নাইট্রোজেন ম্যালওয়্যার

গবেষকরা একটি প্রাথমিক অ্যাক্সেস ম্যালওয়্যার প্রচারাভিযান উন্মোচন করেছেন যা তারা 'নাইট্রোজেন' হিসাবে ট্র্যাক করছে। সাইবার অপরাধীরা সন্দেহাতীত শিকারদের সংক্রামিত করার উপায় হিসাবে নকল সফ্টওয়্যার ওয়েবসাইটগুলিকে প্রচার করতে Google এবং Bing অনুসন্ধান বিজ্ঞাপনগুলি ব্যবহার করছে৷ যে ব্যবহারকারীরা এই সাইটগুলি দেখেন তারা অজান্তে কোবল্ট স্ট্রাইক এবং র‍্যানসমওয়্যার পেলোডের হুমকির শিকার হন৷

নাইট্রোজেন ম্যালওয়ারের পিছনে মূল উদ্দেশ্য হল হুমকি অভিনেতাদের কর্পোরেট নেটওয়ার্কগুলিতে একটি প্রাথমিক প্রবেশ বিন্দু প্রদান করা। একবার অনুপ্রবেশ করলে, দূষিত অভিনেতারা ডেটা চুরি করার ক্ষমতা অর্জন করে, সাইবার গুপ্তচরবৃত্তিতে লিপ্ত হয় এবং শেষ পর্যন্ত ধ্বংসাত্মক BlackCat/ALPHV Ransomware মুক্ত করে।

নাইট্রোজেন প্রচারণার একটি গভীর বিশ্লেষণ তার প্রাথমিক লক্ষ্যগুলি প্রকাশ করেছে, যা প্রধানত উত্তর আমেরিকায় অবস্থিত প্রযুক্তি এবং অলাভজনক সংস্থাগুলিকে অন্তর্ভুক্ত করে। আক্রমণকারীরা AnyDesk, Cisco AnyConnect VPN, TreeSize Free এবং WinSCP-এর মতো স্বনামধন্য সফ্টওয়্যার প্রদানকারীদের ছদ্মবেশী করে তাদের স্কিমটি চালায়। এই প্রতারণামূলক কৌশলটি ব্যবহারকারীদের বিশ্বাস করতে প্রতারিত করে যে তারা প্রকৃত সফ্টওয়্যার অ্যাক্সেস করছে, শুধুমাত্র এর পরিবর্তে নাইট্রোজেন ম্যালওয়্যারের বিপদের সম্মুখীন হতে হবে।

এই প্রচারাভিযানে Google এবং Bing সার্চ বিজ্ঞাপনের ব্যবহার পরিশীলিততার একটি অতিরিক্ত স্তর যুক্ত করে, যা হুমকি অভিনেতাদের সম্ভাব্য শিকারদের একটি বিস্তৃত পুলে পৌঁছাতে সক্ষম করে। এই জনপ্রিয় সার্চ ইঞ্জিনগুলি ব্যবহার করে, আক্রমণকারীরা প্রতারণামূলক সফ্টওয়্যার লিঙ্কগুলিতে ক্লিক করার জন্য ব্যবহারকারীদের প্রলুব্ধ করার সম্ভাবনা বাড়িয়ে তোলে, এইভাবে ক্ষতিকারক সংক্রমণ প্রক্রিয়া শুরু করে৷

নাইট্রোজেন ম্যালওয়্যার নির্দিষ্ট ভৌগলিক অবস্থান থেকে শিকারদের লক্ষ্য করে

নাইট্রোজেন ম্যালওয়্যার প্রচার শুরু হয় যখন ব্যবহারকারীরা বিভিন্ন সুপরিচিত সফ্টওয়্যার অ্যাপ্লিকেশনগুলির জন্য Google বা Bing অনুসন্ধান পরিচালনা করে। এই প্রচারাভিযানে টোপ হিসাবে ব্যবহৃত সফ্টওয়্যারগুলির মধ্যে রয়েছে AnyDesk (একটি দূরবর্তী ডেস্কটপ অ্যাপ্লিকেশন), WinSCP (উইন্ডোজের জন্য একটি SFTP/FTP ক্লায়েন্ট), Cisco AnyConnect (একটি VPN স্যুট) এবং TreeSize Free (একটি ডিস্ক-স্পেস ক্যালকুলেটর এবং ম্যানেজার)। সফ্টওয়্যার লোয়ার নির্বাচন আক্রমণকারীদের লক্ষ্য করার মানদণ্ডের উপর ভিত্তি করে।

