستگیهای آلوده نصب شده و آلودگی آغاز میشود. در برخی موارد، جذبکنندگان ظاهراً معتبر مستقیماً با قربانیان ارتباط برقرار میکنند. در میان بستههای شناساییشده، موردی به نام bigmathutils پیش از آلوده شدن نسخه دوم، بیش از 10,000 بار دانلود شده بود. این موضوع نشان میدهد مهاجمان ابتدا نسخهای سالم منتشر کرده و پس از جلب اعتماد، نسخه مخرب را جایگزین کردهاند. در مجموع دهها بسته در هر دو اکوسیستم npm و PyPI شناسایی شدهاند که نامهایی مشابه و مرتبط با مفاهیم گراف و محاسبات عددی دارند. بستههای مخرب در نهایت یک تروجان دسترسی از راه دور (RAT) را مستقر میکنند. این بدافزار میتواند اطلاعات سیستم را جمعآوری کند، فایلها و پوشهها را فهرست کند، پردازشهای در حال اجرا را نمایش دهد، فایل ایجاد یا حذف کند و دادهها را بارگذاری یا دانلود نماید. ارتباط با سرور فرمان و کنترل (C2) از طریق مکانیزمی مبتنی بر توکن انجام میشود؛ بدین صورت که سیستم آلوده ابتدا ثبت شده و توکنی دریافت میکند، سپس در درخواستهای بعدی از همان توکن برای احراز هویت استفاده میکند. این روش پیشتر در کمپینهای سال 2023 مرتبط با گروهی دیگر از کره شمالی نیز مشاهده شده بود.بررسیها نشان میدهد بدافزار حتی وجود افزونه MetaMask را نیز بررسی میکند که حاکی از انگیزههای مالی و تلاش برای سرقت داراییهای رمزارزی است. پژوهشگران تأکید کردهاند ماژولار بودن، چندلایه و رمزگذاریشده بودن بدافزار و همچنین صبر مهاجمان در ایجاد اعتماد، نشاندهنده یک عملیات پیچیده و دولتی است. علاوه بر این کمپین، نمونههای مخرب دیگری نیز در npm کشف شدهاند. یکی از آنها بستهای به نام "duer-js" است که خود را به عنوان ابزار بهبود نمایش کنسول معرفی میکند اما در واقع حاوی بدافزار Bada Stealer است. این بدافزار قادر به سرقت توکنهای Discord، گذرواژهها، کوکیها، دادههای autofill مرورگرها، اطلاعات کیف پولهای رمزارزی و دادههای سیستمی است. اطلاعات سرقتشده به یک webhook در Discord و همچنین سرویس ذخیرهسازی Gofile ارسال میشود. این بسته حتی یک بار ثانویه دانلود میکند که هنگام اجرای Discord Desktop فعال میشود و اطلاعات پرداخت کاربر را نیز هدف قرار میدهد.در موردی دیگر، کمپینی با نام XPACK ATTACK شناسایی شده که از npm برای اخاذی رمزارزی سوءاستفاده میکند. در این روش، هنگام اجرای دستور "npm install"، فرآیند نصب با پیام HTTP 402 متوقف شده و از توسعهدهنده درخواست پرداخت 0.1 USDC/ETH میشود. در صورت عدم پرداخت، نصب شکست میخورد و در این میان اطلاعاتی مانند نام کاربری GitHub و اثرانگشت دستگاه جمعآوری میشود. این رخدادها نشان میدهد اکوسیستمهای متنباز همچنان هدفی جذاب برای بازیگران تهدید دولتی و مجرمان سایبری هستند که با سوءاستفاده از اعتماد توسعهدهندگان، به دنبال سرقت داده و منافع مالیاند.جزئیات بیشتر (شامل لیست کامل بسته های مخرب) در لینک منبع قابل مشاهده است. منابع:[1] https://thehackernews.com/2026/02/lazarus-campaign-plants-malicious.html#امنیت_سایبری #بستههای_مخرب #متن_باز
@cyberseclabs | #Lazarus_Group #npm #PyPI
صدور مجوز برای سه آزمایشگاه جدید ارزیابی محصولات توسط مرکز مدیریت راهبردی افتا تاریخ انتشار: 27 بهمن 1404بر اساس اطلاعات منتشر شده در وب سایت مرکز مرکز مدیریت راهبردی افتا سه آزمایشگاه جدید به فهرست آزمایشگاههای صادر کننده گواهی امنیتی محصولات افزوده شده است. اسامی این سه آزمایشگاه عبارت است از:1- خدمات آزمایشگاهی پویشگران امن یکتا2- آزمایشگاه پژوهشگاه توسعه فناوریهای پیشرفته3- مساف امام حسین
