بدافزار جدیدی به نام Warden Stealer که یک سرقت‌کننده اطلاعات (Information Stealer) برای سیستم‌عامل ویندوز است، از طریق متدهای متنوعی از جمله ClickFix، تبلیغات مخرب (Malvertising)، نرم‌افزارهای کرک شده و تقلب‌های بازی (Game Cheats) در حال گسترش است. این بدافزار در قالب مدل Malware-as-a-Service (MaaS) عرضه می‌شود که به عوامل تهدید اجازه می‌دهد نسخه‌های سفارشی خود را ساخته و از سرورهای فرماندهی و کنترل (C2) مجزا استفاده کنند.
اهداف و قابلیت‌های عملیاتی
هدف اصلی Warden Stealer سرقت داده‌های مرورگر، رمزهای عبور، کوکی‌ها، جزئیات کیف‌پول‌های ارز دیجیتال و فایل‌های حساس است. اما آنچه این بدافزار را متمایز می‌کند، داشتن یک Loader اختصاصی برای تزریق Payload به حافظه و یک Cryptocurrency Clipper است که می‌تواند آدرس‌های کیف‌پول کپی شده در کلیپ‌بورد را با آدرس‌های تحت کنترل مهاجم جایگزین کند.
روش‌های سرایت و توزیع
عوامل تهدید برای سرایت این بدافزار از چندین مسیر مهندسی اجتماعی استفاده می‌کنند:
- ClickFix: قربانی با یک صفحه جعلی CAPTCHA یا تاییدیه Cloudflare مواجه شده و از او خواسته می‌شود دستوری را کپی و در محیط سیستم اجرا کند که منجر به دانلود Loader می‌شود.
- Malvertising: استفاده از نتایج جستجوی آلوده برای هدایت کاربران به پورتال‌های جعلی دانلود نرم‌افزار یا ابزارهای بهره‌وری.
- نرم‌افزارهای کرک شده: استفاده از فایل‌های نصبی غیرقانونی که کاربران معمولاً در آن‌ها هشدار‌های امنیتی را نادیده می‌گیرند.
تحلیل فنی و تکنیک‌های فرار
این بدافزار با زبان Rust توسعه یافته است تا مهندسی معکوس و شناسایی استاتیک (Static Detection) را دشوار کند. ویژگی‌های فنی برجسته آن عبارتند از:
- تزریق در حافظه: Loader بدافزار را در حافظه بازسازی کرده و آن را به پردازش‌های در حال اجرا (مانند Windows Shell یا msiexec.exe) تزریق می‌کند.
- استفاده از APIهای ویندوز: برای اجرای Payload از توابعی نظیر
VirtualAllocEx،WriteProcessMemoryوCreateRemoteThreadاستفاده می‌کند. - شناسایی محیط‌های تحلیل: Warden Stealer پیش از جمع‌آوری داده‌ها، سیستم را برای یافتن نشانه‌های VMware، VirtualBox و QEMU بررسی می‌کند تا در صورت اجرا در Sandbox یا ماشین مجازی، فعالیت خود را متوقف کند.
هدف قرار دادن ابزارهای AI و دور زدن رمزنگاری
یکی از جنبه‌های نگران‌کننده این بدافزار، تلاش برای دور زدن سیستم Application-Bound Encryption (ABE) در مرورگرهای مبتنی بر Chromium است تا بتواند به رمزهای عبور و کوکی‌های محافظت شده دسترسی یابد. همچنین، این بدافزار به طور ویژه فایل‌های مربوط به دستیارهای AI و ایجنت‌های کدنویسی مانند Claude، Codex، Grok و Cursor را هدف قرار می‌دهد تا توکن‌های دسترسی (Access Tokens)، تاریخچه گفتگوها و اسرار API را سرقت کند.
توصیه‌های امنیتی برای SOC و مدیران امنیت
به تیم‌های امنیتی توصیه می‌شود اقدامات زیر را به سرعت اجرا کنند:
- بلاک کردن دامین‌های C2 شناسایی شده و جستجوی هش‌های (Hashes) مربوطه در شبکه.
- مانیتورینگ رفتارهای مشکوک
certutil.exeبرای دانلود فایل‌های غیرمعمول در دایرکتوری‌های Temporary. - بررسی تزریق‌های غیرمنتظره در پردازش‌های مرورگر و استفاده از
CreateRemoteThread. - آموزش کاربران برای عدم اجرای دستورات کپی شده از صفحات وب (به ویژه در سناریوهای CAPTCHA جعلی).