যখন একজন ব্যবহারকারী এই সফ্টওয়্যার অ্যাপ্লিকেশনগুলির কোনটির জন্য অনুসন্ধান করে, তখন সংশ্লিষ্ট সার্চ ইঞ্জিন একটি বিজ্ঞাপন প্রদর্শন করে যা সঠিক সফ্টওয়্যার পণ্যের প্রচারের জন্য প্রদর্শিত হয়। অজান্তেই, ব্যবহারকারীরা পছন্দসই সফ্টওয়্যার ডাউনলোড করার আশায় এই আপাতদৃষ্টিতে বৈধ বিজ্ঞাপনগুলিতে ক্লিক করতে পারে৷

যাইহোক, প্রকৃত ওয়েবসাইটে পৌঁছানোর পরিবর্তে, লিঙ্কটি দর্শকদের আপসহীন ওয়ার্ডপ্রেস হোস্টিং পৃষ্ঠাগুলিতে পুনঃনির্দেশ করে। এই পৃষ্ঠাগুলি দক্ষতার সাথে নির্দিষ্ট অ্যাপ্লিকেশনের জন্য অফিসিয়াল ডাউনলোড সাইটগুলির চেহারা অনুকরণ করার জন্য ডিজাইন করা হয়েছে।

যাইহোক, সবাইকে অনিরাপদ ওয়েবসাইটে নেওয়া হয় না। শুধুমাত্র নির্দিষ্ট ভৌগোলিক অঞ্চলের দর্শকদের বেছে বেছে ফিশিং সাইটগুলিতে পুনঃনির্দেশিত করা হয়, নির্বাচিত এলাকাগুলি থেকে সম্ভাব্য শিকারদের প্রলুব্ধ করার একটি উচ্চ সুযোগ নিশ্চিত করে৷ যদি কেউ একটি বিজ্ঞাপনের মাধ্যমে সেখানে নিয়ে যাওয়ার পরিবর্তে সরাসরি তাদের লিঙ্কটি খোলার মাধ্যমে পৃষ্ঠাগুলিতে পৌঁছানোর চেষ্টা করে, তবে তাদের রিক অ্যাস্টলির ক্লাসিক 'নেভার গনা গিভ ইউ আপ'-এর একটি YouTube ভিডিওতে পুনঃনির্দেশিত করা হবে - একটি পদক্ষেপ যা রিক-রোলিং নামে পরিচিত।

নাইট্রোজেন ম্যালওয়্যার সম্ভবত আপোসকৃত ডিভাইসগুলিতে র্যানসমওয়্যার সরবরাহ করতে ব্যবহৃত হয়েছিল

জাল সাইটগুলি থেকে বিতরিত হুমকি সফ্টওয়্যারটি 'install.exe' নামে ট্রোজানাইজড আইএসও ইনস্টলারগুলির আকারে আসে যা একটি দূষিত DLL ফাইল 'msi.dll' (NitrogenInstaller) বহন করে এবং সাইডলোড করে৷ এটি নাইট্রোজেন ম্যালওয়্যারের জন্য ইনস্টলার হিসাবে কাজ করে। উপরন্তু, এটি ক্ষতিগ্রস্থদের কাছ থেকে কোনো সন্দেহ উত্থাপন এড়াতে প্রতিশ্রুত অ্যাপ্লিকেশন সেট আপ করে। ম্যালওয়্যারটি একটি 'পাইথন' রেজিস্ট্রি রান কী তৈরি করে একটি স্থায়ী প্রক্রিয়া প্রতিষ্ঠা করে যা পাঁচ মিনিটের ব্যবধানে চলে এবং 'pythonw.exe' নামে একটি ক্ষতিকারক বাইনারির দিকে নির্দেশ করে।

ম্যালওয়ারের পাইথন উপাদান, 'python.311.dll' (NitrogenStager), হ্যাকারদের কমান্ড-এন্ড-কন্ট্রোল সার্ভারের (C2) সাথে যোগাযোগ স্থাপনের দায়িত্ব নেয়। এটি শিকারের কম্পিউটারে একটি মিটারপ্রেটার শেল এবং কোবাল্ট স্ট্রাইক বীকনও শুরু করে।

নির্দিষ্ট কিছু ক্ষেত্রে, মিটারপ্রেটার স্ক্রিপ্ট টার্গেট করা সিস্টেমে কার্যকর করা হলে আক্রমণকারীরা হ্যান্ড-অন অ্যাকশনে নিযুক্ত হয়। তারা অতিরিক্ত জিপ ফাইল এবং পাইথন 3 পরিবেশ পুনরুদ্ধার করতে ম্যানুয়াল কমান্ড ব্যবহার করে, যা মেমরিতে কোবাল্ট স্ট্রাইক চালানোর জন্য প্রয়োজনীয়, কারণ নাইট্রোজেনস্টেগার নিজেই পাইথন স্ক্রিপ্টগুলি চালাতে পারে না। নাইট্রোজেন ম্যালওয়্যারের সংক্রমণ চেইন চূড়ান্ত র্যানসমওয়্যার পেলোড স্থাপনের জন্য আপস করা ডিভাইসগুলিকে স্টেজ করার দিকে নির্দেশ করে।