بیانیه رسمی: پاسخ X-VPN به گزارش بارگذاری جانبی DLL ویندوز

مقدمه

X-VPN به تازگی گزارشی دریافت کرده است که یک سناریوی بارگذاری DLL در کلاینت ویندوز را توصیف می‌کند که فقط به نسخه‌های دستکاری شده و دوباره بسته‌بندی شده‌ای که از منابع غیررسمی به دست آمده‌اند، مربوط می‌شود و نه به کاربرانی که X-VPN را از صفحه دانلود رسمی ویندوز ما یا فروشگاه مایکروسافت دانلود کرده‌اند. بر اساس تحقیقات خود، ما هیچ مدرکی مبنی بر اینکه کاربران X-VPN هدف قرار گرفته یا از طریق این سناریو به خطر افتاده‌اند، پیدا نکرده‌ایم و تدابیر سخت‌افزاری را در X-VPN برای نسخه 77.5.3 ویندوز پیاده‌سازی کرده‌ایم. از تمام کاربران ویندوز خواسته می‌شود که در اولین فرصت ممکن به این نسخه به‌روزرسانی کنند.

در روح شفافیت و پاسخگویی، جزئیات گزارش، دامنه واقعی آن و اقداماتی که انجام داده‌ایم را به اشتراک خواهیم گذاشت.

زمانبندی پاسخ

• 18 مه 2026 — تیم تحقیق تهدید سلول هوولر در سایدرس این مشکل را به تیم امنیتی X-VPN گزارش داد.
• 20 مه 2026 — X-VPN دریافت گزارش را تأیید کرد و موضوع را برای بررسی و اصلاح داخلی افزایش داد.
• 28 مه 2026 — X-VPN نسخه 77.5.3 را برای ویندوز منتشر کرد که شامل تدابیر سخت‌افزاری توصیف شده در این بیانیه است.

یافته‌های کلیدی

بر اساس یک تأیید متمرکز بر انطباق، به نتایج زیر رسیدیم:

چه چیزی گزارش شده است

درک DLL ها

برای درک آنچه گزارش شده است، ابتدا کمک می‌کند که بفهمیم برنامه‌های ویندوز چگونه کار می‌کنند و تعریف DLLها چیست.

یک برنامه ویندوز به ندرت یک فایل واحد است. معمولاً شامل یک فایل اجرایی اصلی (فایل .exe که کاربران بر روی آن دوبار کلیک می‌کنند) به همراه بسیاری از ماژول‌های پشتیبانی به نام DLLs (کتابخانه‌های پیوند دینامیک) است. 

این DLL ها از دو مکان می آیند:

چگونه ویندوز یک DLL را زمانی که یک برنامه به آن نیاز دارد پیدا می‌کند

زمانی که یک برنامه نیاز به بارگذاری یک DLL بر اساس نام دارد، ویندوز به ترتیب زیر به دنبال آن می‌گردد (برای سهولت خواندن ساده‌سازی شده است):

کتابخانه CRYPTBASE.dll یک DLL سیستمی است، اما در لیست KnownDLLs وجود ندارد. این بدان معناست که وقتی یک برنامه به نام آن درخواست می‌کند، ویندوز ابتدا در پوشه برنامه جستجو می‌کند و تنها در صورتی که فایلی با آن نام پیدا نشود، به پوشه سیستم مراجعه می‌کند. 

این رفتار جستجو به طور طراحی شده بخشی از ویندوز برای دهه‌ها بوده است و هر برنامه ویندوز، Chrome، Microsoft Office، Steam، Notepad++، X-VPN و تقریباً هر برنامه دیگری در این پلتفرم تحت آن عمل می‌کند.

سناریو حمله در گزارش

گزارش توصیف می‌کند که چگونه رفتار جستجو شده در بالا می‌تواند برای اجرای کد مخرب در زمینه X-VPN مورد سوءاستفاده قرار گیرد. مهم است که توجه داشته باشید که این به نقصی در خود کلاینت X-VPN هدف نمی‌زند، بلکه به طور کامل به فریب کاربر برای اجرای نسخه‌ای دستکاری شده و دوباره بسته‌بندی شده از X-VPN از یک منبع غیررسمی وابسته است.

