JDY बोटनेट

साइबर सुरक्षा अनुसन्धानकर्ताहरूले JDY को एक महत्वपूर्ण पुनरुत्थान र विस्तार पहिचान गरेका छन्, जुन चीन-पङ्क्तिबद्ध राज्य-प्रायोजित खतरा अभिनेताहरूसँग जोडिएको गोप्य नेटवर्क हो। मूल रूपमा डिसेम्बर २०२३ मा ठूलो KV-botnet पूर्वाधार भित्र एक क्लस्टरको रूपमा पत्ता लागेको थियो, JDY एक स्वतन्त्र, अत्यधिक प्रभावकारी टोही प्लेटफर्ममा विकसित भएको छ।

नेटवर्कमा १,५०० भन्दा बढी सम्झौता गरिएका सानो कार्यालय/गृह कार्यालय (SOHO) र इन्टरनेट अफ थिंग्स (IoT) उपकरणहरू छन्। मुख्यतया प्रत्यक्ष आक्रमणहरूको लागि प्रयोग गरिनुको सट्टा, JDY ले केन्द्रीय रूपमा व्यवस्थित, उच्च-प्रदर्शन स्क्यानिङ प्रणालीको रूपमा कार्य गर्दछ जुन ठूलो मात्रामा इन्टरनेट-एक्सपोज गरिएका सेवाहरू पत्ता लगाउन, फिंगरप्रिन्ट गर्न र निरन्तर म्याप गर्न सक्षम छ।

भोल्ट टाइफुन लगायत चिनियाँ खतरा समूहहरूले पहिले नै गुप्तचर सङ्कलन र लक्षित पहिचान प्रयासहरूलाई समर्थन गर्न नेटवर्कको प्रयोग गरिसकेका छन्।

KV-Botnet हटाउने प्रक्रिया पछि अनुकूलन

अमेरिकी सरकारले २०२४ को सुरुमा KV-botnet भत्काएपछि, JDY अपरेटरहरूले आफ्नो सञ्चालन व्यवहार परिमार्जन गरे। माध्यमिक KV क्लस्टर धेरै हदसम्म गायब भए पनि, JDY ले विकास र विस्तार जारी राख्यो। अनुसन्धानकर्ताहरूले विश्वास गर्छन् कि पूर्वाधार धेरै चिनियाँ ह्याकिङ समूहहरूसँग साझेदारी गरिएको हुन सक्छ जबकि यसको अपरेटरहरूले सिधै जासूसी गतिविधिहरूको लागि प्रयोग गर्दै आएका छन्।

हालैका अनुसन्धानहरूले देखाएको छ कि मालवेयरले अब धेरै फराकिलो दायराका उपकरणहरूलाई लक्षित गर्दछ र ठूलो स्क्यानिङ इकोसिस्टम भित्र डेटा सङ्कलन तहको रूपमा काम गर्दछ। JDY द्वारा सङ्कलन गरिएको संरचित जासूसी जानकारी प्रणालीहरूमा खुवाइन्छ जसले लक्ष्य चयन र त्यसपछिको शोषण गतिविधिहरूलाई सहज बनाउँछ।

सार्वजनिक जोखिम खुलासा पछि कमजोर प्रणालीहरू द्रुत रूपमा पहिचान गर्न JDY को भूमिका विशेष गरी चिन्ताजनक छ। यो व्यवहारले एक उच्च संगठित टोही अपरेशनको अस्तित्वलाई सुझाव दिन्छ जसको निष्कर्षहरू पछि चिनियाँ राष्ट्र-राज्य अभिनेताहरूले प्रयोग गर्छन्।

तीव्र वृद्धि र विश्वव्यापी विस्तार

बोटनेटले उल्लेखनीय वृद्धि अनुभव गरेको छ, जनवरी २०२४ मा लगभग ६५० संक्रमित उपकरणहरूबाट बढेर १,५०० भन्दा बढी सम्झौता गरिएका प्रणालीहरूमा पुगेको छ। धेरैजसो संक्रमित नोडहरू संयुक्त राज्य अमेरिका र ब्राजिलमा अवस्थित छन्, युरोप र एशियाभरि थप सांद्रताका साथ। ब्राजिलियन उपकरणहरूको बढ्दो संख्याले ब्राजिलमा बोटनेटहरू बढ्दो रूपमा सम्झौता गरिएका प्रणालीहरूमा निर्भर हुने व्यापक प्रवृत्तिलाई प्रतिबिम्बित गर्दछ।

