NccTrojan
nccTrojan হুমকিটি TA428 নামে পরিচিত একটি চীনা-সমর্থিত APT (অ্যাডভান্সড পারসিস্টেন্ট থ্রেট) গ্রুপ দ্বারা পরিচালিত আক্রমণের একটি সিরিজে ব্যবহার করা হয়েছে। সাইবার অপরাধীরা পূর্ব ইউরোপের বেশ কয়েকটি দেশ এবং আফগানিস্তানে অবস্থিত সামরিক-সম্পর্কিত প্রতিষ্ঠান এবং সরকারী প্রতিষ্ঠানকে লক্ষ্যবস্তু করছে। হুমকিমূলক প্রচারণার লক্ষ্য তথ্য-সংগ্রহ এবং সাইবার গুপ্তচরবৃত্তি বলে মনে হচ্ছে, হুমকি অভিনেতারা লঙ্ঘিত মেশিনে ছয়টি ভিন্ন ম্যালওয়্যার হুমকি ড্রপ করেছে।
ডিভাইসগুলিতে প্রাথমিক অ্যাক্সেস উচ্চ-লক্ষ্যযুক্ত বর্শা-ফিশিং প্রচারাভিযানের মাধ্যমে অর্জন করা হয়। TA428 হ্যাকাররা নির্দিষ্ট প্রতিষ্ঠানের বিরুদ্ধে ব্যবহার করার জন্য কাস্টম লোভ ইমেল তৈরি করে। কিছু ফিশিং ইমেল এমনকি গোপনীয় বা ব্যক্তিগত তথ্য রয়েছে যা সর্বজনীনভাবে উপলব্ধ নয়। ভুক্তভোগীরা যখন প্রলুব্ধ ইমেলগুলির সাথে সংযুক্ত অস্ত্রযুক্ত Word নথিগুলি চালায়, তখন এটি CVE-2017-11882 দুর্বলতাকে কাজে লাগিয়ে একটি দূষিত কোড ট্রিগার করে। হামলা এবং হ্যাকারদের ক্ষতিকর অস্ত্রাগার সম্পর্কে বিশদ বিবরণ নিরাপত্তা গবেষকদের একটি প্রতিবেদনে প্রকাশ করা হয়েছে।
nccTrojan এর বিশ্লেষণ
nccTrojan ম্যালওয়্যার ইতিমধ্যেই TA428 কে দায়ী করা হয়েছে। প্রকৃতপক্ষে, হুমকিটি আক্রমণকারীদের দ্বারা সক্রিয়ভাবে বিকশিত হয়েছে বলে মনে হচ্ছে। লঙ্ঘিত ডিভাইসে হুমকির ইনস্টলেশন কমান্ড-এন্ড-কন্ট্রোল (C2, C&C) সার্ভার থেকে বেশ কয়েকটি ফাইল ডাউনলোডের মাধ্যমে শুরু হয়। এক্সিকিউটেবল একটি .cab ফাইলের আকারে একটি নির্বিচারে নাম সহ বিতরণ করা হয়। প্রসারিত সিস্টেম ইউটিলিটি একটি বৈধ সফ্টওয়্যার পণ্যের অন্তর্গত একটি বিদ্যমান ডিরেক্টরিতে বিতরণ করা ফাইলটি আনপ্যাক করার জন্য প্রয়োজন৷ এছাড়াও, হ্যাকাররা nccTrojan-এর DLL-কে পরিষেবা হিসাবে নিবন্ধিত করার জন্য একটি বিশেষ ইনস্টলার উপাদানও ফেলে দেয়। এটি করা নিশ্চিত করে যে হুমকিটি প্রতিটি সিস্টেম স্টার্টআপে স্বয়ংক্রিয়ভাবে লোড হবে।
সক্রিয় হওয়ার পরে, nccTrojan-এর প্রধান মডিউল হার্ডকোড করা C2 ঠিকানাগুলির একটি তালিকার সাথে যোগাযোগ স্থাপনের চেষ্টা করবে। পরবর্তী সমস্ত যোগাযোগ সার্ভারে প্রেরণ করা হবে যা প্রথমে প্রতিক্রিয়া জানায়। প্রাথমিক যোগাযোগের সময়, হুমকিটি লঙ্ঘিত সিস্টেম সম্পর্কে বিভিন্ন সাধারণ তথ্য পাঠায়, যেমন কম্পিউটারের নাম, আইপি ঠিকানা, ব্যবহারকারীর নাম, ম্যালওয়্যার সংস্করণ, সিস্টেম স্থানীয়করণ ডেটা এবং আরও অনেক কিছু। nccTrojan আক্রমণকারীদের ব্যাকডোর কার্যকারিতা, কমান্ড চালানোর ক্ষমতা, এক্সিকিউটেবল ফাইল লঞ্চ করার, নির্বাচিত প্রক্রিয়াগুলিকে মেরে ফেলা, ফাইল সিস্টেম ম্যানিপুলেট, C2 থেকে অতিরিক্ত পেলোড আনয়ন এবং আরও অনেক কিছু প্রদান করে।
