'KandyKorn' macOS مالویئر کرپٹو انجینئرز کو لالچ دیتا ہے۔

شمالی کوریا کا بدنام زمانہ ایڈوانسڈ پرسسٹنٹ خطرہ (APT) گروپ لاجر نے "KandyKorn" کے نام سے macOS میلویئر کی ایک شکل تیار کی ہے، جسے وہ کرپٹو کرنسی ایکسچینجز سے منسلک بلاکچین انجینئرز کو نشانہ بنانے کے لیے استعمال کر رہا ہے۔

ایک کے مطابق لچکدار سیکورٹی لیبز سے رپورٹ، کینڈی کورن کے پاس کرپٹو کرنسی سروسز اور ایپلیکیشنز سمیت متاثرہ کے کمپیوٹر سے کسی بھی ڈیٹا کا پتہ لگانے، اس تک رسائی اور چوری کرنے کی صلاحیتوں کا ایک مکمل سیٹ ہے۔

اسے ڈیلیور کرنے کے لیے، Lazarus نے ایک ملٹی اسٹیج اپروچ اختیار کیا جس میں ایک Python ایپلی کیشن کو ایک cryptocurrency arbitrage bot کے طور پر ڈھانپنا شامل تھا (ایک سافٹ ویئر ٹول جو cryptocurrency exchange پلیٹ فارمز کے درمیان cryptocurrency کی شرحوں میں فرق سے فائدہ اٹھانے کے قابل ہے)۔ ایپ میں گمراہ کن نام شامل ہیں، بشمول "config.py" اور "pricetable.py" اور اسے عوامی Discord سرور کے ذریعے تقسیم کیا گیا تھا۔

اس کے بعد گروپ نے سوشل انجینئرنگ کی تکنیکوں کو استعمال کیا تاکہ متاثرین کو ان کے ترقیاتی ماحول میں زپ آرکائیو کو ڈاؤن لوڈ کرنے اور ان زپ کرنے کی ترغیب دی جائے، جس میں مبینہ طور پر بوٹ موجود تھا۔ درحقیقت، فائل میں ایک پہلے سے تعمیر شدہ Python ایپلیکیشن ہے جس میں نقصان دہ کوڈ ہے۔

لچکدار سیکورٹی ماہرین نے کہا کہ حملے کے متاثرین کا خیال تھا کہ انہوں نے ایک ثالثی بوٹ انسٹال کیا تھا، لیکن پائتھون ایپلیکیشن کو لانچ کرنے سے ایک ملٹی اسٹپ میلویئر فلو کا عمل شروع ہوا جس کا نتیجہ کینڈی کورن کے نقصان دہ ٹول کی تعیناتی پر ہوا۔

کینڈی کورن میلویئر کا انفیکشن روٹین

حملہ Main.py کے عمل سے شروع ہوتا ہے، جو Watcher.py کو درآمد کرتا ہے۔ یہ اسکرپٹ ازگر کے ورژن کو چیک کرتا ہے، مقامی ڈائریکٹریاں ترتیب دیتا ہے، اور براہ راست گوگل ڈرائیو سے دو اسکرپٹس کو بازیافت کرتا ہے: TestSpeed.py اور FinderTools۔

ان اسکرپٹس کا استعمال شوگر لوڈر نامی ایک مبہم بائنری کو ڈاؤن لوڈ کرنے اور اس پر عمل درآمد کرنے کے لیے کیا جاتا ہے، جو مشین تک ابتدائی رسائی دینے اور میلویئر کے آخری مراحل کی تیاری کے لیے ذمہ دار ہے، جس میں Hloader نامی ٹول بھی شامل ہے۔

دھمکی دینے والی ٹیم پورے مالویئر کی تعیناتی کے راستے کو ٹریس کرنے میں کامیاب رہی، جس سے یہ نتیجہ اخذ کیا گیا کہ KandyKorn عملدرآمد کے سلسلے کا آخری مرحلہ ہے۔

کینڈی کورن کے عمل پھر ہیکرز کے سرور کے ساتھ مواصلت قائم کرتے ہیں، جس سے اسے برانچ آؤٹ ہونے اور پس منظر میں چلنے کی اجازت ملتی ہے۔

تجزیے کے مطابق میلویئر ڈیوائس اور انسٹال کردہ ایپلی کیشنز کو پول نہیں کرتا لیکن ہیکرز کی جانب سے براہ راست کمانڈز کا انتظار کرتا ہے، جس سے اینڈ پوائنٹس اور نیٹ ورک کے نمونے بنائے گئے، اس طرح پتہ لگانے کے امکانات محدود ہو جاتے ہیں۔

