بدافزار سرقت اطلاعات DarkCloud برای سرقت اطلاعات حساب‌ها، ارزهای دیجیتال و مخاطبین دوباره راه‌اندازی شد

محققان TRU آخرین نسخه DarkCloud Infostealer، نسخه ۴.۲، را در جریان یک حمله ناموفق در سپتامبر ۲۰۲۵ علیه مشتری خود در صنعت تولید کشف کردند.
دارک کلود چیز جدیدی نیست، اما با استفاده از یک زبان برنامه‌نویسی به نام VB6 کاملاً بازنویسی شده است. این نرم‌افزار قبلاً در انجمن جرایم سایبری روسی XSS.is فروخته می‌شد که در ژوئیه ۲۰۲۵ توسط نیروی نظامی تعطیل شد.
همانطور که Hackread.com در آن زمان گزارش داد، این سایت در ۲۳ ژوئیه ۲۰۲۵، پس از دستگیری یک مدیر مظنون در اوکراین توسط مقامات، توقیف شد. با این حال، تا ۲۴ ژوئیه، تأیید شد که انجمن XSS با استفاده از دامنه‌های mirror و .onion خود دوباره آنلاین شده است .
امروزه، این بدافزار در وب‌سایت خودش فروخته می‌شود darkcloud(.)onlinewebshop(.)netو همچنین از طریق برنامه پیام‌رسان تلگرام توسط کاربری به نام @BluCoder ارائه می‌شود .

فریب فیشینگ
شرکت eSentire TRU توضیح داد که این حمله با یک ایمیل فیشینگ که به نظر می‌رسید در مورد اطلاعات مالی است و یک فایل فشرده مخرب به آن پیوست شده بود، آغاز شد. این ایمیل توسط ” procure@bmuxitq(.)shop” ارسال شده و موضوع آن “Swift Message MT103 Addiko Bank ad: FT2521935SVT” بود.
فایل فشرده مخرب پیوست شده “Swift Message MT103 FT2521935SVT.zip” نام داشت.
محققان در پست وبلاگی که با Hackread.com به اشتراک گذاشته شده است ، خاطرنشان کردند که این نشان می‌دهد که «ایمیل‌های فیشینگ همچنان یک عامل کلیدی برای توزیع بدافزار هستند» . این بدان معناست که این ایمیل‌های جعلی هنوز یکی از راه‌های اصلی ورود این نرم‌افزار به سیستم هستند. محققان ایمیل‌های اسپم را شناسایی کرده و در سپتامبر ۲۰۲۵، توزیع DarkCloud Infostealer را برای کلاینت خود متوقف کردند.

ابزار سرقت اطلاعات DarkCloud چه چیزهایی را می‌دزدد؟
این بدافزار برای سرقت انواع مختلف اطلاعات حساس طراحی شده است. این اطلاعات شامل رمزهای عبور مرورگر، شماره کارت‌های اعتباری، کوکی‌های وب‌سایت، جزئیات ورود به FTP، آنچه تایپ می‌کنید (کلمات کلیدی) و حتی محتوای کلیپ‌بورد شما می‌شود.
همچنین فایل‌هایی مانند اسناد و صفحات گسترده (از جمله پسوندهایی مانند .txt, .pdf, .doc، .xls، و کیف پول‌های ارز دیجیتال را هدف قرار می‌دهد و اطلاعات تماس را از برنامه‌های ایمیل، از جمله Thunderbird، MailMaster و eM Client استخراج می‌کند. سپس تمام این داده‌های سرقت شده با استفاده از کانال‌هایی مانند تلگرام، FTP، ایمیل یا حتی یک پنل وب با استفاده از اسکریپت‌های PHP برای مجرمان ارسال می‌شود.

با دزد اطلاعات DarkCloud مبارزه کنید
شرکت eSentire TRU نه تنها این تهدید را تجزیه و تحلیل کرده، بلکه دو برنامه مفید نیز برای کمک به سایر محققان امنیتی منتشر کرده است. یکی از ابزارها می‌تواند جزئیات تنظیمات بدافزار را استخراج کند و دیگری یک اسکریپت مبتنی بر پایتون است که می‌تواند کد مخفی آن را رمزگشایی کند. برای محافظت از خود در برابر تهدیداتی از این دست، محققان توصیه می‌کنند از محافظت ایمیلی استفاده کنید که فایل‌های مشکوکی مانند پوشه‌های فشرده شده با برنامه‌های اجرایی درون آنها را مسدود می‌کند.