حمله به صورت زیر ادامه می‌یابد:

1. یک مهاجم فایل‌های برنامه قانونی X-VPN را از وب‌سایت رسمی ما می‌گیرد، یک CRYPTBASE.dll مخرب را درون پوشه قرار می‌دهد و کل پوشه را برای توزیع دوباره بسته‌بندی می‌کند.
2. مهاجم این بسته دستکاری شده را از طریق کانال‌های غیررسمی، سایت‌های فیشینگ، انجمن‌های دزدی، لینک‌های اشتراک‌گذاری فایل یا پیام‌های ناخواسته توزیع می‌کند و اغلب به عنوان نسخه “قابل حمل” X-VPN پنهان می‌شود.
3. یک کاربر به اشتباه به دانلود و اجرای این بسته دستکاری شده هدایت می‌شود.
4. زمانی که فایل .exe بسته‌بندی شده راه‌اندازی می‌شود و شروع به بارگذاری DLLهای خود می‌کند، یکی از این DLLها در نهایت CRYPTBASE.dll را به نام درخواست می‌کند. با دنبال کردن فرآیند جستجوی توصیف شده در بالا، ویندوز فایل کاشته شده توسط مهاجم را در داخل پوشه برنامه پیدا کرده و آن را بارگذاری می‌کند. کد مهاجم در داخل جلسه کاربر اجرا می‌شود.

این زنجیره کامل به این بستگی دارد که کاربر ابتدا یک نسخه دستکاری شده از X-VPN را اجرا کند. برای کاربرانی که X-VPN را از منابع رسمی نصب کرده‌اند:

• نصب‌کننده رسمی X-VPN فقط شامل فایل‌های قانونی و امضا شده است و هیچ DLL مخربی در پوشه نصب در طول یک نصب واقعی قرار نمی‌گیرد.
• پس از نصب، پوشه برنامه X-VPN توسط ویندوز محافظت می‌شود و برای تغییر آن به مجوزهای مدیر نیاز است، که از قرار دادن یک DLL مخرب توسط فرآیندها یا کاربران عادی جلوگیری می‌کند.

این حمله از کاربری بهره‌برداری می‌کند که قبلاً فریب خورده و نرم‌افزار ارائه‌شده توسط حمله‌کننده را از یک منبع غیرقابل اعتماد اجرا کرده است.

این چگونه به X-VPN مربوط می‌شود

این گزارش به مسئله CWE-427 (عنصر مسیر جستجوی کنترل نشده) در کلاینت ویندوز X-VPN مربوط می‌شود. مانند بسیاری از برنامه‌های ویندوز، X-VPN قبلاً بررسی‌های سخت‌گیرانه مسیر یا امضا را هنگام بارگذاری برخی از وابستگی‌های DLL اعمال نمی‌کرد که این رفتار زیرین توصیف شده توسط CWE-427 است. ما این موضوع را در نسخه 77.5.3 از طریق سیاست‌های سخت‌گیرانه‌تر بارگذاری DLL، تأیید صحت در زمان راه‌اندازی و مجوزهای دایرکتوری تقویت شده حل کرده‌ایم. نحوه طبقه‌بندی و ارزیابی این دسته از مسائل موضوعی است که در جامعه امنیتی در حال بحث و بررسی است، از جمله گزارش اخیر CVE-2025-56383 علیه Notepad++.

آنچه گزارش توصیف می‌کند، در عمل، یک کمپین جعل بدافزار است که در آن X-VPN به عنوان یک برند قابل شناسایی استفاده می‌شود، به همراه نرم‌افزارهای قانونی دیگر که به شیوه‌های مشابه توسط همان بازیگر دوباره بسته‌بندی شده‌اند، تا قربانیان را به اجرای نرم‌افزارهای دستکاری شده ترغیب کند.