دھمکی دینے والے گروپ نے عکاسی کرنے والی بائنری لوڈنگ کو ایک مبہم تکنیک کے طور پر بھی استعمال کیا، جو میلویئر کو زیادہ تر پتہ لگانے والے پروگراموں کو نظرانداز کرنے میں مدد کرتا ہے۔

رپورٹ میں بتایا گیا کہ "مخالفین عام طور پر روایتی جامد دستخط پر مبنی اینٹی میل ویئر کی صلاحیتوں کو نظرانداز کرنے کے لیے مبہم تکنیکوں کا استعمال کرتے ہیں۔"

کریپٹو کرنسی ایکسچینجز آگ کے نیچے

Cryptocurrency ایکسچینج کی ایک سیریز کا سامنا کرنا پڑا ہے 2023 میں نجی کلیدی چوری کے حملےجن میں سے زیادہ تر کو لازارس گروپ سے منسوب کیا گیا ہے، جو شمالی کوریا کی حکومت کو فنڈز فراہم کرنے کے لیے اپنے ناجائز منافع کو استعمال کرتا ہے۔ ایف بی آئی نے حال ہی میں اس گروپ کو پایا 1,580 بٹ کوائنز منتقل ہوئے۔ متعدد کریپٹو کرنسی ڈکیتیوں سے، چھ مختلف بٹ کوائن ایڈریسز میں فنڈز رکھے ہوئے ہیں۔

ستمبر میں حملہ آوروں کا پتہ چلا 3D ماڈلرز اور گرافک ڈیزائنرز کو نشانہ بنانا کرپٹو کرنسی چوری کرنے والی مہم میں ایک جائز ونڈوز انسٹالر ٹول کے بدنیتی پر مبنی ورژن کے ساتھ جو کم از کم نومبر 2021 سے جاری ہے۔

ایک مہینہ پہلے، محققین نے دو متعلقہ میلویئر مہمات کا انکشاف کیا، جنہیں ڈب کیا گیا تھا۔ چیری بلوس اور فیک ٹریڈ، جس نے اینڈرائیڈ صارفین کو کرپٹو کرنسی کی چوری اور دیگر مالی طور پر حوصلہ افزا گھوٹالوں کا نشانہ بنایا۔

ڈی پی کے آر سے بڑھتا ہوا خطرہ

ڈیموکریٹک پیپلز ریپبلک آف کوریا (DPRK) کے اندر مختلف APTs کا بے مثال تعاون ان کا سراغ لگانا مشکل بناتا ہے، جس سے جارحانہ، پیچیدہ سائبر حملوں کا مرحلہ طے ہوتا ہے جو تزویراتی ردعمل کی کوششوں کا مطالبہ کرتے ہیں، ایک حالیہ رپورٹ مینڈینٹ نے خبردار کیا۔.

مثال کے طور پر، ملک کے رہنما، کم جونگ اُن کے پاس کِم سوکی نامی ایک سوئس آرمی چاقو اے پی ٹی ہے، جو پوری دنیا میں اپنے ٹینڈریل کو پھیلاتا رہتا ہے، جس سے یہ ظاہر ہوتا ہے کہ وہ اس سے خوفزدہ نہیں ہے۔ محققین بند ہو رہے ہیں. کمسوکی کئی تکرار اور ارتقاء سے گزرے ہیں، بشمول دو ذیلی گروپوں میں مکمل طور پر تقسیم.

دریں اثنا، ایسا لگتا ہے کہ لازر گروپ نے ایک شامل کیا ہے۔ پیچیدہ اور اب بھی نیا بیک ڈور تیار ہوتا ہے۔ اس کے مالویئر ہتھیاروں میں، پہلی بار ہسپانوی ایرو اسپیس کمپنی کے کامیاب سائبر سمجھوتے میں دیکھا گیا۔

• SEO سے چلنے والا مواد اور PR کی تقسیم۔ آج ہی بڑھا دیں۔
• پلیٹو ڈیٹا ڈاٹ نیٹ ورک ورٹیکل جنریٹو اے آئی۔ اپنے آپ کو بااختیار بنائیں۔ یہاں تک رسائی حاصل کریں۔
• پلیٹوآئ اسٹریم۔ ویب 3 انٹیلی جنس۔ علم میں اضافہ۔ یہاں تک رسائی حاصل کریں۔
• پلیٹو ای ایس جی۔ کاربن، کلین ٹیک، توانائی ، ماحولیات، شمسی، ویسٹ مینجمنٹ یہاں تک رسائی حاصل کریں۔
• پلیٹو ہیلتھ۔ بائیوٹیک اینڈ کلینیکل ٹرائلز انٹیلی جنس۔ یہاں تک رسائی حاصل کریں۔
• ماخذ: https://www.darkreading.com/endpoint/kandykorn-macos-malware-lures-crypto-engineers