پژوهشگران شرکت دکتر وب (Dr.Web) از شناسایی و تحلیل یک تهدید پیشرفته با نام بکدور Siggen خبر داده‌اند؛ بدافزاری که توسعه‌دهندگان ویندوز را با آلوده‌سازی پروژه‌های ویژوال استودیو (Visual Studio) هدف قرار می‌دهد و با سوءاستفاده از سرویس‌هایی مانند استیم (Steam) برای مدیریت ارتباط با سرورهای فرماندهی و کنترل (C2)، قادر به سرقت رمزهای عبور، کوکی‌های مرورگر، توکن‌های احراز هویت، داده‌های تلگرام و اطلاعات کیف پول‌های رمزارزی است. بررسی‌های پژوهشگران نشان می‌دهد بکدور Siggen از زمان شناسایی در سه‌ماهه پایانی سال 2025 به‌طور مداوم توسط عاملان آن به‌روزرسانی شده است. مهاجمان با افزودن قابلیت‌های جدید، روش‌های اجرای متنوع و تکنیک‌های فرار از شناسایی، این بدافزار را به ابزاری تبدیل کرده‌اند که علاوه بر فراهم کردن دسترسی از راه دور به سیستم‌های آلوده، مانیتورینگ کلیپ‌بورد، تزریق کد مخرب به پروژه‌های C++ و C#و نصب ماینرهای استخراج رمزارز، تهدیدی جدی برای محیط‌های توسعه نرم‌افزار و زنجیره تأمین نرم‌افزار محسوب می‌شود.
زنجیره آلودگی بکدور Siggen
حمله با اجرای فایل‌های اجرایی آلوده یا اسکریپت‌های مخرب پایتون آغاز می‌شود. مهاجمان در اپلیکیشن‌های آلوده ویندوز، تابعی را به کد اپلیکیشن اضافه می‌کنند که هنگام اجرای عادی آن، بدون جلب توجه کاربر، پاورشل (PowerShell) را در پس‌زمینه اجرا می‌کند. پاورشل نیز کامپوننت بعدی بدافزار را دانلود و اجرا کرده و زمینه را برای ادامه زنجیره آلودگی فراهم می‌سازد.
اسکریپت‌های مخرب پایتون نیز از همین الگوی آلودگی پیروی می‌کنند. کد مخرب موجود در این فایل‌ها با استفاده از یک مکانیزم مبتنی بر رمزنگاری متقارن با نام فرنت (Fernet) رمزگذاری شده و در میان دنباله‌ای طولانی از کاراکترهای فضای خالی (Whitespace Characters) پنهان می‌شود. پس از اجرای اسکریپت، این کد ابتدا رمزگشایی شده و سپس کدی را اجرا می‌کند که کامپوننت بعدی بدافزار را نصب کرده و زنجیره آلودگی را ادامه می‌دهد.
پس از آلوده شدن سیستم ویندوزی، دانلودکننده بدافزار ابتدا بررسی می‌کند که آیا روی یک محیط آزمایشی یا تحلیلی اجرا شده است یا خیر. سپس با ایجاد یک میوتکس (Mutex)، از اجرای مجدد بدافزار روی یک سیستم جلوگیری می‌کند. در گام بعدی، بدافزار با جست‌وجو در سرویس‌های عمومی آنلاین، آدرس سرورهای فرماندهی و کنترل (C2) را استخراج کرده و ارتباط خود را با زیرساخت مهاجمان برقرار می‌کند.
بر اساس گزارش دکتر وب، مهاجمان دامنه سرورهای C2 را در پروفایل‌های عمومی استیم قرار داده و داده‌های رمزگذاری‌شده مربوط به آدرس این سرورها را نیز در فایل‌های عمومی گیت‌هاب ذخیره کرده‌اند. استفاده از سرویس‌های شناخته‌شده‌ای مانند استیم به آن‌ها اجازه می‌دهد بدون نیاز به درج آدرس ثابت سرور در هر نمونه بدافزار، اطلاعات مربوط به سرورهای C2 را در هر زمان به‌روزرسانی کنند.
پس از شناسایی یک سرور فعال، دانلودکننده کد مخرب را به یکی از 41 فایل اجرایی از پیش تعیین‌شده در دایرکتوری Windows System32 تزریق می‌کند. سپس آدرس سرور فعال و شناسه بدافزار از طریق یک پایپ نام‌گذاری‌شده (Named Pipe) با نام pipe\VccFrameworkchannel به بکدور اصلی منتقل می‌شود. پایپ نام‌گذاری‌شده یکی از سازوکارهای ارتباطی ویندوز است که امکان تبادل داده میان پردازه‌های مختلف را فراهم می‌کند.
بکدور Siggen اطلاعات مرورگر و کیف پول‌های رمزارزی را سرقت می‌کند
بکدور Siggen پس از فعال شدن، کنترل از راه دور سیستم آلوده را در اختیار مهاجمان قرار می‌دهد. مهاجمان با استفاده از این بدافزار می‌توانند:
- فرمان‌های مختلفی را روی سیستم آلوده اجرا کنند.
- فایل‌ها را دانلود یا اجرا کنند.
- دایرکتوری‌ها و مسیرهای موجود در سیستم را بررسی کنند.
- داده‌های موردنظر خود را سرقت کنند.
- با استفاده از پروکسی معکوس (Reverse Proxy)، ترافیک ارتباطی را از طریق دستگاه آلوده هدایت کنند.