مرجع:https://afta.gov.ir/labs#افتا #آزمایشگاه_افتا #مجوز_امنیتی
@cyberseclabs افزوده شدن ۶ آسیبپذیری روز صفر مایکروسافت به فهرست KEV؛ هشدار درباره بهرهبرداری فعال مهاجمان تاریخ انتشار: 11 فوریه 2026 آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA) شش آسیبپذیری روز صفر مرتبط با محصولات مایکروسافت را به فهرست Known Exploited Vulnerabilities (KEV) اضافه کرد؛ فهرستی که شامل نقصهایی است که شواهدی از بهرهبرداری فعال آنها در حملات واقعی وجود دارد.این اقدام پس از آن صورت گرفت که مشخص شد مهاجمان در حال سوءاستفاده عملی از این آسیبپذیریها در محیطهای واقعی هستند. افزوده شدن به فهرست KEV به این معناست که این نقصها صرفاً نظری یا آزمایشگاهی نیستند، بلکه در سناریوهای واقعی حمله مورد استفاده قرار گرفتهاند.طبق گزارش منتشرشده، این شش آسیبپذیری طیف متنوعی از محصولات و مؤلفههای مایکروسافت را تحت تأثیر قرار میدهند و شامل نقصهایی با قابلیت اجرای کد از راه دور (Remote Code Execution)، افزایش سطح دسترسی (Privilege Escalation) و دور زدن مکانیزمهای امنیتی هستند. چنین آسیبپذیریهایی میتوانند به مهاجمان اجازه دهند بدون نیاز به احراز هویت معتبر، کنترل سیستمهای هدف را در دست بگیرند یا دسترسی خود را در شبکه گسترش دهند.در برخی از این موارد، مهاجم میتواند با ارسال دادههای دستکاریشده یا بهرهگیری از تعامل محدود کاربر، کد مخرب را در سطح سیستمی اجرا کند. در موارد دیگر، نقصها امکان ارتقای سطح دسترسی از کاربر عادی به دسترسی مدیریتی را فراهم میکنند؛ موضوعی که میتواند کنترل کامل دستگاه یا سرور را در اختیار مهاجم قرار دهد.CISA در چارچوب دستورالعملهای عملیاتی خود، سازمانهای فدرال را ملزم کرده است که در بازه زمانی مشخصشده نسبت به اعمال وصلههای امنیتی اقدام کنند. این الزام نشان میدهد که ریسک ناشی از این آسیبپذیریها بالا ارزیابی شده و تأخیر در وصلهکردن میتواند پیامدهای امنیتی جدی در پی داشته باشد.گزارش همچنین تأکید میکند که بهرهبرداری از آسیبپذیریهای روز صفر معمولاً توسط گروههای پیشرفته تهدید (APT) یا بازیگران دولتی و نیمهدولتی انجام میشود، زیرا این نقصها پیش از انتشار عمومی وصله، فرصت نفوذ ارزشمندی در اختیار مهاجمان قرار میدهند. در چنین شرایطی، فاصله زمانی بین کشف نقص و اعمال وصله، یکی از حساسترین بازههای امنیتی برای سازمانها محسوب میشود.افزوده شدن این شش نقص به فهرست KEV بار دیگر اهمیت مدیریت فعال آسیبپذیریها، پایش مستمر تهدیدات و بهروزرسانی سریع سیستمها را برجسته میکند. سازمانهایی که زیرساختهای مبتنی بر محصولات مایکروسافت دارند، در صورت عدم اعمال بهموقع اصلاحیههای امنیتی، در معرض خطر نفوذ، حرکت جانبی مهاجمان در شبکه و حتی استقرار باجافزار قرار خواهند گرفت. منابع:[1] https://cybersecuritynews.com/microsoft-0-day-vulnerabilities#Microsoft #ZeroDay #CISA #CyberSecurity
