باج افزار Fantom، حمله با نقاب بروزرسانی ویندوز در ۲۰۲۶

در سال ۲۰۲۶، باج افزارها نه تنها از نظر تعداد، بلکه از نظر تکنیک های فریب کاربر نیز به سطح جدیدی رسیده اند. یکی از نمونه های کلاسیک که هنوز هم در کمپین های هدفمند دیده می شود، باج افزار Fantom است، بدافزاری که خود را در قالب یک “بروزرسانی حیاتی ویندوز” جا میزند و در پس زمینه، فایل های کاربر را رمزنگاری میکند.

این مقاله، نسخهٔ بروزشده تحلیل Fantom است و با نگاهی فنی و مبتنی بر داده های ۲۰۲۶، هم سازوکار حمله را تشریح میکند و هم راهکارهای عملی پیشگیری و پاسخ به INCIDENT را – با تکیه بر توصیه های رسمی کسپرسکی – ارائه میدهد.

چرا Fantom هنوز در سال ۲۰۲۶ خطرناک است؟

شاید در نگاه اول Fantom یک تهدید قدیمی بنظر برسد، اما در اکوسیستم ۲۰۲۶ دو عامل باعث تداوم اهمیت آن شده است:

• الگوی “تقلید از بروزرسانی ویندوز” امروزه توسط خانواده های جدید باج افزار (مانند Big Head و برخی کمپین های Interlock) نیز تکرار شده و نشان میدهد این تکنیک همچنان مؤثر است.
• گزارش های ۲۰۲۶ نشان میدهند سرقت داده و باج گیری سازمانی به اوج رسیده؛ در چنین فضایی، هر بدافزاری که بتواند کاربر نهایی را فریب دهد، میتواند بعنوان نقطه ورود اولیه (Initial Access) برای عملیات بزرگتر استفاده شود.

به بیان دیگر، Fantom ممکن است بتنهایی یک کمپین انبوه نباشد، اما الگوی رفتاری آن در زنجیره حملات ۲۰۲۶ تکرار می شود و شناخت دقیق آن برای تیم های امنیت و کاربران سازمانی ضروری است.

سازوکار فنی Fantom: از اجرا تا رمزنگاری

Fantom بر پایه کد منبع باز EDA2 ساخته شده و رفتار آن در چند مرحلهٔ مشخص قابلردیابی است:

1. اجرای فایل جعلی: فایل اجرایی (در نمونه های اولیه با نام هایی مانند `criticalupdate01.exe`) با ویژگی هایی شبیه به فایل های مایکروسافت توزیع می شود و کاربر را ترغیب به اجرا میکند.
2. نمایش صفحهٔ جعلی Windows Update: بدافزار یک برنامه داخلی با نام `WindowsUpdate.exe` را اجرا میکند که یک صفحهٔ تمام صفحه با نوار پیشرفت درصدی نمایش میدهد؛ دقیقاً شبیه به بروزرسانی واقعی ویندوز.
3. رمزنگاری در پس زمینه: همزمان با نمایش این صفحه، ماژول رمزنگار شروع به اسکن و رمزنگاری فایل های کاربر میکند. نوار پیشرفت در واقع پیشرفت رمزنگاری را نشان میدهد، نه بروزرسانی.
4. نمایش باج نامه: پس از اتمام رمزنگاری، فایلهای اجرایی پاک شده و یک باج نامه (معمولاً با نامهایی مانند `Decrypt_Your_Files.HTML` یا `a.html`) نمایش داده میشود که از کاربر میخواهد برای دریافت کلید رمزگشایی با مهاجمان تماس بگیرد.

آمار و زمینه تهدید باج افزار در ۲۰۲۶

برای درک بهتر اهمیت موضوع، نگاهی به داده های رسمی ۲۰۲۶ بیندازیم:

• طبق گزارش ThreatLabz زاسکیلر (آوریل ۲۰۲۵ تا مارس ۲۰۲۶)، حجم داده های سرقت شده توسط گروه های باج افزاری بیش از ۲۷۵٪ افزایش یافته و به ۸۹۶.۲ ترابایت رسیده است.
• میانگین پرداخت باج در همین بازه زمانی ۵.۳٪ رشد داشته و به ۴۳۱٬۹۹۵ دلار رسیده است؛ مجموع پرداخت های مرتبط با باج افزار نیز به ۳۲۸ میلیون دلار رسیده است.
• در گزارش Q2 2026 چکپوینت، تعداد قربانیان جدید منتشرشده در سایتهای نشت داده تقریبا ثابت مانده (۲٬۱۳۹ قربانی در Q2 در مقابل ۲٬۱۲۲ در Q1)، که نشان دهنده تداوم فعالیت بالای گروه هاست.

