به گزارش کارگروه امنیت سایبربان , بخش تحقیقات تهدیدات در شرکت امنیت سایبری روسی کسپرسکی لب، تجزیه و تحلیل خود را از RenEngine، یک دانلودکننده مخرب که اخیراً توجه زیادی را به خود جلب کرده است، منتشر کرده است. این شرکت نسخه‌هایی از این بدافزار را در مارس ۲۰۲۵ شناسایی کرد و تأیید کرد که از آن زمان تاکنون، راه‌حل‌های امنیتی آن از کاربران در برابر تهدید آن محافظت کرده‌اند.
فراتر از بازی‌های هک کننده ذکر شده در گزارش‌های قبلی، محققان توضیح دادند که مهاجمان ده‌ها وب‌سایت برای توزیع RenEngine از طریق نرم‌افزار‌های دزدی، از جمله نرم‌افزار ویرایش گرافیک CorelDRAW، ایجاد کرده‌اند. این نشان می‌دهد که این حمله گسترش یافته و شامل کسانی می‌شود که به دنبال نسخه‌های بدون مجوز نرم‌افزار و نه فقط جامعه بازی هستند.
این گزارش حملاتی را در روسیه، برزیل، ترکیه، اسپانیا، آلمان و سایر کشور‌ها شناسایی کرده است. الگوی گسترش نشان می‌دهد که این حملات فرصت‌طلبانه هستند و به جای اینکه به نظر برسد بخشی از یک عملیات هدفمند دقیق هستند، از فرصت‌ها به طور تصادفی سوءاستفاده می‌کنند.
RenEngine در را به روی سارقان جهانی باز می‌کند
در اولین شناسایی، از RenEngine برای توزیع بدافزار مخفی Lumma استفاده شد. در حملات فعلی، از آن برای توزیع ACR Stealer به عنوان آخرین بار استفاده می‌شود و بدافزار مخفی Vidar نیز در برخی از زنجیره‌های آلودگی ظاهر می‌شود.
این کمپین مخرب به نسخه‌های اصلاح‌شده بازی‌های ساخته شده بر روی موتور داستان بصری Ren'Py متکی است. هنگامی که نصب‌کننده آلوده اجرا می‌شود، یک صفحه بارگذاری جعلی برای کاربر ظاهر می‌شود، در حالی که اسکریپت‌های مخرب در پس‌زمینه اجرا می‌شوند.
این اسکریپت‌ها شامل قابلیت‌هایی برای شناسایی محیط‌های sandbox و سپس رمزگشایی یک بار داده هستند که با استفاده از ابزار قابل تنظیم HijackLoader برای توزیع بدافزار، واکنش زنجیره‌ای از آلودگی‌ها را آغاز می‌کند.
پاول سیننکو، تحلیلگر ارشد بدافزار در بخش تحقیقات تهدید، در مورد این تحولات گفت که این تهدید دیگر محدود به بازی‌های غیرقانونی نیست. مهاجمان اکنون از همین روش برای انتشار بدافزار از طریق نرم‌افزار‌های بهره‌وری غیرقانونی استفاده می‌کنند و تعداد قربانیان را به طور قابل توجهی افزایش می‌دهند.
قالب‌های فایل بازی نیز بسته به موتور بازی و عنوان آن متفاوت است. اگر موتور نتواند منابع خود را به درستی بررسی کند، مهاجمان می‌توانند بدافزاری را جاسازی کنند که به محض کلیک قربانی روی دکمه پخش، فعال می‌شود.
