روس کا 'اسٹار برفانی طوفان' اے پی ٹی نے اپنے اسٹیلتھ کو اپ گریڈ کیا، صرف ایک بار پھر بے نقاب کیا جائے گا

متعدد نمائشوں اور رکاوٹوں کے بعد، کریملن کے زیر اہتمام ایڈوانس پرسسٹنٹ تھریٹ (APT) اداکار نے ایک بار پھر اپنی چوری کی تکنیک کو اپ گریڈ کیا ہے۔ تاہم، مائیکروسافٹ کی طرف سے اس اقدام کو اس ہفتے بھی بے نقاب کیا گیا تھا.

"Star Blizzard" (عرف Seaborgium, BlueCharlie, Callisto Group, and Coldriver) کم از کم 2017 سے سائبر جاسوسی اور سائبر اثر و رسوخ کی مہمات کی خدمت میں ای میل کی اسناد کی چوری کر رہا ہے۔ تاریخی طور پر، اس نے اپنا مقصد NATO میں سرکاری اور نجی تنظیموں پر مرکوز رکھا ہے۔ رکن ممالک، عام طور پر سیاست، دفاع، اور متعلقہ شعبوں سے متعلق شعبوں میں — این جی اوز، تھنک ٹینکس، صحافی، تعلیمی ادارے، بین الحکومتی تنظیمیں، وغیرہ۔ حالیہ برسوں میں، اس نے خاص طور پر یوکرین کے لیے مدد فراہم کرنے والے افراد اور تنظیموں کو نشانہ بنایا ہے۔

لیکن ہر کامیاب خلاف ورزی کے لیے، Star Blizzard اپنی OpSec ناکامیوں کے لیے بھی جانا جاتا ہے۔ مائیکروسافٹ اگست 2022 میں گروپ میں خلل ڈالا۔ اور، اس کے بعد کے وقت میں، ریکارڈڈ فیوچر نے اس کا سراغ لگایا ہے کیونکہ یہ اتنی باریک بینی سے نہیں ہے۔ نئے انفراسٹرکچر کی طرف منتقل کرنے کی کوشش کی۔. اور جمعرات کو، مائیکروسافٹ پر رپورٹ کرنے کے لئے واپس آیا چوری پر اس کی تازہ ترین کوششیں۔. ان کوششوں میں پانچ بنیادی نئی چالیں شامل ہیں، خاص طور پر ای میل مارکیٹنگ پلیٹ فارمز کا ہتھیار بنانا۔

مائیکرو سافٹ نے اس مضمون پر تبصرہ کرنے سے انکار کردیا۔

اسٹار برفانی طوفان کے تازہ ترین ٹی ٹی پیز

ماضی کے ای میل فلٹرز کو چھپانے میں مدد کرنے کے لیے، Star Blizzard نے پاس ورڈ سے محفوظ پی ڈی ایف لالچ دستاویزات، یا کلاؤڈ بیسڈ فائل شیئرنگ پلیٹ فارمز کے لنکس کا استعمال شروع کر دیا ہے جس میں محفوظ پی ڈی ایف موجود ہیں۔ ان دستاویزات کے پاس ورڈز عام طور پر اسی فشنگ ای میل میں پیک کیے جاتے ہیں، یا پہلی کے فوراً بعد بھیجی گئی ای میل۔

ممکنہ انسانی تجزیہ کے لیے چھوٹی رکاوٹوں کے طور پر، Star Blizzard نے ایک ڈومین نیم سروس (DNS) فراہم کنندہ کو ریورس پراکسی کے طور پر استعمال کرنا شروع کر دیا ہے - اپنے ورچوئل پرائیویٹ سرورز (VPSs) سے وابستہ IP پتوں کو دھندلا کر رہا ہے - اور سرور سائیڈ JavaScript کے ٹکڑوں کو خود کار طریقے سے روکنا ہے۔ اس کے بنیادی ڈھانچے کی سکیننگ.

یہ اپنے ڈومینز میں پیٹرن کا پتہ لگانے کو مزید بوجھل بنانے کے لیے زیادہ بے ترتیب ڈومین جنریشن الگورتھم (DGA) کا بھی استعمال کر رہا ہے۔ جیسا کہ مائیکروسافٹ نے نشاندہی کی ہے تاہم، اسٹار بلیزارڈ ڈومینز اب بھی کچھ مخصوص خصوصیات کا اشتراک کرتے ہیں: وہ عام طور پر نام چیپ کے ساتھ ایسے گروپوں میں رجسٹر ہوتے ہیں جو اکثر اسی طرح کے نام دینے کے کنونشنز کا استعمال کرتے ہیں، اور وہ Let's Encrypt سے TLS سرٹیفیکیشن کھیلتے ہیں۔

اور اپنی چھوٹی چالوں کے علاوہ، Star Blizzard نے اپنی فشنگ فرار کی ہدایت کے لیے ای میل مارکیٹنگ کی خدمات Mailerlite اور HubSpot کو استعمال کرنا شروع کر دیا ہے۔

