بالاخره بعد از ماه‌ها انتظار، بازی موردانتظار GTA 6 به زمان عرضه نزدیک شد و هیجان کاربران برای تجربه جدیدترین نسخه از مجموعه  Grand Theft   Auto به اوج رسیده است. با این حال، پیش از آنکه کاربران برای دانلود بازی به سراغ وب‌سایت‌های مختلف بروند، باید مراقب کلاهبرداران سایبری باشند؛ مجرمانی که از اشتیاق طرفداران این بازی برای انتشار بدافزار و سرقت اطلاعات شخصی آن‌ها استفاده می‌کنند.

پژوهشگران شرکت امنیت سایبری Cynet نوعی بدافزار سرقت اطلاعات را شناسایی کرده‌اند که در قالب فایل دانلود جعلی GTA 6 منتشر می‌شود. این بدافزار با نام WARDEN Stealer می‌تواند اطلاعات حساسی مانند گذرواژه‌های ذخیره‌شده در مرورگر، کوکی‌ها، اطلاعات ورود به حساب‌های استیم و روبلاکس و داده‌های مربوط به کیف پول‌های رمزارزی را از سیستم قربانی استخراج کند.

نکته مهم اینجاست که نسخه رایانه‌های شخصی GTA 6 هنوز عرضه نشده است. طبق اطلاعات منتشرشده، این بازی قرار است ۱۹ نوامبر منتشر شود و در زمان انتشار گزارش، نسخه‌ای برای رایانه‌های شخصی در دسترس نبود. به همین دلیل، هر وب‌سایتی که در این مقطع فایل نصب نسخه PC بازی را ارائه می‌کند، ممکن است کاربران را به دانلود یک فایل آلوده هدایت کند.

بدافزار GTA 6 چگونه وارد سیستم کاربران می‌شود؟

ماجرا از انتشار لینکی با عنوان دانلود فایل اجرایی GTA 6 در یک دفترچه Google Colab آغاز شد. پژوهشگران Cynet  با دنبال‌کردن این لینک به یک فایل فشرده ZIP رسیدند که درون آن یک فایل اجرایی آلوده به بدافزار WARDEN Stealer  قرار داشت.

این لینک کاربران را به صفحه‌ای با نام Windows Software Hub هدایت می‌کرد. صفحه مذکور برای جلب اعتماد مخاطبان، اطلاعاتی مانند شماره نسخه، تعداد دانلودها و نشان‌هایی با عناوین «بدون ویروس»، «ایمن» و «تأییدشده» نمایش می‌داد. همچنین حجم فایل دانلودی در این صفحه ۷۲ مگابایت اعلام شده بود.

با این حال، بررسی فایل فشرده نشان داد که محتوای آن شامل یک فایل اجرایی ۷۹۶ کیلوبایتی و یک فایل راهنمای یک کیلوبایتی است. بررسی‌های بیشتر نشان داد که فایل راهنما از کاربران می‌خواهد برنامه را با دسترسی مدیر سیستم اجرا کنند، هشدارهای امنیتی ویندوز را نادیده بگیرند و در صورت مسدودشدن فایل، آن را به فهرست استثناهای آنتی‌ویروس اضافه کنند.

این درخواست‌ها از جمله نشانه‌های هشداردهنده در فرایند نصب نرم‌افزارهای ناشناس هستند؛ زیرا کاربر را به کنارگذاشتن ابزارهای حفاظتی سیستم تشویق می‌کنند و فرصت اجرای بدافزار را در اختیار مهاجم قرار می‌دهند.

WARDEN Stealer  چه اطلاعاتی را سرقت می‌کند؟

بررسی فایل اجرایی نشان داد که این برنامه هیچ‌کدام از اجزای اصلی یک بازی را در خود ندارد. در این فایل خبری از موتور بازی، محتوای گرافیکی یا امضای دیجیتال شرکت Rockstar نیست. در عوض، کدهای مخربی در آن وجود دارد که برای سرقت اطلاعات و فعالیت پنهانی در سیستم طراحی شده‌اند. 

