اینفواستیلرها میلیونها دستگاه رو به ماشین دزدیدن رمز عبور تبدیل کردن
خلاصهٔ کاملتر
به گزارش SecurityWeek و بر پایهی گزارش شرکت Flashpoint، اینفواستیلرها (بدافزارهایی که اطلاعات رو میدزدن) به منبع اصلی رمزهای عبور دزدیدهشده برای مهاجمها تبدیل شدن. ایدهی اصلی مقاله اینه که مهاجمها دیگه لازم نیست بهزور وارد بشن؛ با این رمزها مثل یه مهمون دعوتشده وارد میشن که هم سریعتره، هم کمسروصداتر و هم مؤثرتر.
طبق این گزارش، تو سال ۲۰۲۵ بیش از ۱۱.۱ میلیون دستگاه به اینفواستیلر آلوده شدن و بیش از ۳.۳ میلیارد رمز عبور، آرتیفکت مرورگر، اطلاعات نشست و انواع دادهی هویتی الان تو بازارهای غیرقانونی میچرخه. این دادهها فقط درِ ورود به یه هدف رو باز نمیکنن، بلکه اغلب دسترسی مجاز و بدون مزاحمت به دادههای باارزش رو فراهم میکنن؛ یعنی از کنار دفاعهای امنیتی رد میشن.
Flashpoint بیش از ۳۰ گونهی متفاوت از این بدافزارها رو پیدا کرده، ولی بازارش تقریباً هر روز عوض میشه. این بدافزارها معمولاً بهصورت malware-as-a-service و حتی ماهی فقط ۶۰ دلار اجاره داده میشن. تو سال ۲۰۲۵ موفقترینها بهترتیب Lumma، Acreed، Rhadamanthys، Vidar و StealC بودن؛ ولی تو دو ماه اول ۲۰۲۶ ورق برگشت و Vidar از رتبهی چهارم به صدر اومد و بیش از ۷۳٪ از کل دستگاههای آلوده رو به خودش اختصاص داد، در حالی که Lumma که سال قبل اول بود فقط ۱.۱٪ شد.
نویسنده توضیح میده که این بدافزارها هرکدوم ممکنه فرایند و هدف متفاوتی داشته باشن، ولی کارشون زیرمجموعهای از یه الگوی مشترکه. اول ممکنه چک کنن که آیا تو یه سندباکس (محیط ایزولهی ابزارهای امنیتی) اجرا میشن یا نه؛ اگه آره، فوری کارشون رو متوقف میکنن تا لو نرن. کدشون هم معمولاً از رمزگذاری و مبهمسازی رشتهها استفاده میکنه تا ابزارهای تحلیل ایستا نتونن شناساییشون کنن، و این رمزگشایی فقط برای یه لحظهی کوتاه تو حافظه قابل دیدنه.
هدف اصلی این بدافزارها رمزهای عبوره: از پسوردهای سایتها و اطلاعات سازمانی (VPN، RDP، VNC، وبمیل) گرفته تا لاگین SaaS، اطلاعات پلتفرمهای ابری، حسابهای ایمیل و حتی محتوای پسورد منیجرها و دادههای autofill. کنارش کوکی مرورگر، توکن نشست فعال، اطلاعات کیف پول رمزارز (مثل seed و کلید خصوصی) و دادهی کارتهای اعتباری رو هم جمع میکنن. با ترکیب این دادهها و متادیتای سیستم (نسخهی OS، سختافزار، IP و...) فقط هویت رو نمیدزدن، بلکه «زمینه» رو هم با خودشون میبرن.
در آخر، بدافزار همهی اینها رو تو فایلهایی به اسم stealer log بستهبندی میکنه، احتمالاً فشرده و رمزگذاریشون میکنه تا از دست DLP سازمان قایم بمونه، و بعد میفرسته به یه سرور تحت کنترل مهاجم. مهاجم هم معمولاً این لاگها رو به گروههای مجرم میفروشه و یکی از کاربردهای رایجش اینه که با همون هویتهای دزدیدهشده بیسروصدا وارد بشن و باجافزار رو فعال کنن. نویسنده هشدار میده که بیشتر قربانیها تا وقتی با رمزهای خودشون (ولی دزدیدهشده) نفوذ نشدن، اصلاً خبر ندارن که قربانی شدن.
نکات کلیدی:
- تو ۲۰۲۵ بیش از ۱۱.۱ میلیون دستگاه آلوده شدن و ۳.۳ میلیارد دادهی هویتی در گردشه
- اینفواستیلرها بهصورت سرویس و از ماهی ۶۰ دلار اجاره داده میشن
- Vidar تو ۲۰۲۶ با بیش از ۷۳٪ سهم، صدرنشین آلودگیها شده
- هدف اصلی رمز عبوره، ولی کوکی، توکن نشست، کیف پول رمزارز و کارت اعتباری هم میدزدن
- بین آلودگی و باجخواهی معمولاً فاصلهی کوتاهیه و قربانی تا لحظهی نفوذ بیخبره
