هکرهای روسی از آسیب‌پذیری CVE-2025-26633 از طریق MSC EvilTwin برای استقرار SilentPrism و DarkWisp سوءاستفاده می‌کنند

گروه هکری روسی Water Gamayun که با نام‌های EncryptHub و LARVA-208 نیز شناخته می‌شود، دو بک‌دور جدید به نام‌های SilentPrism و DarkWisp را از طریق سوءاستفاده از آسیب‌پذیری اخیراً رفع‌شده CVE-2025-26633 در مایکروسافت ویندوز توزیع کرده است. این گروه تهدید از بسته‌های تأمین مخرب، فایل‌های .msi امضاشده و فایل‌های Windows MSC برای استقرار بدافزار استفاده می‌کند و تکنیک‌هایی مانند IntelliJ runnerw.exe را برای اجرای دستورات به کار می‌گیرد.

محققان Trend Micro گزارش دادند که این حملات شامل استفاده از نصب‌کننده‌های .msi جعلی است که خود را به عنوان نرم‌افزارهای مشروع پیام‌رسانی مانند DingTalk و QQTalk معرفی می‌کنند. بدافزار SilentPrism قابلیت اجرای چندین دستور shell به طور همزمان و کنترل از راه دور را دارد، در حالی که DarkWisp امکان شناسایی سیستم و سرقت داده‌های حساس را فراهم می‌کند. این گروه همچنین از سارق اطلاعات Rhadamanthys و انواع سفارشی PowerShell مبتنی بر Kematian Stealer متن‌باز استفاده می‌کند که قابلیت جمع‌آوری اطلاعات گسترده سیستم، رمزهای عبور Wi-Fi، کلیدهای محصول ویندوز و داده‌های مرورگر را دارند.