همچنین این بدافزار اطلاعات حساب‌های کاربری و داده‌های اپلیکیشن‌های مختلف را از سرویس‌های پرکاربرد جمع‌آوری می‌کند. اطلاعات هدف شامل توکن‌های احراز هویت دیسکورد (Discord)، پوشه‌های تلگرام دسکتاپ، رمزهای عبور ذخیره‌شده و کوکی‌های مرورگر در مرورگرهای مبتنی بر کرومیوم (Chromium) مانند بریو (Brave)، اج (Edge)، اپرا (Opera)، کروم (Chrome)، یاندکس (Yandex Browser) و سایر مرورگرهای مشابه است.
نکته قابل توجه اینکه این بدافزار برای سرقت اعتبارنامه‌های ذخیره‌شده در مرورگرها از دو روش استفاده می‌کند. در روش نخست، داده‌های ذخیره‌شده را به‌صورت مستقیم استخراج می‌کند و در روش دوم، با تزریق کد (Code Injection) به پردازه فعال مرورگر، رمزهای عبور واردشده توسط کاربر را رهگیری می‌کند. اطلاعات سرقت‌شده نیز پیش از ارسال به مهاجمان، در فایل‌های متنی لوکال ذخیره می‌شوند.
کیف پول رمزارزی Exodus نیز یکی از اهداف این بکدور است. بکدور Siggen فایل app.asar این کیف پول را شناسایی کرده و نسخه دستکاری‌شده‌ای را که از سرور تحت کنترل مهاجمان دریافت می‌کند، جایگزین فایل اصلی می‌سازد. کد جاوااسکریپت مخرب (Malicious JavaScript) تعبیه‌شده در این فایل نیز هنگام دسترسی کاربر به کیف پول، عبارت بازیابی را رهگیری کرده و برای مهاجمان ارسال می‌کند.
برای درک بهتر، فایل app.asar یک آرشیو مورد استفاده در اپلیکیشن‌های مبتنی بر الکترون (Electron Applications) است که بخش قابل‌توجهی از کد و منابع اپلیکیشن، از جمله فایل‌های جاوااسکریپت، کامپوننت‌های رابط کاربری و منطق اجرایی اپلیکیشن را در خود جای می‌دهد.
در کیف پول Exodus، دستکاری فایل app.asar به مهاجمان اجازه می‌دهد عملکرد اپلیکیشن را تغییر دهند. آن‌ها با جایگزین کردن فایل اصلی با نسخه‌ای آلوده، کد جاوااسکریپت مخرب خود را به اپلیکیشن تزریق می‌کنند؛ کدی که هنگام دسترسی کاربر به کیف پول، عبارت بازیابی را رهگیری کرده و به سرور مهاجمان ارسال می‌کند.
این بدافزار علاوه بر سرقت اطلاعات، محتوای کلیپ‌بورد سیستم را نیز به‌طور مداوم بررسی می‌کند تا اطلاعاتی مانند شماره کارت‌های بانکی و آدرس کیف پول‌های رمزارزی را شناسایی کند. اگر کاربر آدرس یک کیف پول رمزارزی را کپی کند، بدافزار آن را با آدرسی که از سرور فرماندهی و کنترل (C2) دریافت کرده جایگزین می‌کند؛ در نتیجه، تراکنش به آدرس کیف پول مهاجمان هدایت می‌شود.
یکی دیگر از قابلیت‌های این بدافزار، سوءاستفاده از توان پردازشی سیستم آلوده برای استخراج رمزارز است. برای این منظور، بدافزار یک کامپوننت جداگانه دانلود می‌کند که وظیفه نصب و اجرای ماینرهای رمزارزی مبتنی بر XMRig، T-Rex یا TeamRedMiner را بر عهده دارد.
گسترش آلودگی از طریق پروژه‌های ویژوال استودیو
از آنجا که توسعه‌دهندگان هدف اصلی این حمله هستند، بکدور Siggen تنها به آلوده کردن سیستم قربانی بسنده نمی‌کند، بلکه با دستکاری محیط توسعه تلاش می‌کند آلودگی را به پروژه‌ها و در نهایت به سیستم‌های دیگر گسترش دهد.
این بکدور تمامی درایوهای سیستم را اسکن می‌کند تا فایل‌های اجرایی، داده‌های پیکربندی ویژوال استودیو، فایل‌های پروژه C++ و C#، فایل‌های هدر کیت توسعه نرم‌افزار ویندوز (Windows SDK) و همچنین کد منبع Dear ImGui را شناسایی کند.
به گفته پژوهشگران، مهم‌ترین فایل‌هایی که توسط این بدافزار هدف قرار می‌گیرند عبارتند از:
- .suo
- .exe
- .vcxproj
- .csproj
- h
- cpp
توصیه‌های امنیتی برای توسعه‌دهندگان
پژوهشگران به توسعه‌دهندگان توصیه می‌کنند برای جلوگیری از آلودگی به بکدور Siggen، هرگونه تغییر مشکوک در فایل‌های پروژه را با دقت بررسی کنند، دستورهای پیش از ساخت (Pre-build Commands) را بازبینی کنند، کدهای منبع و فایل‌های باینری دانلودشده را اسکن کنند و پیش از کامپایل پروژه‌های شخص ثالث، از صحت و سلامت محیط توسعه خود اطمینان حاصل کنند.
اگرچه پژوهشگران دکتر وب هنوز موفق به شناسایی روش اولیه نفوذ این بدافزار نشده‌اند، اما به کاربران ویندوز توصیه می‌کنند از دانلود فایل‌ها از وب‌سایت‌های شخص ثالث و غیرقابل اعتماد و همچنین باز کردن پیوست‌های ارسالی از فرستندگان ناشناس خودداری کنند. به‌روزرسانی منظم ویندوز و نرم‌افزارهای نصب‌شده و بررسی لینک‌ها و فایل‌های مشکوک با استفاده از ویروس‌توتال(VirusTotal) نیز می‌تواند ریسک آلودگی را به‌طور قابل توجهی کاهش دهد.
