XWorm, Remcos RAT EDRs এড়িয়ে গিয়ে জটিল অবকাঠামোকে সংক্রমিত করে

মরিচা-ভিত্তিক ইনজেক্টর ফ্রিজ[.]আরএসকে লক্ষ্যবস্তুতে ম্যালওয়্যারের র‍্যাফ্ট প্রবর্তন করার জন্য অস্ত্র করা হয়েছে, একটি অত্যাধুনিক ফিশিং প্রচারাভিযানে একটি ক্ষতিকারক PDF ফাইল রয়েছে যা এন্ডপয়েন্ট সনাক্তকরণ এবং প্রতিক্রিয়া (EDR) এর কাছাকাছি রয়েছে।

জুলাই মাসে Fortinet-এর FortiGuard ল্যাবস দ্বারা প্রথম আবিষ্কৃত, প্রচারাভিযান বিশেষ রাসায়নিক বা শিল্প পণ্য সরবরাহকারী সহ ইউরোপ এবং উত্তর আমেরিকা জুড়ে শিকারদের লক্ষ্য করে।

অবশেষে, এই চেইনটি XWorm ম্যালওয়্যার লোড করার মাধ্যমে একটি কমান্ড-এন্ড-কন্ট্রোল (C2) সার্ভারের সাথে যোগাযোগ স্থাপন করে, ফার্মের একটি বিশ্লেষণ প্রকাশ করে। XWorm র‍্যানসমওয়্যার লোড করা থেকে শুরু করে একটি স্থায়ী ব্যাকডোর হিসাবে কাজ করা পর্যন্ত বিস্তৃত ফাংশন সম্পাদন করতে পারে।

আরও প্রকাশগুলি SYK Crypter-এর সম্পৃক্ততাকেও উন্মোচন করেছে, একটি টুল যা প্রায়শই ডিসকর্ড সম্প্রদায় চ্যাট প্ল্যাটফর্মের মাধ্যমে ম্যালওয়্যার পরিবারগুলিকে বিতরণ করতে ব্যবহৃত হয়। এই ক্রিপ্টার লোডিং একটি ভূমিকা পালন করেছে Remcos, একটি অত্যাধুনিক রিমোট অ্যাক্সেস ট্রোজান (RAT) উইন্ডোজ ডিভাইস নিয়ন্ত্রণ ও নিরীক্ষণে পারদর্শী।

বরফের উপর EDR লাগান: ফ্রিজের হুডের নিচে[.]আরএস অ্যাটাক চেইন

তাদের তদন্তে, এনকোড করা অ্যালগরিদম এবং API নামগুলির টিমের বিশ্লেষণে এই অভিনব ইনজেক্টরের উৎপত্তি রেড টিম টুল "Freeze.rs" থেকে পাওয়া যায়, যা EDR নিরাপত্তা ব্যবস্থাকে বাইপাস করতে সক্ষম পেলোড তৈরি করার জন্য স্পষ্টভাবে ডিজাইন করা হয়েছে।

একটি কোম্পানির ব্লগ পোস্ট ব্যাখ্যা. "LNK ফাইলে ক্লিক করার পরে, একটি PowerShell স্ক্রিপ্ট ফ্রিজ[.]rs এবং SYK Crypterকে আরও আক্রমণাত্মক ক্রিয়াকলাপের জন্য কার্যকর করে।"

Cara Lin, গবেষক, FortiGuard Labs, ব্যাখ্যা করেছেন যে ফ্রিজ[.]আরএস ইনজেক্টর শেলকোড ইনজেক্ট করার জন্য এনটি সিস্কালকে কল করে, কার্নেল বেস dll-এ থাকা স্ট্যান্ডার্ড কলগুলি এড়িয়ে যায়, যা হুক করা যেতে পারে।

"একটি EDR একটি প্রক্রিয়ার মধ্যে সিস্টেম DLL এর সমাবেশকে হুক করা এবং পরিবর্তন করার আগে ঘটে যাওয়া সামান্য বিলম্বটি তারা ব্যবহার করে," সে বলে। "যদি একটি স্থগিত অবস্থায় একটি প্রক্রিয়া তৈরি করা হয়, তবে এটিতে ন্যূনতম DLL লোড হয়, এবং কোনো EDR-নির্দিষ্ট DLL লোড হয় না, এটি নির্দেশ করে যে Ntdll.dll-এর মধ্যে syscalls অপরিবর্তিত থাকে।"

লিন ব্যাখ্যা করে যে আক্রমণের চেইনটি একটি বুবি-ট্র্যাপড পিডিএফ ফাইলের মাধ্যমে শুরু করা হয়েছে, যা পেলোড সরবরাহ করতে একটি "সার্চ-এমএস" প্রোটোকলের সাথে একসাথে কাজ করে।

এই জাভাস্ক্রিপ্ট কোডটি দূরবর্তী সার্ভারে অবস্থিত LNK ফাইলটি প্রকাশ করতে "সার্চ-এমএস" কার্যকারিতা ব্যবহার করেছে।

"সার্চ-এমএস" প্রোটোকল ব্যবহারকারীদের একটি উইন্ডোজ এক্সপ্লোরার উইন্ডোর মাধ্যমে রিমোট সার্ভারে পুনঃনির্দেশ করতে পারে।