@cyberseclabs حمله سایبری گسترده به Odido Telecom؛ افشای اطلاعات ۶.۲ میلیون حساب کاربری تاریخ انتشار: 12 فوریه 2026 شرکت مخابراتی Odido Telecom هدف یک حمله سایبری گسترده قرار گرفت که در نتیجه آن اطلاعات مربوط به حدود ۶.۲ میلیون حساب کاربری در معرض دسترسی غیرمجاز قرار گرفت. این حادثه یکی از بزرگترین رخدادهای امنیتی اخیر در بخش مخابرات اروپا محسوب میشود و نگرانیهای جدی درباره حفاظت از دادههای مشترکان ایجاد کرده است.بر اساس اطلاعات منتشرشده، مهاجمان موفق شدند به پایگاههای دادهای دسترسی پیدا کنند که حاوی اطلاعات شخصی مشتریان بوده است. دادههای افشاشده شامل نام و نام خانوادگی، اطلاعات تماس، جزئیات حساب کاربری و سایر اطلاعات مرتبط با خدمات مخابراتی بوده است. هرچند شرکت اعلام کرده که در حال بررسی دقیق دامنه نفوذ است، اما گستردگی تعداد حسابهای تحت تأثیر نشان میدهد که حمله از سطح دسترسی قابل توجهی برخوردار بوده است.Odido تأیید کرده که بلافاصله پس از شناسایی فعالیت مشکوک، اقدامات مهار و بررسیهای فنی آغاز شده است. تیمهای امنیتی داخلی به همراه متخصصان خارجی برای تحلیل منشأ حمله، شناسایی بردار نفوذ و جلوگیری از تکرار حادثه وارد عمل شدهاند. همچنین فرآیند اطلاعرسانی به کاربران آسیبدیده آغاز شده تا آنها از وضعیت حسابهای خود مطلع شوند.در گزارش اشاره شده است که هنوز جزئیات دقیق روش نفوذ مهاجمان منتشر نشده، اما احتمال میرود این حمله از طریق سوءاستفاده از یک آسیبپذیری یا دسترسی غیرمجاز به سامانههای داخلی انجام شده باشد. مقامات مربوطه در حال همکاری با نهادهای قانونی و امنیت سایبری برای بررسی ابعاد کامل حادثه هستند.کارشناسان امنیت سایبری هشدار دادهاند که دادههای افشاشده میتواند در حملات ثانویه مورد سوءاستفاده قرار گیرد. اطلاعات هویتی و تماس کاربران میتواند زمینهساز حملات فیشینگ هدفمند، پیامکهای جعلی (smishing)، تماسهای کلاهبرداری و حتی سوءاستفادههای مالی شود. به همین دلیل، کاربران آسیبدیده باید نسبت به هرگونه ارتباط مشکوک که به نام Odido یا نهادهای مالی انجام میشود، هوشیار باشند. منابع:[1] https://cybersecuritynews.com/odido-telecom-suffers-cyberattack/#DataBreach #Telecom #CyberAttack #Odido
@cyberseclabs کمپین گسترده افزونههای مخرب هوش مصنوعی Chrome بیش از ۲۶۰ هزار کاربر را هدف قرار داد تاریخ انتشار: 13 فوریه 2026 گزارش منتشرشده نشان میدهد مجموعهای از افزونههای مخرب مرورگر Chrome که با عناوین مرتبط با هوش مصنوعی عرضه شده بودند، در قالب یک کمپین سازمانیافته بیش از ۲۶۰ هزار کاربر را هدف قرار دادهاند. این افزونهها با ظاهر قانونی و وعده قابلیتهای مبتنی بر AI منتشر شده و توانستهاند اعتماد کاربران را جلب کنند.بر اساس بررسیهای انجامشده، این افزونهها پس از نصب، اقدام به تزریق کد مخرب به صفحات وب بازشده توسط کاربر میکردند. یکی از تکنیکهای اصلی مورد استفاده در این کمپین، تزریق iFrame مخفی به صفحات بازدیدشده بود که امکان بارگذاری محتوای خارجی و اجرای اسکریپتهای مخرب را فراهم میکرد. این روش به مهاجمان اجازه میداد بدون اطلاع کاربر، دادههای حساس را استخراج کنند.در گزارش آمده است که زیرساخت این کمپین نشاندهنده هماهنگی و مدیریت متمرکز بوده و چندین افزونه مختلف به یک دامنه یا سرور فرمان و کنترل (C2) متصل میشدند. این موضوع حاکی از آن است که عملیات مذکور بهصورت برنامهریزیشده و در مقیاس وسیع اجرا شده است.