OXLOADER ম্যালওয়্যার

সাইবার নিরাপত্তা গবেষকরা REF8372 নামে একটি নতুন ম্যালওয়্যার ক্যাম্পেইন উন্মোচন করেছেন, যা তথ্য-চুরিকারী ম্যালওয়্যার CastleStealer ছড়ানোর জন্য OXLOADER নামে পূর্বে অনুল্লিখিত একটি ম্যালওয়্যার লোডার ব্যবহার করে।

এই অভিযানটি শুরু হয় জনপ্রিয় সফটওয়্যার অনুসন্ধানকারী ভুক্তভোগীদের প্রলুব্ধ করার জন্য তৈরি করা ক্ষতিকর গুগল বিজ্ঞাপনের মাধ্যমে। বিশ্লেষণে ইঙ্গিত পাওয়া যায় যে, এই প্রচারণার পেছনের হুমকিদাতারা সম্ভবত রুশ-ভাষী এবং আর্থিকভাবে উদ্দেশ্যপ্রণোদিত। এই মূল্যায়নটি করা হয়েছে ম্যালওয়্যারটির দ্বারা কমনওয়েলথ অফ ইন্ডিপেন্ডেন্ট স্টেটস (সিআইএস)-এর অন্তর্ভুক্ত সিস্টেমগুলোকে ইচ্ছাকৃতভাবে বাদ দেওয়ার ওপর ভিত্তি করে, যা এই অঞ্চলে সক্রিয় সাইবার অপরাধী গোষ্ঠীগুলো প্রায়শই ব্যবহার করে থাকে।

যদিও প্রচারণার বিজ্ঞাপনগুলো কথিত ইউক্রেন-ভিত্তিক 'ВОЛОДИМИР ТЕРЕЩЕНКО' নামক যাচাইকৃত নামে প্রকাশিত হয়েছিল, তবে এটি এখনও অস্পষ্ট যে এই পরিচয়টি পরিচালনাকারীদের নিজেদের, নাকি এটি একটি হ্যাক হওয়া, কেনা বা মনগড়া অ্যাকাউন্ট। গুগল ১৪ই মে, ২০২৬ তারিখে বিজ্ঞাপনদাতার অ্যাকাউন্ট এবং সংশ্লিষ্ট প্রচারণাগুলো সরিয়ে দিয়েছে।

সার্চ ইঞ্জিন কারসাজির মাধ্যমে ভুক্তভোগীরা ভুয়া সফটওয়্যার সাইটে পৌঁছে যায়

যখন ব্যবহারকারীরা গুগলের মতো সার্চ ইঞ্জিনে 'lts version of node.js'-এর মতো শব্দ দিয়ে অনুসন্ধান করেন, তখন এই সংক্রমণের শৃঙ্খলটি সক্রিয় হয়। ভুক্তভোগীদের স্পনসর করা ফলাফলের মাধ্যমে node-js.prentiva99.info নামের একটি নকল ওয়েবসাইটে পাঠিয়ে দেওয়া হয়, যা একটি বৈধ সফটওয়্যার রিসোর্স হিসেবে নিজেদের ছদ্মবেশ ধারণ করে।

প্রতারণামূলক ওয়েবসাইটটির সাথে মিথস্ক্রিয়া করার সময় ব্যবহারকারীদেরকে স্টোর্জ (Storj) নামক একটি বিকেন্দ্রীভূত ও ওপেন-সোর্স ক্লাউড স্টোরেজ প্ল্যাটফর্মে হোস্ট করা একটি ব্যাচ স্ক্রিপ্ট ডাউনলোড করতে বলা হয়। স্টোর্জের মতো বৈধ পরিষেবাগুলোর এই অপব্যবহার হুমকি সৃষ্টিকারীদের মধ্যে একটি ক্রমবর্ধমান প্রবণতাকে তুলে ধরে, যারা ডোমেইন রেপুটেশন এবং নিরাপত্তা ফিল্টারিং ব্যবস্থাগুলোকে পাশ কাটাতে ক্রমশ বিশ্বস্ত প্ল্যাটফর্মগুলোর ওপর নির্ভর করছে।

বহু-পর্যায়ের সংক্রমণ শৃঙ্খল বিদ্বেষপূর্ণ কার্যকলাপ গোপন করে

ডাউনলোড করা ব্যাচ ফাইলটি চালালে একটি নকল ইনস্টলেশন উইজার্ড প্রদর্শিত হয়, যা একটি বৈধ সফটওয়্যার সেটআপের বিভ্রম তৈরি করে এবং গোপনে Storj থেকে পরবর্তী ধাপের পেলোড, OXLOADER, ডাউনলোড করে। ম্যালওয়্যারটি একটি PowerShell কমান্ডের মাধ্যমে পাওয়া যায় এবং -Verb RunAs প্যারামিটার দিয়ে চালু করা হয়, যা একটি Windows User Account Control (UAC) প্রম্পট তৈরি করে।

