بدافزارهای سرقت اطلاعات یا Infostealers، خانواده‌های مجزایی از بدافزارها هستند که با هدف سرقت رمزهای عبور ذخیره‌شده، کوکی‌های نشست (Session Cookies) و کیف پول‌های ارز دیجیتال از دستگاه‌های آلوده طراحی شده‌اند. این داده‌ها سپس به صورت «لاگ‌های آماده» (Ready-made logs) در بازارهای سیاه فروخته می‌شوند. اکثر این بدافزارها در قالب مدل Malware-as-a-Service (MaaS) عرضه می‌شوند، به این معنا که یک توسعه‌دهنده، بدافزار و پنل مدیریتی آن را به مجرمان دیگر اجاره می‌دهد.
چشم‌انداز فعلی بدافزارهای سرقت اطلاعات
در سال ۲۰۲۶، Vidar به پرکاربردترین خانواده Infostealer تبدیل شده است. در حالی که Lumma و StealC همچنان فعال هستند، نهادهای انتظامی توانسته‌اند زیرساخت‌های RedLine، Raccoon و Rhadamanthys را مختل کنند. در سیستم‌عامل macOS نیز Atomic Stealer پیشتاز است. جابجایی در این بازار بسیار سریع است؛ به طوری که Vidar در ابتدای سال ۲۰۲۶ توانست سهم خود را به بیش از ۷۳٪ از میزبان‌های آلوده افزایش دهد.
بررسی خانواده‌های اصلی بدافزار
1. Lumma Stealer (LummaC2)
این بدافزار علاوه بر سرقت اطلاعات، می‌تواند به عنوان یک Backdoor برای نصب بدافزارهای خطرناک‌تر مانند باج‌افزار عمل کند. روش گسترش آن عمدتاً از طریق صفحات جعلی CAPTCHA (تکنیک ClickFix) است. در این روش، قربانی فریب داده می‌شود تا یک دستور PowerShell کدگذاری شده (Base64) را در پنجره Run ویندوز اجرا کند. این اقدام باعث می‌شود بدافزار مستقیماً در حافظه تزریق شود و بسیاری از ابزارهای امنیتی Endpoint را دور بزند.
2. RedLine Stealer
یکی از قدیمی‌ترین و گسترده‌ترین Infostealerها که با زبان C# توسعه یافته است. RedLine داده‌های سرقتی را به فرمت XML تبدیل کرده و از طریق پیام‌های SOAP به سرور C2 ارسال می‌کند. اگرچه در اواخر سال ۲۰۲۴ در عملیات Magnus توسط پلیس بین‌الملل مختل شد، اما لاگ‌های قدیمی آن همچنان در بازارهای سیاه معامله می‌شوند.
3. Vidar Stealer
این بدافزار که از خانواده Arkei مشتق شده، در نسخه 2.0 خود به زبان C بازنویسی شده تا سرعت سرقت داده‌ها افزایش یابد. Vidar از یک Polymorphic Builder استفاده می‌کند تا هر نمونه بدافزار دارای امضای دیجیتال منحصر به فردی باشد و شناسایی آن توسط آنتی‌ویروس‌ها سخت‌تر شود. این بدافزار همچنین برای دریافت آدرس‌های جایگزین C2 از بات‌های تلگرام و پروفایل‌های Steam استفاده می‌کند.
4. StealC و StealC v2
این بدافزار که اغلب همراه با لودر Amadey توزیع می‌شود، در نسخه v2 قابلیت‌های جدیدی مانند پشتیبانی از App-Bound Encryption کروم و ارسال اسکرین‌شات از مانیتورهای متعدد را اضافه کرده است. متد توزیع آن نیز مشابه Lumma، استفاده از صفحات جعلی تایید هویت Cloudflare است.
5. Raccoon Stealer
پس از بازداشت توسعه‌دهنده اصلی در سال ۲۰۲۲، نسخه v2 این بدافزار سریعاً بازگشت. Raccoon v2 رشته‌های متنی و آدرس‌های C2 خود را با الگوریتم‌های RC4 یا XOR رمزگذاری می‌کند تا تحلیل آن دشوار شود.
6. Rhadamanthys Stealer
این بدافزار به دلیل قابلیت‌های پیشرفته مانند استفاده از OCR مبتنی بر هوش مصنوعی برای استخراج عبارت‌های Seed کیف پول‌های دیجیتال از تصاویر، محبوبیت یافت. با وجود مختل شدن در عملیات Endgame در نوامبر ۲۰۲۵، تلاش‌هایی برای بازسازی زیرساخت‌های آن دیده شده است.
راهکارهای شناسایی و مقابله
- مانیتورینگ رفتاری: هشدار در مورد اجرای
powershell.exeیاmshta.exeبا آرگومان‌های کدگذاری شده از طریق پنجره Run ویندوز. - تحلیل ترافیک: شناسایی درخواست‌های غیرعادی به سرویس‌هایی مانند Steam یا Telegram توسط پروسه‌هایی که مرورگر نیستند.
- پاسخ به حادثه: از آنجایی که این بدافزارها در اولین اجرا داده‌ها را می‌سرقت می‌کنند، پاک‌سازی سیستم تنها نیمی از راه است. تغییر رمز عبور و ابطال نشست‌های فعال (Revoke Sessions) از یک دستگاه پاک، حیاتی‌ترین گام است.
