گروه APT روسی موسوم به COLDRIVER (با نام‌های Callisto، Star Blizzard و UNC4057 نیز ردیابی می‌شود) به دور جدیدی از حملات ClickFix نسبت داده شد که برای تحویل دو خانواده بدافزاری بهینه‌‌شده با نام‌های BAITSWITCH و SIMPLEFIX طراحی شده‌اند.
شرکت Zscaler ThreatLabz که این کمپین چند مرحله‌ای ClickFix را اوایل ماه سپتامبر کشف کرد، BAITSWITCH را به عنوان دانلودری توصیف کرد که در نهایت درب‌پشتی مبتنی بر پاورشل به نام SIMPLEFIX را نصب می‌کند. اگرچه موج‌های اولیه این کمپین با استفاده از فریب‌های فیشینگ نیزه‌ای جهت هدایت اهداف به صفحات جمع‌آوری اعتبار دیده می‌شدند، این گروه توسعه نرم‌افزاری خود را با ابزارهای سفارشی مانند SPICA و LOSTKEYS انجام داد که بیانگر پیچیدگی فنی آن است. زنجیره حمله جدید از همان روش کار پیروی می‌کند و کاربران ناآگاه را برای اجرای DLL مخرب در کادر Run ویندوز تحت پوشش تکمیل چک CAPTCHA فریب می‌دهد. فایل DLL موسوم به BAITSWITCH برای دریافت درب‌پشتی SIMPLEFIX به دامنه تحت کنترل نفوذگر متصل می‌شود، در حالی که فایل جعلی میزبانی شده در Google Drive به قربانیان ارائه می‌شود.
https://thehackernews.com/2025/09/new-coldriver-malware-campaign-joins-bo.html
