ایموٹیٹ 3 ماہ کے وقفے کے بعد ایک بار پھر دوبارہ سامنے آیا

ضرب المثل کی طرح جو مسلسل بدلتا رہتا ہے، ایموٹیٹ میلویئر آپریشن ایک بار پھر سامنے آیا ہے - اس بار تقریباً تین ماہ کی خاموشی کے بعد۔

سیکیورٹی محققین نے اس ہفتے نوٹ کیا کہ یہ گروپ ایک بار پھر ہر جگہ تنظیموں کے لیے خطرہ بن رہا ہے، ایموٹیٹ کے ساتھ منسلک بدنیتی پر مبنی ای میل سرگرمی 7 مارچ کے اوائل میں دوبارہ شروع ہوگی۔ ، لہذا وصول کنندگان کے اپنے مواد پر بھروسہ کرنے کا زیادہ امکان ہوتا ہے۔ ایموٹیٹ ای میلز میں سے کچھ نئے پیغامات کے طور پر بھی اتر رہے ہیں۔

بہت بڑی فائل اور پے لوڈ

ای میلز میں ایک .zip اٹیچمنٹ ہوتا ہے، جسے کھولنے پر، ایک ورڈ دستاویز فراہم کرتا ہے جو صارف کو نقصان دہ میکرو کو فعال کرنے کا اشارہ کرتا ہے۔ اگر فعال ہو تو، میکرو، بدلے میں، ایک بیرونی سائٹ سے ایموٹیٹ کا ایک نیا ورژن ڈاؤن لوڈ کرتا ہے اور اسے مقامی طور پر مشین پر چلاتا ہے۔

Cofense سے محققین اور ہارنیٹ سیکیورٹی جنہوں نے تازہ بدنیتی پر مبنی سرگرمی کا مشاہدہ کیا، نے ورڈ دستاویزات اور بدنیتی پر مبنی پے لوڈ کو سائز میں فلایا ہوا اور ہر ایک 500MB سے زیادہ آنے کے طور پر بیان کیا۔ محققین نے کہا کہ مجموعی طور پر، سرگرمی کا حجم 7 مارچ کے اوائل سے بدستور برقرار ہے، اور تمام ای میلز اٹیچمنٹ پر مبنی سپیم ہیں۔

کوفینس کے سینئر ریسرچ انجینئر جیسن موئیر کا کہنا ہے کہ "نقصان پر مبنی آفس دستاویزات اور ایموٹیٹ ڈی ایل ایل جو ہم دیکھ رہے ہیں وہ بہت بڑی فائلیں ہیں۔" "ہم نے ابھی تک ای میلز کے ساتھ کسی بھی لنک کا مشاہدہ نہیں کیا ہے۔"

ہارنیٹ سیکیورٹی نے بڑی فائل اور پے لوڈ کے سائز کو گروپ کی طرف سے میلویئر ماضی کے اختتامی نقطہ کا پتہ لگانے اور رسپانس (EDR) ٹولز کو چھپانے کی ممکنہ کوشش کے طور پر قرار دیا۔ "ایموٹیٹ کا تازہ ترین تکرار سیکیورٹی اسکینوں کو نظرانداز کرنے کے لئے بہت بڑی فائلوں کا استعمال کرتا ہے جو صرف بڑی فائلوں کے پہلے بائٹس کو اسکین کرتے ہیں یا بڑی فائلوں کو مکمل طور پر چھوڑ دیتے ہیں،" ہارنیٹ محققین کی ایک پوسٹ کے مطابق. "یہ نئی مثال فی الحال سست رفتاری سے چل رہی ہے، لیکن ہماری سیکیورٹی لیب توقع کرتی ہے کہ اس میں تیزی آئے گی۔"

ایک میلویئر جو مرنے سے انکار کرتا ہے۔

ایموٹیٹ ایک مالویئر کا خطرہ ہے جو 2014 میں پہلی بار بینکنگ ٹروجن کے طور پر سامنے آیا تھا۔ کئی سالوں میں، اس کے مصنفین - جن کو میلبگ، ممی اسپائیڈر، اور TA542 کے طور پر مختلف طریقے سے ٹریک کیا جاتا ہے - نے سابقہ ​​بینکنگ ٹروجن کو ایک نفیس اور منافع بخش مالویئر ڈیلیوری گاڑی میں تبدیل کر دیا ہے جو کہ دیگر خطرات سے دوچار ہیں۔ اداکار مختلف بدنیتی پر مبنی پے لوڈس فراہم کرنے کے لیے استعمال کر سکتے ہیں۔ حالیہ برسوں میں ان پے لوڈز میں رینک، کونٹی، اور ٹرِک بوٹ جیسے انتہائی مفید رینسم ویئر کے تناؤ شامل ہیں۔

