নতুন RemcosRAT ক্যাম্পেইনে বিরল ডেটা ট্রান্সফার কৌশল ব্যবহার করে হুমকি গ্রুপ

RemcosRAT রিমোট নজরদারি এবং নিয়ন্ত্রণ টুল দিয়ে বারবার ইউক্রেনের সংস্থাগুলিকে টার্গেট করার জন্য পরিচিত একজন হুমকি অভিনেতা আবার ফিরে এসেছেন, এইবার এন্ডপয়েন্ট সনাক্তকরণ এবং প্রতিক্রিয়া সিস্টেমকে ট্রিগার না করে ডেটা স্থানান্তর করার জন্য একটি নতুন কৌশল নিয়ে।

প্রতিপক্ষ, UNC-0050 হিসাবে ট্র্যাক করা হয়েছে, তার সর্বশেষ প্রচারে ইউক্রেনীয় সরকারী সংস্থার উপর দৃষ্টি নিবদ্ধ করেছে। Uptycs-এর গবেষকরা যারা এটি দেখেছেন বলেছেন যে আক্রমণগুলি রাজনৈতিকভাবে উদ্দেশ্যপ্রণোদিত হতে পারে, যার লক্ষ্য ইউক্রেনীয় সরকারী সংস্থাগুলি থেকে নির্দিষ্ট গোয়েন্দা তথ্য সংগ্রহ করা। "যদিও রাষ্ট্রীয় পৃষ্ঠপোষকতার সম্ভাবনা অনুমানমূলক রয়ে গেছে, গ্রুপের কার্যকলাপগুলি একটি অনস্বীকার্য ঝুঁকি তৈরি করে, বিশেষ করে উইন্ডোজ সিস্টেমের উপর নির্ভরশীল সরকারী সেক্টরগুলির জন্য," Uptycs গবেষক কার্তিককুমার কাঠিরসান এবং শিল্পেশ ত্রিবেদী এই সপ্তাহে একটি প্রতিবেদনে লিখেছেন.

RemcosRAT হুমকি

হুমকি অভিনেতারা ব্যবহার করে আসছেন RemcosRAT — যা একটি বৈধ রিমোট অ্যাডমিনিস্ট্রেশন টুল হিসাবে জীবন শুরু করেছিল — অন্তত 2016 সাল থেকে আপস করা সিস্টেমগুলিকে নিয়ন্ত্রণ করতে। অন্যান্য জিনিসগুলির মধ্যে, এই টুলটি আক্রমণকারীদের সিস্টেম, ব্যবহারকারী এবং প্রসেসরের তথ্য সংগ্রহ এবং উত্তোলন করতে দেয়। এটা হতে পারে পার্শ্বপথ অনেক অ্যান্টিভাইরাস এবং এন্ডপয়েন্ট হুমকি সনাক্তকরণ সরঞ্জাম এবং বিভিন্ন ব্যাকডোর কমান্ড কার্যকর করে। অনেক ক্ষেত্রে হুমকি অভিনেতারা ফিশিং ইমেলে সংযুক্তিতে ম্যালওয়্যার বিতরণ করেছে।

Uptycs এখনও সর্বশেষ প্রচারাভিযানে প্রাথমিক আক্রমণ ভেক্টর নির্ধারণ করতে সক্ষম হয়নি তবে বলেছে যে এটি কাজের-থিমযুক্ত ফিশিং এবং স্প্যাম ইমেলের দিকে ঝুঁকছে কারণ সম্ভবত ম্যালওয়্যার বিতরণ পদ্ধতি। নিরাপত্তা বিক্রেতা ইমেলগুলির উপর তার মূল্যায়নের উপর ভিত্তি করে এটি পর্যালোচনা করেছে যে ইসরায়েলের প্রতিরক্ষা বাহিনীতে পরামর্শমূলক ভূমিকার সাথে লক্ষ্যযুক্ত ইউক্রেনীয় সামরিক কর্মীদের অফার করার কথা বলা হয়েছে।

সংক্রমণ শৃঙ্খল নিজেই একটি .lnk ফাইল দিয়ে শুরু হয় যা আপস করা সিস্টেম সম্পর্কে তথ্য সংগ্রহ করে এবং তারপরে একটি উইন্ডোজ নেটিভ বাইনারি ব্যবহার করে আক্রমণকারী-নিয়ন্ত্রিত রিমোট সার্ভার থেকে 6.hta নামে একটি HTML অ্যাপ পুনরুদ্ধার করে, Uptycs জানিয়েছে। পুনরুদ্ধার করা অ্যাপটিতে একটি পাওয়ারশেল স্ক্রিপ্ট রয়েছে যা আক্রমণকারী-নিয়ন্ত্রিত ডোমেন থেকে অন্য দুটি পেলোড ফাইল (word_update.exe এবং ofer.docx) ডাউনলোড করার পদক্ষেপ শুরু করে এবং - শেষ পর্যন্ত - সিস্টেমে RemcosRAT ইনস্টল করার জন্য।