فشنگ کے لیے ای میل مارکیٹنگ کا استعمال

جیسا کہ مائیکروسافٹ نے اپنے بلاگ میں وضاحت کی، "اداکار ان خدمات کو ایک ای میل مہم بنانے کے لیے استعمال کرتا ہے، جو انہیں اس سروس پر ایک وقف ذیلی ڈومین فراہم کرتا ہے جو پھر یو آر ایل بنانے کے لیے استعمال ہوتا ہے۔ یہ یو آر ایل ایک ری ڈائریکشن چین کے اندراج پوائنٹ کے طور پر کام کرتے ہیں جس کا اختتام اداکار کے زیر کنٹرول ہوتا ہے۔ Evilginx سرور انفراسٹرکچر. یہ خدمات صارف کو فی کنفیگرڈ ای میل مہم کے لیے وقف کردہ ای میل ایڈریس بھی فراہم کر سکتی ہیں، جسے دھمکی دینے والے اداکار کو اپنی مہمات میں 'منجانب' پتے کے طور پر استعمال کرتے دیکھا گیا ہے۔

بعض اوقات ہیکرز نے اپنے پاس ورڈ سے محفوظ پی ڈی ایف کے باڈی میں ان ای میل مارکیٹنگ یو آر ایلز کو سرایت کرتے ہوئے حکمت عملی کو عبور کر لیا ہے جنہیں وہ اپنے بدنیتی پر مبنی سرورز کو ری ڈائریکٹ کرنے کے لیے استعمال کرتے ہیں۔ یہ طومار ای میلز میں اپنے ڈومین کے بنیادی ڈھانچے کو شامل کرنے کی ضرورت کو دور کرتا ہے۔

"خودکار اسکیننگ کو روکنے کے لیے کلاؤڈ بیسڈ پلیٹ فارمز جیسے کہ HubSpot، MailerLite، اور ورچوئل پرائیویٹ سرورز (VPS) کا استعمال سرور سائیڈ اسکرپٹس کے ساتھ شراکت کرنا ایک دلچسپ طریقہ ہے،" Recorded Future Insikt Group کے خطرے کے انٹیلی جنس تجزیہ کار زوئی سیلمین کی وضاحت کرتا ہے، بلیو چارلی کو اس قابل بناتا ہے کہ وہ پیرامیٹرز کو متعین کرنے کی اجازت دیتا ہے کہ وہ شکار کو دھمکی آمیز اداکار کے بنیادی ڈھانچے کی طرف ری ڈائریکٹ کر سکے جب ضروریات پوری ہوں۔"

حال ہی میں، محققین نے ایک مشترکہ لالچ کا استعمال کرتے ہوئے، امریکی گرانٹس مینجمنٹ پورٹل کے لیے اسناد حاصل کرنے کے مقصد کے ساتھ، تھنک ٹینکس اور تحقیقی تنظیموں کو نشانہ بنانے کے لیے ای میل مارکیٹنگ کی خدمات کا استعمال کرتے ہوئے گروپ کا مشاہدہ کیا۔

اس گروپ نے کچھ اور حالیہ کامیابیاں بھی دیکھی ہیں، سیلمین نوٹ کرتے ہیں، "خاص طور پر برطانیہ کے سرکاری اہلکاروں کے خلاف، جو کہ اثر و رسوخ کی کارروائیوں میں اسناد کی کٹائی اور ہیک اینڈ لیک آپریشنز میں استعمال ہوتے ہیں، جیسے کہ برطانیہ کے سابق ایم آئی 6 سربراہ رچرڈ ڈیئرلو، برطانوی کے خلاف۔ رکن پارلیمنٹ سٹیورٹ میکڈونلڈ، اور اس کے بارے میں جانا جاتا ہے کہ اس نے کم از کم امریکہ کی سب سے ہائی پروفائل قومی جوہری لیبارٹریوں کے ملازمین کو نشانہ بنانے کی کوشش کی ہے۔

• SEO سے چلنے والا مواد اور PR کی تقسیم۔ آج ہی بڑھا دیں۔
• پلیٹو ڈیٹا ڈاٹ نیٹ ورک ورٹیکل جنریٹو اے آئی۔ اپنے آپ کو بااختیار بنائیں۔ یہاں تک رسائی حاصل کریں۔
• پلیٹوآئ اسٹریم۔ ویب 3 انٹیلی جنس۔ علم میں اضافہ۔ یہاں تک رسائی حاصل کریں۔
• پلیٹو ای ایس جی۔ کاربن، کلین ٹیک، توانائی ، ماحولیات، شمسی، ویسٹ مینجمنٹ یہاں تک رسائی حاصل کریں۔
• پلیٹو ہیلتھ۔ بائیوٹیک اینڈ کلینیکل ٹرائلز انٹیلی جنس۔ یہاں تک رسائی حاصل کریں۔
• ماخذ: https://www.darkreading.com/threat-intelligence/russia-star-blizzard-apt-upgrades-stealth-unmasked