این آمار نشان میدهد که باج افزار در ۲۰۲۶ نه تنها کاهش نیافته، بلکه به سمت سرقت داده حجیم تر و هدفگیری نقشهای مدیریتی (۶۲٪ قربانیان در گزارش زاسکیلر) حرکت کرده است. در چنین محیطی، هر بدافزاری که بتواند بعنوان دروازه ورود عمل کند – حتی یک نمونهٔ قدیمیتر مثل Fantom – اهمیت عملیاتی پیدا میکند.

تفاوت Fantom با باج افزارهای جدید ۲۰۲۶

این جدول نشان میدهد که چرا Fantom بتنهایی ممکن است یک تهدید انبوه نباشد، اما الگوی آن در تاکتیکهای ۲۰۲۶ تکثیر شده است.

نشانه های آلودگی به Fantom و بدافزارهای مشابه

از دیدگاه کاربر نهایی و تیم پشتیبانی فنی، چند نشانه کلیدی وجود دارد که باید جدی گرفته شود:

1. نمایش ناگهانی صفحه “در حال بروزرسانی ویندوز” در حالت تمام صفحه، بویژه اگر از طریق یک فایل اجرایی دانلود شده از ایمیل یا وبسایت شخص ثالث شروع شده باشد.
2. غیرعادی بودن فرآیند بروزرسانی؛ ویندوز آپدیتها را از طریق Windows Update و نه بصورت فایل `.exe` جداگانه توزیع میکند.
3. مشاهده باج نامه HTML/TXT پس از اتمام “بروزرسانی” و تغییر پسوند یا رفتار فایل ها.

در محیط های سازمانی، لاگ های EDR و آنتی ویروس میتوانند فرآیندهای مشکوک با نام هایی مانند `WindowsUpdate.exe` که از مسیرهای غیراستاندارد اجرا میشوند را شناسایی کنند.

راهکارهای پیشگیری و پاسخ به INCIDENT (با تمرکز بر کسپرسکی)

کسپرسکی در مستندات رسمی خود Fantom را تحت شناسه هایی مانند `Trojan-Ransom.MSIL.Tear.wbf` یا `PDM:Trojan.Win32.Generic` تشخیص میدهد و تأکید میکند که پرداخت باج توصیه نمی شود. بر این اساس، اقدامات زیر برای کاربران و سازمانها پیشنهاد میشود:

پیشگیری

• عدم اجرای فایلهای ناشناس: هرگز فایلهای اجرایی دریافتی از ایمیل های ناخواسته، وبسایت های مشکوک یا کانالهای غیررسمی را اجرا نکنید.
• بروزرسانی از کانال رسمی: بروزرسانی ویندوز و نرم افزارها را فقط از طریق Windows Update و وبسایت های رسمی انجام دهید.
• استفاده از راهکار امنیتی بروز: نصب و بروز نگهداشتن یک راهکار امنیتی معتبر مانند Kaspersky Internet Security یا Kaspersky Endpoint Security که قادر به شناسایی الگوهای رفتاری باج افزارهاست.
• پشتیبان گیری منظم: نگهداری نسخه پشتیبان از داده های حیاتی روی رسانه های جدا از شبکه (Offline/Immutable Backup) تا در صورت رمزنگاری، امکان بازیابی بدون پرداخت باج وجود داشته باشد.

پاسخ به INCIDENT

در صورت مشکوک بودن به آلودگی:

1. جداسازی سیستم: اتصال شبکه (کابل Ethernet و Wi-Fi) قطع و دستگاه های ذخیره سازی خارجی بصورت ایمن جدا شوند.
2. اسکن با ابزار معتبر: سیستم با یک راهکار امنیتی بروز (مانند محصولات کسپرسکی) اسکن کامل شود و اقدامات توصیه شده اعمال گردد.
3. عدم پرداخت باج: طبق توصیه رسمی کسپرسکی و نهادهای امنیتی، پرداخت باج تضمینی برای بازیابی فایل ها نیست و تنها انگیزه مهاجمان را افزایش میدهد.
4. بازیابی از پشتیبان: در صورت وجود پشتیبان سالم، سیستم پس از پاکسازی کامل از طریق پشتیبان بازیابی شود.

جمع بندی: Fantom بعنوان یک درس امنیتی در ۲۰۲۶

Fantom شاید از نظر فنی یک باج افزار پیچیده نباشد، اما نماد یک حقیقت بزرگتر در ۲۰۲۶ است: مهاجمان همچنان از ساده ترین روشهای فریب کاربر برای نفوذ استفاده میکنند و این روشها در ترکیب با تکنیک های پیشرفته سرقت داده و باجگیری، میتوانند خسارت های بزرگی ایجاد کنند.

برای کاربران و سازمانهای ایرانی که از محصولات کسپرسکی فارسی از طریق گروه آتنا استفاده میکنند، پیام واضح است: هوشیاری کاربر، بروزرسانی از کانال های رسمی و استفاده از راهکارهای امنیتی بروز، سه رکن اصلی دفاع در برابر این دسته از تهدیدات هستند