دامنه تحت تأثیر

اینکه آیا یک کاربر تحت تأثیر قرار می‌گیرد کاملاً به جایی که نسخه X-VPN آنها از آنجا آمده است بستگی دارد. جدول زیر دامنه را خلاصه می‌کند:

چگونه آن را اصلاح کردیم

X-VPN در نسخه 77.5.3 اقدام به پیاده‌سازی تدابیر سخت‌افزاری جامع کرده است تا به این نوع سناریوی بارگذاری جانبی DLL در کلاینت ویندوز رسیدگی کند. این تدابیر سخت‌افزاری اکنون در X-VPN برای ویندوز نسخه 77.5.3 در دسترس است. تدابیر سخت‌افزاری ما به دو دسته تقسیم می‌شوند که نحوه بارگذاری هر نوع DLL را مورد بررسی قرار می‌دهند.

1. بارگذاری سختگیرانه‌تر DLLهای سیستم

DLLهای سیستمی مانند CRYPTBASE.dll اکنون از پوشه سیستم ویندوز بارگذاری می‌شوند، صرف نظر از اینکه چه فایل‌هایی در پوشه برنامه X-VPN وجود دارد. این موضوع به DLLهای سیستمی در هر سطح از زنجیره بارگذاری اعمال می‌شود. در نتیجه، حتی اگر یک DLL مخرب به طریقی در پوشه برنامه X-VPN قرار گیرد، کلاینت به گونه‌ای طراحی شده است که از بارگذاری آن به جای فایل سیستم قانونی جلوگیری کند.

2. حفاظت چند لایه برای DLL های برنامه

DLLهای اختصاصی برنامه X-VPN باید به طور ضروری از پوشه برنامه بارگذاری شوند، آنها بخشی از ویندوز نیستند و معادل مسیر سیستم ندارند. ما سه لایه مستقل از دفاع را پیاده‌سازی کرده‌ایم تا اطمینان حاصل کنیم که این DLLها نمی‌توانند جایگزین یا دستکاری شوند:

• کنترل‌های دسترسی به دایرکتوری. پوشه نصب X-VPN توسط مجوزهای سیستم فایل ویندوز محافظت می‌شود که برای تغییر نیاز به امتیازات مدیر دارد. هر فرآیندی که سعی کند یک DLL را بدون حقوق بالاتر به این پوشه بنویسد، توسط سیستم‌عامل مسدود می‌شود.
• تأیید لیست سفید هش در راه‌اندازی. هر بار که X-VPN راه‌اندازی می‌شود، کلاینت به‌طور بازگشتی هر DLL را در پوشه برنامه خود اسکن کرده و آن را با یک لیست هش معتبر مقایسه می‌کند. اگر هر DLL در لیست سفید نباشد یا اگر هش آن با مقدار مورد انتظار مطابقت نداشته باشد، کلاینت از ادامه اجرا خودداری می‌کند. این لیست هش به‌طور مستقیم در فایل اجرایی X-VPN کامپایل شده است و به‌عنوان یک فایل جداگانه ذخیره نمی‌شود، به این معنی که نمی‌توان آن را بدون تغییر فایل باینری امضا شده X-VPN دستکاری کرد، که این امر امضای دیجیتال را باطل می‌کند.
• سیاست‌های بارگذاری DLL سختگیرانه به ازای هر فرآیند اجرا می‌شوند. هر فرآیند X-VPN در زمان راه‌اندازی قوانین سخت‌گیرانه بارگذاری DLL را اعمال می‌کند و محدودیت‌هایی را در مورد اینکه DLLها از کجا بارگذاری شوند و کدام منابع مورد اعتماد هستند، تعیین می‌کند.

با هم، این اقدامات کمک می‌کنند تا قرار دادن یک فایل مخرب در داخل پوشه برنامه X-VPN به خودی خود بسیار دشوار باشد، اما حتی در سناریوی فرضی که یک مهاجم موفق به انجام این کار شود، کلاینت به گونه‌ای طراحی شده است که تغییرات را شناسایی کرده و از اجرای آن خودداری کند. ما معتقدیم که دفاع‌های پیشگیرانه و چند لایه ارزش پیاده‌سازی دارند، هم برای رسیدگی به سناریوی خاص توصیف شده در این گزارش و هم برای تقویت کلاینت X-VPN ویندوز در برابر الگوهای حمله مشابه به طور کلی.