دادههای هدف شامل اطلاعات نشستهای کاربری، محتوای صفحات، و در برخی موارد اطلاعات مرتبط با حسابهای ایمیل بوده است. برخی افزونهها حتی قادر بودند محتوای Gmail یا سایر سرویسهای مبتنی بر مرورگر را رصد کنند. این سطح از دسترسی، خطر سرقت اعتبارنامهها و دادههای محرمانه را بهطور قابل توجهی افزایش میدهد.نکته قابل توجه این است که این افزونهها در فروشگاه Chrome در دسترس بوده و تعداد نصب قابل توجهی جذب کرده بودند. این امر نشان میدهد که حتی پلتفرمهای رسمی نیز ممکن است در برابر سوءاستفادههای هدفمند مصون نباشند، بهویژه زمانی که مهاجمان از عناوین محبوب مانند «هوش مصنوعی» برای جلب اعتماد کاربران استفاده میکنند.پس از شناسایی فعالیت مخرب، اقدامات لازم برای حذف این افزونهها از فروشگاه انجام شد. با این حال، کارشناسان هشدار دادهاند کاربرانی که این افزونهها را نصب کردهاند باید آنها را حذف کرده و نشستهای کاربری فعال خود را بازنشانی کنند و در صورت لزوم گذرواژههای خود را تغییر دهند.این کمپین نشان میدهد که تهدیدات مبتنی بر افزونههای مرورگر همچنان یکی از بردارهای مؤثر حمله هستند، بهویژه زمانی که با ترندهای فناوری مانند هوش مصنوعی ترکیب شوند. منابع:[1] https://cybersecuritynews.com/chrome-ai-extensions-attacking-users#Chrome #Malware #AIExtensions #CyberThreat
@cyberseclabs آسیبپذیری حیاتی SQL Injection در Microsoft Configuration Manager در فهرست KEV قرار گرفت تاریخ انتشار: 14 فوریه 2026 یک آسیبپذیری مهم از نوع SQL Injection در Microsoft Configuration Manager شناسایی شده که به دلیل وجود شواهد بهرهبرداری فعال، توسط آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA) در فهرست Known Exploited Vulnerabilities (KEV) قرار گرفته است. قرار گرفتن در این فهرست به این معناست که این نقص صرفاً یک ریسک تئوریک نیست، بلکه در حملات واقعی مورد سوءاستفاده قرار گرفته است.این آسیبپذیری به مهاجمان اجازه میدهد از طریق ارسال درخواستهای دستکاریشده به سامانه، دستورات SQL غیرمجاز را اجرا کنند. در صورت بهرهبرداری موفق، مهاجم میتواند به پایگاه داده دسترسی پیدا کند، اطلاعات حساس را استخراج کند یا حتی تغییرات مخرب در دادهها ایجاد کند. در سناریوهای پیشرفتهتر، این نوع نقص میتواند به اجرای کد از راه دور یا افزایش سطح دسترسی در محیط سازمانی منجر شود.Microsoft Configuration Manager یکی از ابزارهای کلیدی مدیریت زیرساختهای سازمانی است که برای استقرار نرمافزار، مدیریت بهروزرسانیها و کنترل دستگاههای شبکه استفاده میشود. به همین دلیل، هرگونه آسیبپذیری در این سامانه میتواند پیامدهای گستردهای داشته باشد و امکان حرکت جانبی مهاجم در شبکه را فراهم کند.طبق گزارش، بهرهبرداری از این نقص میتواند کنترل بخشهای مهمی از محیط IT سازمان را در اختیار مهاجم قرار دهد. از آنجا که این سامانه معمولاً دارای سطح دسترسی بالا در شبکه است، نفوذ به آن میتواند نقطه شروعی برای حملات پیچیدهتر از جمله استقرار باجافزار یا استخراج دادههای حساس باشد.CISA از سازمانهای فدرال خواسته است در بازه زمانی مشخصشده نسبت به اعمال وصلههای امنیتی اقدام کنند. این الزام نشاندهنده ارزیابی سطح خطر بالا برای این آسیبپذیری است. کارشناسان امنیتی نیز تأکید کردهاند که سازمانها باید علاوه بر نصب وصله، لاگهای سیستم را برای شناسایی هرگونه فعالیت مشکوک بررسی کنند تا احتمال بهرهبرداری قبلی مشخص شود.این رخداد بار دیگر نشان میدهد که آسیبپذیریهای مبتنی بر SQL Injection، با وجود شناختهشده بودن این کلاس از نقصها، همچنان یکی از بردارهای مهم حمله در زیرساختهای سازمانی محسوب میشوند؛ بهویژه زمانی که سامانههای مدیریتی حیاتی را هدف قرار دهند. منابع:[1] https://cybersecuritynews.com/microsoft-configuration-manager-sql-injection-vulnerability#SQLInjection #Microsoft #KEV #CyberSecurity
