تهدیدی جدید
رولها رو به روز کنید
تهدید جدیدی که Red Canary اسمش رو گذاشته Mocha Manakin (از اوایل ژانویه ۲۰۲۵ کشف شده)، و به تکنیکی به اسم paste‑and‑run متکی هست. تکنیک به این شکله: کاربر ترغیب می‌شه کدی رو از یک صفحه (مثل Fake CAPTCHA یا پیام “برای دسترسی باید تایید کنید”) کپی کنه و در پنجره Run ویندوز بچسبونه، بدون اینکه بدونه داره یک PowerShell مخرب اجرا می‌کنه
.
🔍 مراحل فعالیت Mocha Manakin
اول : ورود به سیستم (Initial Access)
با همین ترفند paste‑and‑run، اسکریپتی دانلود و اجرا می‌شه که فایل مخربی مثل یک backdoor دانلود می‌کنه
دوم Payload – NodeInitRAT
این payload یک backdoor نوشته‌شده با NodeJS هست که فایل node.exe قانونی رو اجرا کرده و از طریق آن backdoor فعال می‌شه
ثبت persistence از طریق کلید رجیستری
کشف اطلاعات سیستم و دامین‌ها
برقراری ارتباط با سرور C2 از طریق HTTP/Cloudflare
اجرای دستورات دلخواه و دانلود payloadهای بیشتر
سوم: ارتباط با باج‌افزار
این تهدید احتمالاً مقدمات لازم برای حمله باج‌افزاری را فراهم می‌کند، هر چند تا می ۲۰۲۵ باج‌افزار مشاهده نشده، اما تشدید حمله منطقی است .
🛡️ توصیه‌های دفاعی
مراقبت از تکنیک paste‑and‑run
با GPO می‌توان shortcut ویندوز+R را غیرفعال کرد (خیلی کاربردی نیست چون کاربران هم ازش استفاده می‌کنند)
آموزش کاربران برای شناسایی ترفندهایی مانند "برای دسترسی کلیک کنید"
شناسایی NodeInitRAT
بررسی پردازه‌های node.exe فعال
حذف فایل‌هایی با مسیر \AppData\Roaming\[a-z0-9]{8}.log
پاک‌سازی کلیدهای رجیستری Run
بلوکه کردن دامنه‌ها/IPهای مرتبط با trycloudflare[.]com
هشدار مبتنی بر رفتار
مانیتورینگ اجرای PowerShell با invoke-expression و invoke-restmethod همراه آدرس IP برای بارگذاری اسکریپت مخرب
شناسایی node.exe که cmd.exe را اجرا می‌کند تا کلید رجیستری تنظیم کند .
#آکادمی_روزبه
مرکز تخصصی CISSP
https://redcanary.com/blog/threat-intelligence/mocha-manakin-nodejs-backdoor/?utm_source=linkedin&utm_medium=social
رولها رو به روز کنید
تهدید جدیدی که Red Canary اسمش رو گذاشته Mocha Manakin (از اوایل ژانویه ۲۰۲۵ کشف شده)، و به تکنیکی به اسم paste‑and‑run متکی هست. تکنیک به این شکله: کاربر ترغیب می‌شه کدی رو از یک صفحه (مثل Fake CAPTCHA یا پیام “برای دسترسی باید تایید کنید”) کپی کنه و در پنجره Run ویندوز بچسبونه، بدون اینکه بدونه داره یک PowerShell مخرب اجرا می‌کنه
.
🔍 مراحل فعالیت Mocha Manakin
اول : ورود به سیستم (Initial Access)
با همین ترفند paste‑and‑run، اسکریپتی دانلود و اجرا می‌شه که فایل مخربی مثل یک backdoor دانلود می‌کنه
دوم Payload – NodeInitRAT
این payload یک backdoor نوشته‌شده با NodeJS هست که فایل node.exe قانونی رو اجرا کرده و از طریق آن backdoor فعال می‌شه
ثبت persistence از طریق کلید رجیستری
کشف اطلاعات سیستم و دامین‌ها
برقراری ارتباط با سرور C2 از طریق HTTP/Cloudflare
اجرای دستورات دلخواه و دانلود payloadهای بیشتر
سوم: ارتباط با باج‌افزار
این تهدید احتمالاً مقدمات لازم برای حمله باج‌افزاری را فراهم می‌کند، هر چند تا می ۲۰۲۵ باج‌افزار مشاهده نشده، اما تشدید حمله منطقی است .
🛡️ توصیه‌های دفاعی
مراقبت از تکنیک paste‑and‑run
با GPO می‌توان shortcut ویندوز+R را غیرفعال کرد (خیلی کاربردی نیست چون کاربران هم ازش استفاده می‌کنند)
آموزش کاربران برای شناسایی ترفندهایی مانند "برای دسترسی کلیک کنید"
شناسایی NodeInitRAT
بررسی پردازه‌های node.exe فعال
حذف فایل‌هایی با مسیر \AppData\Roaming\[a-z0-9]{8}.log
پاک‌سازی کلیدهای رجیستری Run
بلوکه کردن دامنه‌ها/IPهای مرتبط با trycloudflare[.]com
هشدار مبتنی بر رفتار
مانیتورینگ اجرای PowerShell با invoke-expression و invoke-restmethod همراه آدرس IP برای بارگذاری اسکریپت مخرب
شناسایی node.exe که cmd.exe را اجرا می‌کند تا کلید رجیستری تنظیم کند .
#آکادمی_روزبه
مرکز تخصصی CISSP
https://redcanary.com/blog/threat-intelligence/mocha-manakin-nodejs-backdoor/?utm_source=linkedin&utm_medium=social
Comments
Be the first to add a comment
Log in to comment