استفاده از صفحات جعلی Zillow برای توزیع بدافزار NetSupport RAT از طریق تکنیک ClickFix

Fake Zillow pages use ClickFix NetSupport RAT to target apartment hunters

محققان آزمایشگاه تحقیقاتی EfficientIP کمپینی را شناسایی کرده‌اند که از صفحات جعلی بررسی آپارتمان با برند Zillow برای نصب بدافزار NetSupport RAT روی رایانه‌های ویندوزی بازدیدکنندگان استفاده می‌کند. این حمله کاربران جویای مسکن و اشخاصی را که آگهی‌ها را روی لپ‌تاپ‌های کاری بررسی می‌کنند، هدف قرار می‌دهد.

جزئیات فنی و نحوه عملکرد حمله ClickFix

در این کمپین، هر صفحه ساختگی مشابه یک بررسی تأیید هویت روتین به نظر می‌رسید و در پشت صحنه، یک دستور PowerShell را در کلیپ‌بورد کپی می‌کرد تا کاربر آن را اجرا کند. این حمله با استفاده از مهندسی اجتماعی و تکنیک ClickFix از کاربران می‌خواست کلیدهای میانبر Win+R، سپس Ctrl+V و Enter را فشار دهند.

دستور یاد شده اسکریپتی را از یک آدرس IP که به صورت عدد اعشاری 1495423691 (معادل 89.34.90.203) نوشته شده بود، دریافت می‌کرد. این اسکریپت پنجره PowerShell را پنهان کرده و با استفاده از یک زمان‌اجرای پایتون بارگیری‌شده، یک آرشیو ZIP از همان آدرس دانلود می‌کرد. سپس نرم‌افزار NetSupport را در پوشه AppData استخراج کرده و میانبری را در پوشه Windows Startup قرار می‌داد تا با هر بار ورود کاربر اجرا شود.

نحوه انتشار لینک‌ها و زیرساخت مهاجمان

محققانEfficientIP نخستین دامنه‌ها را در ماه آگوست 2026 شناسایی کردند. کریم حسین، مدیر ارشد امنیت اطلاعات این شرکت، ارزیابی کرد که لینک‌ها احتمالاً مستقیماً و در قالب کلاهبرداری‌های آگهی اجاره، مانند ارسال لینک بررسی یا تأیید پیش از بازدید توسط یک مالک یا مشاور املاک جعلی از طریق ایمیل، پیامک یا پیام‌رسان به اهداف فرستاده شده‌اند.

دامنه‌های استفاده شده تازه ثبت‌شده، کوتاه‌مدت و دارای پسوندهای عددی تصادفی مانند apartments-review8509831[.]sbs و ساب‌دامنه‌های وحشی بودند. بررسی لاگ‌های شفافیت گواهی (Certificate Transparency) نشان داد که دامنه‌های بیشتری با الگوهای نام‌گذاری مشابه وجود دارند. کلاینت نصب شده NetSupport به دو دامنه دروازه به نام‌های asgomd[.]com و asgrsv[.]com متصل می‌شد و هفت دامنه اضافی دیگر نیز با پسوندهای مشابه کشف شد.

نکته‌های کلیدی

• استفاده از صفحات جعلی بررسی آپارتمان منتسب به Zillow برای نصب NetSupport RAT
• به کارگیری تکنیک مهندسی اجتماعی ClickFix برای ترغیب کاربران به کپی و اجرای دستور PowerShell
• هدف قرار دادن اجاره‌کنندگان مسکن و کاربران لپ‌تاپ‌های کاری
• استفاده از ابزار مدیریت از راه دور قانونی NetSupport برای اهداف مخرب
• شناسایی دامنه‌های کوتاه‌مدت با پسوندهای عددی تصادفی روی پسوند sbs