একটি কিছুটা বিরল কৌশল

যেটি UNC-0050 এর নতুন প্রচারাভিযানকে আলাদা করে তোলে তা হল হুমকি অভিনেতার ব্যবহার a উইন্ডোজ আন্তঃপ্রক্রিয়া যোগাযোগ আপোসকৃত সিস্টেমে ডেটা স্থানান্তর করার জন্য বেনামী পাইপ নামক বৈশিষ্ট্য। মাইক্রোসফ্ট এটি বর্ণনা করে, একটি বেনামী পাইপ হল একটি অভিভাবক এবং একটি শিশু প্রক্রিয়ার মধ্যে ডেটা স্থানান্তর করার জন্য একমুখী যোগাযোগের চ্যানেল। UNC-0050 কোনও EDR বা অ্যান্টিভাইরাস সতর্কতা ট্রিগার না করে গোপনে ডেটা চ্যানেল করার বৈশিষ্ট্যটির সুবিধা নিচ্ছে, কাথিরসান এবং ত্রিবেদী বলেছেন।

UNC-0050 চুরি করা তথ্য বের করার জন্য পাইপ ব্যবহার করার জন্য প্রথম হুমকি অভিনেতা নয়, তবে কৌশলটি তুলনামূলকভাবে বিরল, Uptycs গবেষকরা উল্লেখ করেছেন। "যদিও সম্পূর্ণ নতুন নয়, এই কৌশলটি গ্রুপের কৌশলগুলির পরিশীলিততায় একটি উল্লেখযোগ্য লাফ দেয়," তারা বলেছিল।

এটি প্রথমবারের মতো নয় যে নিরাপত্তা গবেষকরা UAC-0050 ইউক্রেনের লক্ষ্যবস্তুতে RemcosRAT বিতরণ করার চেষ্টা করতে দেখেছেন। গত বছর একাধিক অনুষ্ঠানে, ইউক্রেনের কম্পিউটার ইমার্জেন্সি রেসপন্স টিম (CERT-UA) দেশের সংস্থাগুলিতে রিমোট অ্যাক্সেস ট্রোজান বিতরণ করার জন্য হুমকি অভিনেতার প্রচারাভিযানের বিষয়ে সতর্ক করেছিল।

সবচেয়ে সাম্প্রতিক ছিল একটি 21 ডিসেম্বর, 2023-এ পরামর্শ, ইউক্রেনের অন্যতম বৃহত্তম টেলিযোগাযোগ প্রদানকারী Kyivstar-এর সাথে জড়িত একটি চুক্তিতে সংযুক্ত একটি সংযুক্তি সহ ইমেল জড়িত একটি গণ ফিশিং প্রচারাভিযান সম্পর্কে৷ এর আগে ডিসেম্বরে, CERT-UA আরেকটি সতর্ক করেছিল RemcosRAT ভর বিতরণ প্রচারাভিযান, এটি ইউক্রেন এবং পোল্যান্ডের সংস্থা এবং ব্যক্তিদের লক্ষ্য করে "বিচারিক দাবি" এবং "ঋণ" সম্পর্কে ইমেল জড়িত। ইমেলগুলিতে একটি সংরক্ষণাগার ফাইল বা RAR ফাইলের আকারে একটি সংযুক্তি রয়েছে।

CERT-UA গত বছর আরও তিনটি অনুষ্ঠানে অনুরূপ সতর্কতা জারি করেছিল, একটি নভেম্বরে আদালতের সাবপোনা-থিমযুক্ত ইমেলগুলি প্রাথমিক ডেলিভারি বাহন হিসাবে কাজ করে; আরেকটি, নভেম্বর মাসেও, ইউক্রেনের নিরাপত্তা পরিষেবার ইমেল সহ; এবং প্রথমটি 2023 সালের ফেব্রুয়ারিতে সংযুক্তি সহ একটি গণ ইমেল প্রচারের বিষয়ে যা কিইভের একটি জেলা আদালতের সাথে যুক্ত বলে মনে হয়েছিল।

• এসইও চালিত বিষয়বস্তু এবং পিআর বিতরণ। আজই পরিবর্ধিত পান।
• PlatoData.Network উল্লম্ব জেনারেটিভ Ai. নিজেকে ক্ষমতায়িত করুন। এখানে প্রবেশ করুন.
• প্লেটোএআইস্ট্রিম। Web3 ইন্টেলিজেন্স। জ্ঞান প্রসারিত. এখানে প্রবেশ করুন.
• প্লেটোইএসজি। কার্বন, ক্লিনটেক, শক্তি, পরিবেশ সৌর, বর্জ্য ব্যবস্থাপনা. এখানে প্রবেশ করুন.
• প্লেটো হেলথ। বায়োটেক এবং ক্লিনিক্যাল ট্রায়াল ইন্টেলিজেন্স। এখানে প্রবেশ করুন.
• উত্স: https://www.darkreading.com/cyberattacks-data-breaches/threat-group-using-rare-data-transfer-tactic-in-new-remcosrat-campaign