بخش تحقیقات تهدیدات در شرکت امنیت سایبری روسی کسپرسکی لب، تجزیه و تحلیل خود را از RenEngine، یک دانلودکننده مخرب که اخیراً توجه زیادی را به خود جلب کرده است، منتشر کرده است. این شرکت نسخههایی از این بدافزار را در مارس ۲۰۲۵ شناسایی کرد و تأیید کرد که از آن زمان تاکنون، راهحلهای امنیتی آن از کاربران در برابر تهدید آن محافظت کردهاند.
فراتر از بازیهای هک کننده ذکر شده در گزارشهای قبلی، محققان توضیح دادند که مهاجمان دهها وبسایت برای توزیع RenEngine از طریق نرمافزارهای دزدی، از جمله نرمافزار ویرایش گرافیک CorelDRAW، ایجاد کردهاند. این نشان میدهد که این حمله گسترش یافته و شامل کسانی میشود که به دنبال نسخههای بدون مجوز نرمافزار و نه فقط جامعه بازی هستند.
در اولین شناسایی، از RenEngine برای توزیع بدافزار مخفی Lumma استفاده شد. در حملات فعلی، از آن برای توزیع ACR Stealer به عنوان آخرین بار استفاده میشود و بدافزار مخفی Vidar نیز در برخی از زنجیرههای آلودگی ظاهر میشود.
این کمپین مخرب به نسخههای اصلاحشده بازیهای ساخته شده بر روی موتور داستان بصری Ren’Py متکی است. هنگامی که نصبکننده آلوده اجرا میشود، یک صفحه بارگذاری جعلی برای کاربر ظاهر میشود، در حالی که اسکریپتهای مخرب در پسزمینه اجرا میشوند.
این اسکریپتها شامل قابلیتهایی برای شناسایی محیطهای sandbox و سپس رمزگشایی یک بار داده هستند که با استفاده از ابزار قابل تنظیم HijackLoader برای توزیع بدافزار، واکنش زنجیرهای از آلودگیها را آغاز میکند.