بدافزار Vidar که از سال ۲۰۱۸ به عنوان یکی از خطرناک‌ترین ابزارهای سرقت اطلاعات (Information Stealer) شناخته می‌شود، در نسخه‌های جدید خود تغییرات استراتژیکی در متدهای مبهم‌سازی (Obfuscation) ایجاد کرده است تا شناسایی توسط تحلیل‌گران و سیستم‌های امنیتی را دشوارتر کند.
تغییر رویکرد در پنهان‌سازی کد
تحقیقات اخیر نشان می‌دهد که اپراتورهای Vidar از روش‌های ساده مانند رمزنگاری XOR و روتین‌های تغییریافته ChaCha20 عبور کرده و اکنون از یک ماشین مجازی (Virtual Machine) سفارشی و یک Stream Cipher استفاده می‌کنند که در هر Build جدید، تغییر می‌کند. این رویکرد مستقیماً رشته‌های متنی (Strings) کد را هدف قرار می‌دهد؛ بخش‌هایی از کد که معمولاً دستورات، پیکربندی‌ها و پیام‌های خطا را فاش کرده و به تحلیل‌گران در شناسایی رفتار بدافزار کمک می‌کنند.
مکانیسم عملکرد ماشین مجازی در Vidar
در نسخه‌های 2.x و 3.x، این بدافزار یک ماشین مجازی کوچک را از طریق یک Bytecode Interpreter اجرا می‌کند. این سیستم با پردازش مجموعه‌ای از دستورات، مقادیر را رمزگشایی کرده و متن نهایی را تنها در نقاط خاصی منتشر می‌کند. ویژگی کلیدی این طراحی، عدم ثبات عمدی است:
- استفاده از یک جدول ۲۵۶ ورودی با ۱۴ هندلر دستور (Instruction Handler).
- اجرای عملیات‌های پایه مانند جمع، تفریق، چرخش (Rotation) و ضرب.
- تغییر مداوم Opcodeها، ثابت‌ها و جداول جستجو (Lookup Tables) در هر نسخه.
- به‌کارگیری یک کلید XOR چهار بایتی متغیر برای Seed کردن Interpreter.
چالش‌های تحلیل و شناسایی
برخلاف Packerهای استاتیک که پس از یک بار Unpack شدن، الگوهای آن‌ها شناسایی می‌شود، Vidar با تغییر جزئیات در هر نسخه، Signatureهای فایل-محور و تحلیل‌های خودکار را ناکارآمد می‌کند. تحلیل‌گران برای دسترسی به متن‌های معنادار بدافزار، ابتدا باید Interpreter متغیر هر نسخه را بازسازی کنند.
برداری حمله و توصیه‌های امنیتی
این بدافزار همچنان از طریق مهندسی اجتماعی (Social Engineering)، نصب‌کننده‌های جعلی نرم‌افزارها (مانند Gemini) و دانلودهای مخرب از پلتفرم‌های ویدئویی منتشر می‌شود. با توجه به توانایی Vidar در سرقت کوکی‌های مرورگر، رمزهای ذخیره شده و فایل‌های Wallet، یک دستگاه آلوده در شبکه سازمانی می‌تواند منجر به دسترسی گسترده به اپلیکیشن‌های شرکتی و سرویس‌های مالی شود.
توصیه‌های فنی برای تیم‌های SOC و مهندسین امنیت:
- تمرکز بر تحلیل رفتاری (Behavioral Analysis) به جای تکیه بر Signatureهای استاتیک.
- پایش دقیق فعالیت‌های غیرعادی در دسترسی به داده‌های مرورگر و اتصالات شبکه مشکوک.
- محدود کردن دانلود نرم‌افزارهای تایید نشده در محیط‌های سازمانی.
- در صورت شناسایی عفونت، بازنشانی فوری (Reset) اعتبارنامه‌ها و ابطال Sessionهای فعال.
