ZxxZ Trojan
ZxxZ ট্রোজান একটি পূর্বে অজানা ম্যালওয়্যার হুমকি, যা বিটার ATP (অ্যাডভান্সড পারসিস্টেন্ট থ্রেট) গ্রুপের জন্য দায়ী ক্ষতিকারক অপারেশনের অংশ হিসাবে স্থাপন করা হচ্ছে। হুমকি নিজেই সম্পর্কে বিশদ বিবরণ, সেইসাথে আক্রমণ প্রচারাভিযান Cisco Talos এ গবেষকদের দ্বারা একটি প্রতিবেদনে জনসাধারণের কাছে প্রকাশ করা হয়েছিল। ZxxZ ট্রোজানের প্রাথমিক লক্ষ্য বাংলাদেশ সরকার এবং সম্ভাব্য লক্ষ্য সাইবার গুপ্তচরবৃত্তি এবং তথ্য চুরি।
হুমকিটি লঙ্ঘিত ডিভাইসগুলিতে একটি 32-বিট উইন্ডোজ এক্সিকিউটেবল ফাইল হিসাবে বিতরণ করা হয়। এটি আনয়ন এবং তারপর অতিরিক্ত দূষিত মডিউল কার্যকর করতে সক্ষম। এই উপাদানগুলি সংক্রমিত মেশিনে 'ntfsc.exe,' 'Update.exe,' ইত্যাদির মতো জেনেরিক নামের ফাইল হিসাবে ড্রপ করা হয়। মডিউলগুলি স্থানীয় অ্যাপ্লিকেশন ডেটা ফোল্ডারে সংরক্ষণ করা হয় এবং উইন্ডোজ নিরাপত্তা আপডেট হিসাবে কার্যকর করা হয়।
ZxxZ ট্রোজান অস্পষ্ট স্ট্রিং, উইন্ডোজ ডিফেন্ডার এবং অন্যান্য অ্যান্টি-ম্যালওয়্যার সমাধানগুলির প্রক্রিয়াগুলি অনুসন্ধান এবং হত্যা করার ক্ষমতা সহ বেশ কয়েকটি অ্যান্টি-ডিটেকশন বৈশিষ্ট্য দিয়ে সজ্জিত। পরে, হুমকি একটি তথ্য-সংগ্রহ ফাংশন সক্রিয় করবে। অর্জিত ডেটা অপারেশনের কমান্ড-এন্ড-কন্ট্রোল (C2) সার্ভারে উত্তোলন করার আগে একটি মেমরি বাফারে সংরক্ষণ করা হবে। C2 সার্ভারের প্রতিক্রিয়া একটি পোর্টেবল এক্সিকিউটেবল হবে যা '%LOCALAPPDATA%\Debug\' অবস্থানে ফেলে দেওয়া হবে। এই এক্সিকিউটেবল ডেলিভারির সময় কোনো ত্রুটির ক্ষেত্রে, ZxxZ থামার এবং প্রস্থান করার আগে ঠিক 225 বার প্রক্রিয়াটি পুনরায় চেষ্টা করবে।
উল্লেখ্য, গবেষকরা ড দুটি সংক্রমণ চেইন পাওয়া গেছে, উভয় সংস্করণ একটি বর্শা-ফিশিং ইমেল দিয়ে শুরু হয়। এই প্রলোভন বার্তাগুলি পাকিস্তানের সরকারী সংস্থাগুলি থেকে আসা বৈধ চিঠিপত্র হিসাবে পাস করার জন্য জালিয়াতি করা ইমেল ঠিকানাগুলির পিছনে লুকিয়ে থাকে। যাইহোক, অস্ত্রযুক্ত ফাইল সংযুক্তি ভিন্ন হতে পারে। একটি ক্ষেত্রে, প্রলুব্ধ ইমেলগুলি একটি .RTF ফাইল বহন করে যা দুর্বল মাইক্রোসফ্ট অফিস সংস্করণগুলির সাথে মেশিনগুলির সাথে আপস করার জন্য CVE-2017-11882 দুর্বলতাকে কাজে লাগায়৷ আক্রমণ শৃঙ্খলের অন্য ভিন্নতা পরিবর্তে একটি .XLSX নথি ব্যবহার করে। এই সময়, আক্রমণকারীরা CVE-2018-0798 এবং CVE-2018-0802 দুর্বলতার সুবিধা গ্রহণ করে পুরানো Microsoft Office দৃষ্টান্তগুলিতে দূরবর্তী কোড কার্যকর করার জন্য।
