'ফ্যান্টমব্লু' সাইবার আক্রমণকারীরা OLE এর মাধ্যমে মাইক্রোসফট অফিস ব্যবহারকারীদের ব্যাকডোর

একটি দূষিত ইমেল প্রচারাভিযান ইউএস-ভিত্তিক সংস্থাগুলির শত শত মাইক্রোসফ্ট অফিস ব্যবহারকারীদের লক্ষ্য করে রিমোট এক্সেস ট্রোজান (RAT) যা আংশিকভাবে বৈধ সফ্টওয়্যার হিসাবে দেখানোর মাধ্যমে সনাক্তকরণ এড়িয়ে যায়।

পারসেপশন পয়েন্টের গবেষকদের দ্বারা "ফ্যান্টমব্লু" নামে একটি প্রচারাভিযানে, আক্রমণকারীরা ইমেল বার্তাগুলিতে একটি অ্যাকাউন্টিং পরিষেবার ছদ্মবেশ ধারণ করে যা লোকেদের একটি মাইক্রোসফ্ট অফিস ওয়ার্ড ফাইল ডাউনলোড করার জন্য আমন্ত্রণ জানায়, কথিতভাবে তাদের "মাসিক বেতনের প্রতিবেদন" দেখতে। লক্ষ্যগুলি পাসওয়ার্ড-সুরক্ষিত "রিপোর্ট" ফাইল অ্যাক্সেস করার জন্য বিশদ নির্দেশাবলী পায়, যা শেষ পর্যন্ত কুখ্যাতদের বিতরণ করে NetSupport RAT, ম্যালওয়্যার বৈধ থেকে বন্ধ নেটসাপোর্ট ম্যানেজার, একটি বৈধভাবে দরকারী দূরবর্তী প্রযুক্তিগত সহায়তা টুল। হুমকি অভিনেতারা আগে তাদের উপর ransomware প্রদান করার আগে ফুটপ্রিন্ট সিস্টেমে RAT ব্যবহার করেছে।

পারসেপশন পয়েন্ট ওয়েব সিকিউরিটি বিশেষজ্ঞ অ্যারিয়েল ডেভিডপুর প্রকাশিত এই সপ্তাহে প্রকাশিত একটি ব্লগ পোস্টে।

একবার একজন শিকারের এন্ডপয়েন্টে ইনস্টল হয়ে গেলে, NetSupport আচরণ নিরীক্ষণ করতে পারে, কীস্ট্রোক ক্যাপচার করতে পারে, ফাইল স্থানান্তর করতে পারে, সিস্টেম রিসোর্স নিতে পারে এবং নেটওয়ার্কের মধ্যে অন্যান্য ডিভাইসে যেতে পারে, "সবই একটি সৌম্য রিমোট সাপোর্ট সফ্টওয়্যারের ছদ্মবেশে," তিনি লিখেছেন।

NetSupport RAT এর Evasive OLE ডেলিভারি পদ্ধতি

প্রচারাভিযানটি অবজেক্ট লিঙ্কিং এবং এম্বেডিং (OLE) টেমপ্লেটের ম্যানিপুলেশনের মাধ্যমে NetSupport RAT-এর জন্য একটি অভিনব বিতরণ পদ্ধতি উপস্থাপন করে। এটি একটি "সংক্ষিপ্ত শোষণ পদ্ধতি" যা সনাক্তকরণ এড়ানোর সময় দূষিত কোড চালানোর জন্য বৈধ Microsoft Office নথি টেমপ্লেট ব্যবহার করে, ডেভিডপুর লিখেছেন। 

যদি একজন ব্যবহারকারী প্রচারাভিযানের বার্তাগুলির সাথে সংযুক্ত the.docx ফাইলটি ডাউনলোড করে এবং এটি অ্যাক্সেস করার জন্য সহকারী পাসওয়ার্ড ব্যবহার করে, তবে নথির বিষয়বস্তু লক্ষ্যগুলিকে আরও নির্দেশ দেয় "সম্পাদনা সক্ষম করুন" ক্লিক করতে এবং তারপরে নথিতে এমবেড করা একটি প্রিন্টারের ছবিতে ক্লিক করতে। তাদের "বেতনের গ্রাফ" দেখার জন্য।

প্রিন্টার ইমেজটি আসলে একটি OLE প্যাকেজ, মাইক্রোসফ্ট উইন্ডোজের একটি বৈধ বৈশিষ্ট্য যা নথি এবং অন্যান্য বস্তুর সাথে এম্বেড এবং লিঙ্ক করার অনুমতি দেয়। "এর বৈধ ব্যবহার ব্যবহারকারীদের বিভিন্ন প্রোগ্রামের উপাদানগুলির সাথে যৌগিক নথি তৈরি করতে সক্ষম করে," ডেভিডপুর লিখেছেন।

OLE টেমপ্লেট ম্যানিপুলেশনের মাধ্যমে, হুমকি অভিনেতারা নথির বাইরে পেলোড লুকিয়ে সনাক্ত না করেই দূষিত কোড চালানোর জন্য ডকুমেন্ট টেমপ্লেট ব্যবহার করে। পারসেপটিভ পয়েন্ট অনুসারে, প্রচারাভিযানটি প্রথমবারের মতো এই প্রক্রিয়াটি NetSupport RAT বিতরণ করার জন্য একটি ইমেলে ব্যবহার করা হয়েছিল।

