پژوهشگران امنیتی «اینسیکت گروپ» در شرکت Recorded Future از شناسایی زیرساخت‌های تازه‌ای خبر داده‌اند که برای انتشار بدافزار جاسوسی «MarkiRAT» به کار می‌رود. این عملیات به گروهی با شناسه TAG-182 نسبت داده شده و بر اساس ارزیابی پژوهشگران، ایرانیان داخل کشور و همچنین فعالان و مخالفان جمهوری اسلامی در اروپا و آمریکای شمالی، هدف اصلی آن هستند.
مهاجمان برای آلوده‌کردن دستگاه قربانی، بدافزار را پشت ظاهر برنامه‌هایی قرار داده‌اند که برای کاربران ایرانی جذاب یا ضروری به نظر می‌رسند؛ از فیلترشکن رایگان و پخش‌کننده ویدئو گرفته تا نرم‌افزار جعلی منتسب به استارلینک.
نام‌هایی که در این کارزار شناسایی شده‌اند عبارت‌اند از:
- Pis2ray VPN
- YESHICA
- YESHICA YEPlayer
- YEMPlayer
Star VPN و نرم‌افزار جعلی استارلینک
شرکت Recorded Future تاکید کرده است که «Pis2ray VPN» هیچ برنامه رسمی و معتبری در گوگل‌پلی یا اپ‌استور اپل ندارد. فایل‌های آلوده شناسایی‌شده نیز عمدتا با پسوندهای MSI، DLL و ZIP منتشر شده‌اند؛ بنابراین شواهد فنی گزارش بیش از همه به آلودگی کامپیوترهای ویندوزی مربوط است.
شیوه فریب کاربران ایرانی
بررسی‌ها نشان می‌دهد این گروه از محدودیت اینترنت، فیلترینگ گسترده و نیاز کاربران ایرانی به ابزارهای عبور از سانسور سوءاستفاده کرده است. پس از اعتراضات اواخر سال ۲۰۲۵ و قطع اینترنت بین‌المللی، حساب‌هایی در اینستاگرام کاربران فارسی‌زبان را به نصب Pis2ray VPN ترغیب کرده‌اند.
این حساب‌ها خود را حامی اینترنت آزاد و مخالف جمهوری اسلامی معرفی می‌کردند تا اعتماد مخاطبان را جلب کنند. در یکی دیگر از نمونه‌ها، وب‌سایتی با نشانی شبیه سرویس‌های استارلینک، یک برنامه جعلی را با عنوان Star VPN یا اینترنت استارلینک در اختیار کاربران قرار می‌داد.
در چنین عملیات‌هایی، پیام‌هایی مانند «اینترنت رایگان برای مردم ایران»، «فیلترشکن ویژه زمان قطعی» یا «راه اضطراری اتصال به اینترنت» باید با حساسیت بررسی شوند؛ با این حال، این عبارت‌ها به همین شکل در گزارش Recorded Future به‌عنوان نمونه قطعی ذکر نشده‌اند و بهتر است آن‌ها را نشانه‌های عمومی مهندسی اجتماعی بدانیم، نه نقل‌قول مستقیم از پژوهشگران.
بدافزار جاسوسیMarkiRAT چه اطلاعاتی را سرقت می‌کند؟
نمونه‌های پیشین MarkiRAT که از سال ۲۰۱۵ علیه کاربران فارسی‌زبان به کار رفته‌اند، قابلیت‌های گسترده‌ای برای جاسوسی داشته‌اند:
- ثبت کلیدهای فشرده‌شده روی صفحه‌کلید
- سرقت محتوای کپی‌شده در کلیپ‌بورد
- گرفتن مداوم تصویر از صفحه کامپیوتر
- جست‌وجو، فهرست‌برداری و سرقت فایل‌ها
- دانلود و اجرای فایل‌های بیش‌تر
- اجرای فرمان از راه دور
- دستکاری میان‌برهای تلگرام دسکتاپ و مرورگر کروم
- جست‌وجوی اطلاعات موجود در پوشه‌های تلگرام
- سرقت اسناد آفیس، تصاویر، کلیدهای رمزنگاری و فایل‌های KeePass
بر اساس تحلیل کسپرسکی، یکی از نسخه‌های این بدافزار پیش از فعال‌کردن ابزار ثبت صفحه‌کلید، برنامه مدیریت رمزعبور KeePass را می‌بندد. هدف احتمالی این است که کاربر مجبور شود برنامه را دوباره باز کند و رمز اصلی خود را وارد کند؛ رمزی که سپس به‌وسیله بدافزار ثبت می‌شود.
ارتباط احتمالی با ساختار نظارتی جمهوری اسلامی
شرکت Recorded Future می‌گوید گروه موسوم به TAG-182 «تقریبا به‌طور قطعی» بخشی از مجموعه گسترده‌تر گروه‌های سایبری حامی جمهوری اسلامی است؛ مجموعه‌ای که شهروندان ایرانی، فعالان حقوق بشر و شبکه‌های مخالف حکومت را در داخل و خارج کشور زیر نظر می‌گیرد.
در صورت نصب این برنامه‌های آلوده چه کاری باید انجام دهیم؟
اگر یکی از فایل‌های Pis2ray VPN، YEMPlayer، YEPlayer، YESHICA یا نسخه‌های جعلی Star VPN و Starlink را اجرا کرده‌اید:
- بلافاصله اتصال رایانه به اینترنت و شبکه داخلی را قطع کنید.
- با یک دستگاه سالم، رمز ایمیل، پیام‌رسان‌ها، شبکه‌های اجتماعی، حساب بانکی و مدیریت رمزعبور را تغییر دهید.
- نشست‌های فعال حساب‌های مهم را ببندید.
- احراز هویت دومرحله‌ای را فعال و کدهای بازیابی را تعویض کنید.
- سیستم را با ابزار امنیتی به‌روز و قابلیت اسکن آفلاین بررسی کنید.
- فقط حذف برنامه مشکوک را کافی ندانید؛ MarkiRAT می‌تواند فایل‌های دیگری در ویندوز ایجاد کند.
اگر اطلاعات حساس، هویتی یا مرتبط با فعالیت‌های مدنی روی دستگاه وجود داشته، نصب پاک ویندوز یا بررسی تخصصی امنیتی گزینه مطمئن‌تری است.
به یاد داشته باشید که خطر همیشه از یک فایل ناشناس با ظاهری مشکوک نمی‌آید. در فضای به‌شدت فیلترشده ایران، همان ابزاری که با وعده دسترسی آزاد به اینترنت منتشر می‌شود، ممکن است برای شناسایی، کنترل و جاسوسی از کاربران طراحی شده باشد.