ایموٹیٹ کو ڈیلیور کرنے کے لیے دھمکی آمیز اداکاروں کا ترجیحی موڈ سپیم ای میلز اور فشنگ کے ذریعے ہے، جو صارفین کو منسلک فائلوں کو کھولنے یا میلویئر ڈیلیوری سائٹس کے ایمبیڈڈ لنکس پر کلک کرنے کے لیے تیار کیا گیا ہے۔ ایک بار دھمکی آمیز اداکار کسی سسٹم سے سمجھوتہ کر لیتا ہے، ایموٹیٹ کو ڈیٹا چوری کرنے، رینسم ویئر انسٹال کرنے، یا مالی ڈیٹا چوری کرنے جیسی دیگر بدنیتی پر مبنی سرگرمیوں کے لیے اس پر دوسرے میلویئر کو ڈاؤن لوڈ کرنے کے لیے استعمال کیا جاتا ہے۔ ایموٹیٹ کا کمانڈ اینڈ کنٹرول انفراسٹرکچر (C2) فی الحال دو الگ الگ بوٹنیٹس پر چلتا ہے۔ جسے سیکورٹی وینڈرز نے epoch 4 (E4) اور epoch 5 (E5) کے طور پر نامزد کیا ہے

2021 کے اوائل میں، متعدد ممالک کے قانون نافذ کرنے والے اہلکار ایک بڑی مشترکہ کوشش میں ایموٹیٹ کے بنیادی ڈھانچے میں خلل ڈالا۔ اس نے دھمکی آمیز اداکار کو اپنی مالویئر کے طور پر-سروس کو جاری رکھنے سے روکنے کے لیے بہت کم کام کیا ہے۔ اس وقت، دی امریکی محکمہ انصاف کا جائزہ لیا گیا۔ کہ Emotet کے آپریٹرز نے اپریل 1.6 اور جنوری 2020 کے درمیان دنیا بھر میں 2021 ملین سے زیادہ کمپیوٹرز پر مشتمل تھا۔ متاثرین میں صحت کی دیکھ بھال، حکومت، بینکنگ اور اکیڈمی کی تنظیمیں شامل تھیں۔

نئی سرگرمی، وہی حکمت عملی

VMware کے سیکیورٹی محققین کے ذریعہ ایموٹیٹ تھریٹ گروپ کے اکتوبر 2022 کے تجزیے میں قانون نافذ کرنے والے بڑے پیمانے پر ہٹائے جانے کے بعد گروپ کے کام کرنے کی مسلسل صلاحیت کی متعدد وجوہات کی نشاندہی کی گئی۔ ان میں مزید شامل تھے۔ پیچیدہ اور ٹھیک ٹھیک پھانسی کی زنجیریںاس کی ترتیب کو مبہم کرنے کے لیے مسلسل طریقوں کو تیار کرنا، اور اس کے C2 انفراسٹرکچر کے لیے سخت ماحول کا استعمال کرنا۔

"ایموٹیٹ کو ثانوی پے لوڈز کی ایک رینج فراہم کرنے کے لیے استعمال کیا گیا ہے،" Muerer کہتے ہیں۔ "جب کہ یہ ماضی میں بنیادی طور پر دوسرے میلویئر خاندانوں کو فراہم کر رہا تھا، اس بات کا ثبوت موجود ہے کہ ان اداکاروں کے لئے موجودہ اختتامی کھیل ممکنہ طور پر رینسم ویئر پر مرکوز ہوگا۔"

Muerer کا کہنا ہے کہ نئی Emotet سرگرمی کے بارے میں کچھ بھی نہیں ہے جو یہ بتاتا ہے کہ دھمکی گروپ نے کوئی نیا حربہ یا تکنیک تعینات کیا ہے۔ ای میل تھریڈ ہائی جیکنگ کا حربہ اور میکرو سے چلنے والے ورڈ دستاویزات دونوں ہی وہ حربے ہیں جنہیں آپریٹرز کچھ عرصے سے استعمال کر رہے ہیں۔ اور، ہمیشہ کی طرح، بنیادی انفیکشن ویکٹر سپیم اور فشنگ ای میلز ہی رہتا ہے۔

Muerer کا کہنا ہے کہ "کوئی بھی بڑی تبدیلی نہیں آئی ہے جس سے ہم واقف ہیں۔ "ایموٹیٹ چھوٹے کاروباروں اور افراد پر غیر متناسب طور پر زیادہ اثر کے ساتھ، ہر ایک کے لیے خطرہ ہے۔"

• SEO سے چلنے والا مواد اور PR کی تقسیم۔ آج ہی بڑھا دیں۔
• پلیٹو بلاک چین۔ Web3 Metaverse Intelligence. علم میں اضافہ۔ یہاں تک رسائی حاصل کریں۔
• ماخذ: https://www.darkreading.com/threat-intelligence/emotet-resurfaces-yet-again-after-three-month-hiatus