@cyberseclabs PentestAgent: ابزار متنباز هوش مصنوعی برای تست نفوذ با پلیبوکهای آماده و ادغام با HexStrike تاریخ انتشار: 15 فوریه 2026 PentestAgent یک چارچوب متنباز و مبتنی بر هوش مصنوعی است که توسط توسعهدهندهای با نام مستعار GH05TCREW (یا Masic) در GitHub منتشر شده است. این ابزار هدف دارد تا فرآیند تست نفوذ را خودکارسازی کند و با استفاده از پلیبوکهای از پیش ساخته، اقداماتی را که معمولاً به صورت دستی انجام میشوند، به گامهای مهندسیشده و قابل اجرا توسط هوش مصنوعی تبدیل کند.این ابزار امکان دریافت ورودیهای سطح بالا از کاربران، مانند تعریف هدف یا حوزه تست، و تبدیل آنها به اقدامات عملیاتی در زمینه شناسایی ضعفها، بهرهبرداری و حرکت جانبی در شبکه را فراهم میکند. پلیبوکهای حمله در PentestAgent نقش قالبهای استاندارد را دارند و AI میتواند آنها را دنبال، ترکیب و مدیریت کند تا یک تست کامل و مدون انجام شود.یکی از ویژگیهای کلیدی PentestAgent، ادغام با پلتفرم HexStrike است. HexStrike مجموعهای از ابزارهای حرفهای تست نفوذ، اسکن، بهرهبرداری و عملیات پس از بهرهبرداری را ارائه میدهد و PentestAgent میتواند این ابزارها را بهصورت برنامهریزیشده و خودکار استفاده کند.PentestAgent با ترکیب هوش مصنوعی، پلیبوکهای حمله و امکان ادغام با ابزارهای حرفهای چند مزیت مهم دارد:• سفارشیسازی و توسعهپذیری: از آنجا که ابزار متنباز است، میتوان پلیبوکها را توسعه داد یا ابزارهای سفارشی را یکپارچه کرد.• کاهش بار کاری تستکنندگان: بهجای اجرای دستی ابزارهای متعدد در مراحل مختلف، AI میتواند این کارها را بهصورت سلسلهمراتبی برنامهریزی و اجرا کند.• یکپارچگی با ابزارهای حرفهای: ادغام با HexStrike به معنای دسترسی به مجموعه ابزارهای قوی برای عملیات پیشرفته تست نفوذ است.• پشتیبانی از سناریوهای تست متنوع: پلیبوکها میتوانند برای آزمایش سطح حمله شبکه، برنامههای وب، APIها و دیگر بخشها اعمال شوند بدون اینکه کاربر نیاز به پیکربندی تفصیلی هر ابزار داشته باشد.با این حال، استفاده از PentestAgent دارای چالشهایی از جمله مسائل قانونی و مجوز است، به این معنا که این ابزار باید تنها در محیطهایی استفاده شود که تست آنها قانونی و مجاز است. همچنین این ابزار نمیتواند جایگزین کامل کنترل انسانی شود و بازبینی انسانی برای صحت نتایج ضروری است. علاوه بر این، ریسک وابستگی به مدلهای هوش مصنوعی وجود دارد و احتمال خطا یا نتایج غیرمنتظره مطرح است که نیاز به اعتبارسنجی دقیق دارد. در مجموع، PentestAgent نشان میدهد که چگونه هوش مصنوعی میتواند فرآیند تست نفوذ را خودکار، سازماندهی شده و مؤثر کند، اما همزمان نیاز به نظارت انسانی و رعایت اصول اخلاقی دارد تا از سوءاستفاده جلوگیری شود. منابع:[1] https://cybersecuritynews.com/pentestagent#PentestAgent #AI #CyberSecurity #HexStrike