"এই উন্নত কৌশলটি ডকুমেন্টের বাইরে দূষিত পেলোড লুকিয়ে প্রথাগত নিরাপত্তা ব্যবস্থাকে বাইপাস করে, শুধুমাত্র ব্যবহারকারীর ইন্টারঅ্যাকশনের উপর সঞ্চালন করে," ডেভিডপুর ব্যাখ্যা করেছেন।

প্রকৃতপক্ষে, OLE টেমপ্লেট এবং টেমপ্লেট ইনজেকশন (CWE T1221) এর মাধ্যমে NetSupport RAT প্রদানের জন্য এনক্রিপ্ট করা .doc ফাইল ব্যবহার করে, ফ্যান্টমব্লু প্রচারণা প্রচলিত কৌশল, কৌশল এবং পদ্ধতি (TTPs) থেকে সরে যায় যা সাধারণত NetSupport-এর সাথে যুক্ত থাকে। RAT স্থাপনা.

"ঐতিহাসিকভাবে, এই ধরনের প্রচারণাগুলি সরাসরি এক্সিকিউটেবল ফাইল এবং সহজ ফিশিং কৌশলগুলির উপর নির্ভর করে," ডেভিডপুর লিখেছেন। OLE পদ্ধতি "সামাজিক প্রকৌশলের সাথে অত্যাধুনিক ফাঁকি দেওয়ার কৌশল" মিশ্রিত করার জন্য প্রচারের উদ্ভাবন প্রদর্শন করে, তিনি লিখেছেন।

বৈধতার পেছনে লুকিয়ে থাকা

প্রচারণার তাদের তদন্তে, পারসেপশন পয়েন্ট গবেষকরা ধাপে ধাপে ডেলিভারি পদ্ধতিকে ব্যবচ্ছেদ করেছেন, আবিষ্কার করেছেন যে, RAT-এর মতোই পেলোড বৈধতার আড়ালে লুকিয়ে থাকে রাডারের নিচে উড়ে যাওয়ার চেষ্টায়।

বিশেষত, পারসেপ্টিভ পয়েন্ট ফিশিং ইমেলের রিটার্ন পাথ এবং মেসেজ আইডি বিশ্লেষণ করে, আক্রমণকারীদের ব্যবহার পর্যবেক্ষণ করে “সেন্ডইনব্লু” বা ব্রেভো পরিষেবা। ব্রেভো একটি বৈধ ইমেল ডেলিভারি প্ল্যাটফর্ম যা বিপণন প্রচারাভিযানের জন্য পরিষেবা প্রদান করে।

ডেভিডপুর লিখেছেন, "এই পছন্দটি আক্রমণকারীদের তাদের দূষিত অভিপ্রায়কে মুখোশ করার জন্য সম্মানজনক পরিষেবাগুলি ব্যবহার করার জন্য তাদের পছন্দকে আন্ডারস্কোর করে।"

আপস এড়ানো

যেহেতু ফ্যান্টমব্লু ম্যালওয়্যার সরবরাহ করার জন্য তার পদ্ধতি হিসাবে ইমেল ব্যবহার করে, তাই আপস এড়ানোর সাধারণ কৌশলগুলি - যেমন নির্দেশনা এবং প্রশিক্ষণ কর্মীদের সম্ভাব্য দূষিত ইমেলগুলি কীভাবে চিহ্নিত করবেন এবং রিপোর্ট করবেন সে সম্পর্কে — আবেদন করুন।

বিশেষজ্ঞরা বলছেন, একটি সাধারণ নিয়ম হিসাবে, লোকেরা কখনই ইমেল সংযুক্তিগুলিতে ক্লিক করবেন না যদি না তারা কোনও বিশ্বস্ত উত্স বা এমন কোনও ব্যক্তির কাছ থেকে আসে যার সাথে ব্যবহারকারীরা নিয়মিত যোগাযোগ করেন। অধিকন্তু, কর্পোরেট ব্যবহারকারীদের বিশেষ করে সন্দেহজনক বার্তাগুলি আইটি প্রশাসকদের কাছে রিপোর্ট করা উচিত, কারণ তারা একটি দূষিত প্রচারণার লক্ষণ নির্দেশ করতে পারে।

ফ্যান্টমব্লু শনাক্ত করতে প্রশাসকদের আরও সহায়তা করার জন্য, পারসেপটিভ পয়েন্টে ব্লগ পোস্টে প্রচারণার সাথে যুক্ত TTP-এর একটি বিস্তৃত তালিকা, সমঝোতার সূচক (IOCs), URL এবং হোস্টনাম এবং IP ঠিকানা অন্তর্ভুক্ত রয়েছে।

• এসইও চালিত বিষয়বস্তু এবং পিআর বিতরণ। আজই পরিবর্ধিত পান।
• PlatoData.Network উল্লম্ব জেনারেটিভ Ai. নিজেকে ক্ষমতায়িত করুন। এখানে প্রবেশ করুন.
• প্লেটোএআইস্ট্রিম। Web3 ইন্টেলিজেন্স। জ্ঞান প্রসারিত. এখানে প্রবেশ করুন.
• প্লেটোইএসজি। কার্বন, ক্লিনটেক, শক্তি, পরিবেশ সৌর, বর্জ্য ব্যবস্থাপনা. এখানে প্রবেশ করুন.
• প্লেটো হেলথ। বায়োটেক এবং ক্লিনিক্যাল ট্রায়াল ইন্টেলিজেন্স। এখানে প্রবেশ করুন.
• উত্স: https://www.darkreading.com/threat-intelligence/phantomblu-cyberattackers-backdoor-microsoft-office-users-ole