یکی از قابلیت‌های این بدافزار، بررسی محیط اجرای برنامه است. واردن استیلر می‌تواند  تشخیص دهد که فایل در یک ماشین مجازی یا محیط سندباکس اجرا شده است یا خیر. چنین قابلیتی به بدافزار کمک می‌کند محیط‌های آزمایشی مورد استفاده پژوهشگران امنیتی را شناسایی کند و احتمال آشکارشدن فعالیت‌های مخرب خود را کاهش دهد.

این بدافزار همچنین با تزریق کد به فرایندهای مرورگر، به اطلاعات حساس کاربران دسترسی پیدا می‌کند. گذرواژه‌های ذخیره‌شده، کوکی‌های مرورگر و اطلاعات ورود به سرویس‌هایی مانند Steam و Roblox از جمله داده‌هایی هستند که در معرض سرقت قرار دارند.

خطر این بدافزار به اطلاعات حساب‌های کاربری محدود نمی‌شود. واردن استیلر می‌تواند آدرس کیف پول‌های رمزارزی را که کاربر در حافظه موقت دستگاه کپی کرده است، با آدرس دیگری جایگزین کند. در چنین شرایطی، اگر کاربر بدون بررسی آدرس مقصد اقدام به انتقال رمزارز کند، ممکن است دارایی خود را به کیف پول مهاجم بفرستد.

علاوه بر این، بدافزار قابلیت دریافت و اجرای فایل‌های مخرب دیگری را نیز دارد. این ویژگی به مهاجمان اجازه می‌دهد پس از آلوده‌کردن سیستم، بدافزارهای بیشتری را روی دستگاه قربانی اجرا کنند.

 Cynet  زیرساخت ارتباطی بدافزار را شناسایی کرد

پژوهشگران Cynet دامنه uroker[.]casa را به‌عنوان سرور احتمالی فرماندهی و کنترل (C2) این بدافزار شناسایی کرده‌اند. سرور فرماندهی و کنترل زیرساختی است که بدافزار از طریق آن با مهاجم ارتباط برقرار می‌کند و اطلاعات سرقت‌شده را در اختیار او قرار می‌دهد.

این شرکت همچنین مقادیر هش SHA-256 مربوط به فایل اجرایی و فایل راهنمای بدافزار را منتشر کرده است تا کارشناسان امنیتی بتوانند نمونه‌های آلوده را شناسایی و بررسی کنند.

آدرس IP شماره 104.21.75[.]176 نیز به‌عنوان یکی از شاخص‌های مرتبط با این زیرساخت معرفی شده است. با این حال، Cynet  درباره مسدودسازی این آدرس هشدار داده است؛ زیرا IP مذکور در زیرساخت اشتراکی Cloudflare استفاده می‌شود و مسدودکردن آن می‌تواند دسترسی به سرویس‌های دیگری را نیز مختل کند.

دانلود بازی از منابع ناشناس؛ فرصتی برای کلاهبرداران سایبری

این اتفاق بار دیگر نشان می‌دهد که بازی‌های پرطرفدار و محصولات موردانتظار می‌توانند به ابزاری برای اجرای حملات مهندسی اجتماعی تبدیل شوند. مهاجمان با انتشار فایل‌های جعلی و ایجاد وعده دسترسی زودهنگام، کاربران را به دانلود نرم‌افزارهای آلوده ترغیب می‌کنند.

در چنین شرایطی، دریافت بازی‌ها از منابع رسمی، بی‌توجهی به درخواست‌های مشکوک برای غیرفعال‌کردن آنتی‌ویروس و بررسی اعتبار فایل‌های دانلودی اهمیت زیادی دارد. همچنین کاربران باید پیش از انتقال رمزارز، آدرس مقصد را به‌دقت بررسی کنند تا گرفتار حملاتی مانند جایگزینی آدرس کیف پول نشوند.

انتشار نسخه جعلی GTA 6 نشان می‌دهد مجرمان سایبری برای سرقت اطلاعات و دارایی کاربران، حتی از انتظار آن‌ها برای عرضه یک بازی محبوب نیز استفاده می‌کنند.