@cyberseclabs انتشار وصله برای آسیبپذیری روز صفر Google Chrome در حملات واقعی تاریخ انتشار: 16 فوریه 2026 گوگل در تاریخ 16 فوریه 2026 یک بهروزرسانی امنیتی اضطراری برای مرورگر Google Chrome منتشر کرد تا آسیبپذیری روز صفر با شدت بالا CVE‑2026‑2441 را برطرف کند. این نقص یک مشکل use‑after‑free در موتور CSS مرورگر بود که امکان اجرای کد دلخواه از راه دور را برای مهاجمان فراهم میکرد.آسیبپذیری CVE‑2026‑2441 قبل از انتشار پچ در حملات واقعی مورد سوءاستفاده قرار گرفته بود و مهاجمان با ایجاد محتوای وب مخرب میتوانستند کد دلخواه را روی سیستم قربانیان اجرا کنند. این نوع آسیبپذیریها میتوانند منجر به افشای اطلاعات، تغییر فایلها یا نصب بدافزار شوند.نسخههای پچشده Chrome برای رفع این آسیبپذیری منتشر شدهاند:Windows و macOS: نسخه 145.0.7632.75/.76Linux: نسخه 144.0.7559.75کاربران و سازمانها باید فوراً مرورگر خود را به نسخههای جدید ارتقاء دهند و بهروزرسانی خودکار را فعال کنند. همچنین هنگام باز کردن صفحات وب یا لینکهای ناشناس باید نهایت احتیاط را داشته باشند، زیرا بهرهبرداری از آسیبپذیریهای روز صفر معمولاً از طریق محتوای مخرب وب انجام میشود. منابع:[1] https://cybersecuritynews.com/chrome-0-day-vulnerability-exploited-wild-2/#GoogleChrome #ZeroDay #CyberSecurity #PatchEmergency
@cyberseclabs ZeroDayRAT: جاسوسافزار جدیدی که کنترل کامل گوشیهای Android و iOS را ممکن میکند تاریخ انتشار: 16 فوریه 2026 محققان امنیت سایبری یک جاسوسافزار جدید به نام ZeroDayRAT را شناسایی کردهاند که به مهاجمان امکان میدهد دستگاههای Android و iOS را بهطور کامل کنترل کرده و دادهها، فعالیتها و اطلاعات حساس کاربران را از راه دور استخراج کنند. این ابزار از طریق شبکههای Telegram بهصورت تجاری توزیع میشود و نیازی به تخصص فنی بالا برای استفاده ندارد.ZeroDayRAT شامل پنل کنترلی تحت وب، سازندهی payload و ماژولهای نظارتی است که به مهاجمان اجازه میدهد نسخههای سفارشی نرمافزار جاسوسی را بسازند و روی دستگاه قربانی نصب کنند. روشهای توزیع آن شامل phishing، smishing، فروشگاههای فیک اپ و لینکهای مخرب است.زمانی که این جاسوسافزار نصب شود، میتواند اطلاعات گستردهای از جمله موقعیت جغرافیایی، پیامها، تماسها، اعلانهای پیامرسانها، اطلاعات حسابهای Google و شبکههای اجتماعی، دادههای بانکی و ارز دیجیتال، و حتی ورودیهای صفحهکلید و بیومتریک کاربر را جمعآوری کند. همچنین قابلیت پخش زنده دوربین و میکروفون را دارد و میتواند از ورودیهای صفحهکلید برای سرقت اطلاعات استفاده کند.تشخیص ZeroDayRAT بسیار دشوار است، زیرا ممکن است امضای دیجیتال داشته باشد و از سیستمهای امنیتی عبور کند. پاک کردن آن نیز میتواند منجر به پاکسازی دادهها یا رفتارهای غیرمنتظره شود. تحلیلگران هشدار میدهند که فعالیتهای فروش و بهروزرسانی آن از طریق کانالهای متعدد Telegram انجام میشود و مقابله با این تهدید نیازمند ابزارهای امنیتی پیشرفته و نظارت دقیق است.توصیه میشود کاربران از نصب برنامهها از منابع غیررسمی خودداری کنند، سیستمعامل و اپلیکیشنها را بهطور منظم بهروزرسانی کنند، احراز هویت چندمرحلهای (MFA) را فعال کنند و از مدیریت امنیت موبایل (MDM) و نظارت رفتاری بر اپلیکیشنها استفاده کنند. منابع:[1] https://cybersecuritynews.com/new-zerodayrat-attacking-android-and-ios/#ZeroDayRAT #Android #iOS #MobileSecurity #CyberThreats
@cyberseclabs