"পিডিএফ আইকন হিসাবে ছদ্মবেশী একটি প্রতারণামূলক LNK ফাইল ব্যবহারের মাধ্যমে, এটি ভুক্তভোগীদের বিশ্বাস করতে প্রতারিত করতে পারে যে ফাইলটি তাদের নিজস্ব সিস্টেম থেকে উদ্ভূত এবং বৈধ," সে নোট করে৷

এদিকে, "SYK Crypter স্থিরতার জন্য স্টার্টআপ ফোল্ডারে নিজেকে কপি করে, এনকোডিংয়ের সময় কনফিগারেশন এনক্রিপ্ট করে এবং কার্যকর করার সময় এটিকে ডিক্রিপ্ট করে, এবং অস্পষ্টতার জন্য রিসোর্সে সংকুচিত পেলোড এনক্রিপ্ট করে" সে যোগ করে৷

প্রথম স্তরে এনকোডিংয়ের পাশাপাশি একটি ডাউনলোডার ব্যবহার করা হয় এবং পরবর্তীকালে, একটি দ্বিতীয় স্তরে স্ট্রিং অস্পষ্টতা এবং পেলোড এনক্রিপশন জড়িত।

"এই বহু-স্তরযুক্ত কৌশলটি স্ট্যাটিক বিশ্লেষণের জন্য জটিলতা এবং চ্যালেঞ্জ বাড়ানোর জন্য ডিজাইন করা হয়েছে," সে বলে। "অবশেষে, এটি একটি নির্দিষ্ট নিরাপত্তা বিক্রেতাকে স্বীকৃতি দেওয়ার পরে নিজেকে শেষ করতে পারে।"

মাউন্টিং ফিশিং ঝুঁকির বিরুদ্ধে কীভাবে রক্ষা করবেন

ফিশিং এবং অন্যান্য মেসেজিং-ভিত্তিক আক্রমণ একটি ব্যাপক হুমকি হতে অবিরত, 97% কোম্পানিগুলি গত 12 মাসে অন্তত একটি ইমেল ফিশিং আক্রমণ দেখেছে এবং তিন-চতুর্থাংশ সংস্থাগুলি ইমেল-ভিত্তিক আক্রমণ থেকে উল্লেখযোগ্য খরচ আশা করছে৷

ফিশিং আক্রমণ নতুন প্রযুক্তি এবং ব্যবহারকারীর আচরণের সাথে খাপ খাইয়ে, মোবাইল শোষণ, ব্র্যান্ডের ছদ্মবেশ এবং এআই-উত্পন্ন সামগ্রী অন্তর্ভুক্ত করার জন্য বিকশিত হচ্ছে।

গবেষণাটি ঝুঁকি কমাতে, নিয়মিত প্রশিক্ষণ প্রদান এবং ফিশিং আক্রমণের ক্রমবর্ধমান হুমকি মোকাবেলায় প্রতিরক্ষার জন্য উন্নত সুরক্ষা সরঞ্জামগুলি ব্যবহার করার জন্য আপ-টু-ডেট সফ্টওয়্যার বজায় রাখা গুরুত্বপূর্ণ বলে উল্লেখ করেছে।

কর্মীদের জন্য ফিশিং সিমুলেশন প্রশিক্ষণ সমালোচনামূলক অবকাঠামো সংস্থাগুলিতে আরও ভাল কাজ করে বলে মনে হচ্ছে অন্যান্য সেক্টরের তুলনায়, 66% কর্মচারী সঠিকভাবে প্রশিক্ষণের এক বছরের মধ্যে অন্তত একটি প্রকৃত দূষিত ইমেল আক্রমণের রিপোর্ট করে, নতুন গবেষণায় দেখা গেছে।

• এসইও চালিত বিষয়বস্তু এবং পিআর বিতরণ। আজই পরিবর্ধিত পান।
• PlatoData.Network উল্লম্ব জেনারেটিভ Ai. নিজেকে ক্ষমতায়িত করুন। এখানে প্রবেশ করুন.
• প্লেটোএআইস্ট্রিম। Web3 ইন্টেলিজেন্স। জ্ঞান প্রসারিত. এখানে প্রবেশ করুন.
• প্লেটোইএসজি। মোটরগাড়ি / ইভি, কার্বন, ক্লিনটেক, শক্তি, পরিবেশ সৌর, বর্জ্য ব্যবস্থাপনা. এখানে প্রবেশ করুন.
• প্লেটো হেলথ। বায়োটেক এবং ক্লিনিক্যাল ট্রায়াল ইন্টেলিজেন্স। এখানে প্রবেশ করুন.
• চার্টপ্রাইম। ChartPrime এর সাথে আপনার ট্রেডিং গেমটি উন্নত করুন। এখানে প্রবেশ করুন.
• ব্লকঅফসেট। পরিবেশগত অফসেট মালিকানার আধুনিকীকরণ। এখানে প্রবেশ করুন.
• উত্স: https://www.darkreading.com/ics-ot/xworm-remcos-rat-evade-edrs-infect-critical-infrastructure