পরবর্তীকালে এই আক্রমণটি ডিএলএল সাইড-লোডিং কৌশল ব্যবহার করে একটি ক্ষতিকারক ডাইনামিক-লিঙ্ক লাইব্রেরি কার্যকর করে, যা চূড়ান্ত পেলোড ‘ক্যাসেলস্টিলার’-কে ডিক্রিপ্ট করে চালু করে।

উন্নত এড়ানোর কৌশল সনাক্তকরণের চ্যালেঞ্জ বাড়িয়ে তোলে

OXLOADER বিশ্লেষণকে বাধাগ্রস্ত করতে এবং শনাক্তকরণ এড়াতে বিশেষভাবে পরিকল্পিত বেশ কিছু অত্যাধুনিক কৌশল অন্তর্ভুক্ত করে:

• একাধিক দুর্বোধ্যতার স্তর, যার মধ্যে রয়েছে কন্ট্রোল-ফ্লো ফ্ল্যাটেনিং, অপেক প্রেডিকেট এবং মিশ্র বুলিয়ান-অ্যারিথমেটিক কৌশল।

এই সক্ষমতাগুলো স্থির এবং গতিশীল উভয় প্রকার শনাক্তকরণ পদ্ধতি এড়ানোর ক্ষেত্রে একটি সুচিন্তিত ও সুপরিকল্পিত কৌশল প্রদর্শন করে।

সাইবার অপরাধ কার্যক্রমে ক্যাসেলস্টিলারের ক্রমবর্ধমান উপস্থিতি

ক্যাসেলস্টিলার হলো একটি .NET-ভিত্তিক তথ্য-চুরিকারী ম্যালওয়্যার পরিবার যা সম্প্রতি আরও কিছু ক্যাম্পেইনে আবির্ভূত হয়েছে। এটি পূর্বে ব্যাকগ্রাউন্ডফিক্স নামে পরিচিত একটি অপারেশনে ক্লিকফিক্স-এর মতো একটি সোশ্যাল ইঞ্জিনিয়ারিং প্রলোভনের মাধ্যমে ক্যাসেললোডারের সাথে ছড়ানো হয়েছিল, যা একটি বিনামূল্যের ছবি সম্পাদনার অ্যাপ্লিকেশন হিসেবে নিজেকে উপস্থাপন করত। ক্যাসেললোডারকে গ্রেব্রাভো নামে ট্র্যাক করা থ্রেট অ্যাক্টিভিটি ক্লাস্টারের সাথে যুক্ত করা হয়েছে।

উল্লেখযোগ্য সম্ভাবনা সহ প্রাথমিক পর্যায়ের হুমকি

যদিও OXLOADER-কে কার্যক্ষম মোতায়েনের প্রাথমিক পর্যায়ে বলে মনে হচ্ছে, এর প্রযুক্তিগত উৎকর্ষতা রক্ষাকারীদের কাছ থেকে নিবিড় মনোযোগ দাবি করে। বেশ কিছু বৈশিষ্ট্য এর নির্মাতাদের দ্বারা করা বিপুল বিনিয়োগের ইঙ্গিত দেয়:

• ব্যাপক কোড দুর্বোধ্যতা এবং ভার্চুয়াল মেশিন-বিরোধী সুরক্ষা ব্যবস্থা।
• ক্ষতিকারক বাইনারিগুলোকে ছদ্মবেশে রাখার জন্য নিরীহ-দর্শন কোডের ব্যবহার এবং অনন্য পেলোড স্টেজিং কৌশল।

এই নকশার পছন্দগুলো ইতোমধ্যেই কার্যকর প্রমাণিত হয়েছে, যা OXLOADER-কে স্ট্যাটিক স্ক্যানিং ইঞ্জিন এবং স্বয়ংক্রিয় বিস্ফোরণ পরিবেশে কম শনাক্তকরণ হার অর্জন করতে সক্ষম করেছে। ফলস্বরূপ, ব্যাপক শনাক্তকরণ বৈশিষ্ট্য এবং প্রতিরোধমূলক ব্যবস্থা তৈরি হওয়ার আগে ম্যালওয়্যারটি বর্তমানে একটি মূল্যবান কার্যক্ষম সময়কালের সুবিধা পাচ্ছে।