کارهایی که کاربران باید انجام دهند

به‌روزرسانی به X-VPN برای ویندوز نسخه 77.5.3 یا بالاتر.

این نسخه شامل تدابیر سخت‌افزاری اضافی توصیف شده در این بیانیه است. شما می‌توانید آن را از صفحه دانلود رسمی ویندوز ما دانلود کنید.

همیشه X-VPN را فقط از منابع رسمی دانلود کنید

لطفاً X-VPN را از صفحه دانلود رسمی ویندوز ما، فروشگاه مایکروسافت یا فروشگاه رسمی اپلیکیشن پلتفرم خود دانلود کنید. از سایت‌های دانلود شخص ثالث، لینک‌های اشتراک‌گذاری فایل یا نصب‌کننده‌هایی که از طریق ایمیل یا اپلیکیشن‌های پیام‌رسان دریافت کرده‌اید، خودداری کنید.

مراقب نسخه‌های “قابل حمل” یا “کرک شده” X-VPN باشید

X-VPN به طور رسمی هیچ نسخه قابل حملی از کلاینت ویندوز ما را توزیع نمی‌کند، هر بسته‌ای که به صورت آنلاین پیدا شود باید به عنوان غیرقابل اعتماد تلقی شود.

اگر مشکوک هستید که ممکن است X-VPN را از یک منبع غیررسمی نصب کرده باشید

آن را حذف کنید و نسخه رسمی را از صفحه دانلود رسمی ویندوز دوباره نصب کنید.

تعهد ما به امنیت

ما از تیم تحقیق تهدید سلول Howler در Cyderes به خاطر جلب توجه ما به این گزارش از طریق یک فرآیند افشای مسئولانه سپاسگزاریم. این تحلیل توسط Reegun Jayapaul و Rahul Ramesh نوشته شده است. وبلاگ تحقیقاتی آنها که این افشاگری را پوشش می‌دهد اکنون در دسترس است. ما واقعاً از زمانی که تیم در تحقیق خود صرف کرده است قدردانی می‌کنیم و معتقدیم افشای هماهنگ از این نوع به نفع کل جامعه امنیتی است.

X-VPN از ورودی محققان امنیت مستقل استقبال می‌کند. اگر فکر می‌کنید که یک مشکل امنیتی در هر محصول X-VPN کشف کرده‌اید، ما شما را تشویق می‌کنیم که یافته‌های خود را از طریق برنامه پاداش باگ ما ارسال کنید، جایی که گزارش‌های معتبر و قابل بازتولید واجد شرایط دریافت جوایز مالی هستند که به ما در تقویت امنیت هر مشتری X-VPN کمک می‌کند. برای نگرانی‌های امنیتی یا رفتارهای غیرمعمول که ممکن است با یک ارسال رسمی آسیب‌پذیری مطابقت نداشته باشد، می‌توانید به طور مستقیم با تیم امنیتی ما در security@xvpn.io تماس بگیرید. تمام گزارش‌ها توسط تیم امنیتی ما بررسی می‌شوند و ما در سریع‌ترین زمان ممکن پاسخ می‌دهیم.

امنیت یک تلاش یک‌باره نیست. ما به سرمایه‌گذاری در حفاظت از کاربران خود از طریق تقویت مداوم مشتری، ارتباط شفاف و تعامل فعال با جامعه تحقیقاتی ادامه خواهیم داد. گزارش‌هایی مانند این به ما کمک می‌کند تا بهبود یابیم و ما متعهد به رسیدگی به هر یک از آن‌ها با شفافیت و جدیتی هستیم که شایسته آن‌هاست.

اعتمادی که کاربران ما به X-VPN دارند، چیزی است که ما به آن اهمیت می‌دهیم و کسب آن یک مسئولیت مداوم است که ما از آن استقبال می‌کنیم.

سوالات متداول