JDY को उपकरण इकोसिस्टम पनि धेरै विविध भएको छ। पहिलेका संस्करणहरू मुख्यतया सिस्को RV320 र RV325 राउटरहरूमा निर्भर थिए, तर हालको नेटवर्कमा धेरै विक्रेताहरूबाट हार्डवेयर समावेश छन्:

• सिस्को
• अराकनिस
• मिमोसा नेटवर्कहरू
• युबिक्विटी

यो विविधताले नेटवर्कको लचिलोपनलाई बलियो बनाउँछ र यसको सञ्चालन पहुँचलाई फराकिलो बनाउँछ।

वैध इन्टरनेट ट्राफिकमा मिश्रण गर्दै

JDY को पूर्वाधारको एक महत्वपूर्ण भाग अमेरिकामा आधारित SOHO र IoT उपकरणहरू मिलेर बनेको छ। यो वितरणले अपरेटरहरूलाई जियोफेन्सिङ प्रतिबन्धहरू, IP प्रतिष्ठा फिल्टरिङ, र स्थिर ब्लकलिस्टहरू सहित धेरै परम्परागत सुरक्षा नियन्त्रणहरू बाइपास गर्न सक्षम बनाउँछ।

हजारौं सम्झौता गरिएका IP ठेगानाहरूमा जासूसी गतिविधि फैलाएर, अपरेटरहरूले कुनै पनि एकल प्रणालीलाई स्क्यानिङ स्रोतको रूपमा पहिचान र अवरुद्ध हुने सम्भावना कम गर्छन्। यसबाहेक, वैध उपभोक्ता र साना-व्यवसाय उपकरणहरूको प्रयोगले दुर्भावनापूर्ण ट्राफिकलाई सामान्य इन्टरनेट गतिविधिसँग अझ स्वाभाविक रूपमा मिश्रण गर्न अनुमति दिन्छ, जसले गर्दा पत्ता लगाउन धेरै गाह्रो हुन्छ।

गोप्यताको लागि डिजाइन गरिएको तहगत पूर्वाधार

JDY एक परिष्कृत, स्तरित वास्तुकला मार्फत सञ्चालन हुन्छ। खतरा अभिनेताहरूले कमाण्ड-एन्ड-कन्ट्रोल (C2) पूर्वाधार र पेलोड डेलिभरी सर्भरहरू दुवै व्यवस्थापन गर्न टोर नोडहरू प्रयोग गर्छन्, जसले सञ्चालन गतिविधि लुकाउन मद्दत गर्दछ।

अन्धाधुन्ध इन्टरनेट-व्यापी स्क्यानहरू सञ्चालन गर्नुको सट्टा, C2 सर्भरहरूले संक्रमित उपकरणहरूलाई लक्षित टोही र प्रोफाइलिङ कार्यहरू तोक्छन्। सङ्कलन गरिएको सूचना केन्द्रीकृत सर्भरहरूमा फिर्ता पठाइन्छ, जहाँ यसलाई व्यापक चिनियाँ साइबर अपरेशनहरू र रणनीतिक उद्देश्यहरूलाई समर्थन गर्न एकत्रित र विश्लेषण गरिन्छ।

नयाँ खुलासा गरिएका कमजोरीहरूको शोषण

JDY सँग सम्बन्धित आक्रमण शृङ्खलाहरूले प्रायः CVE-2026-35616 जस्ता कमजोरीहरू सहित, किनारा उपकरणहरूमा नयाँ प्रकाशित कमजोरीहरूलाई हतियार बनाउँछन्। सफल शोषणले शेल-स्क्रिप्ट ड्रपरको डेलिभरीलाई ट्रिगर गर्दछ जसले पहिले लक्षित प्रणालीमा मालवेयर पहिले नै अवस्थित छ कि छैन भनेर जाँच गर्दछ।

यदि कुनै सक्रिय संक्रमण पत्ता लागेन भने, ड्रपरले पीडितको प्रोसेसर वास्तुकलाको आधारमा उपयुक्त मालवेयर पेलोड पुन: प्राप्त गर्दछ, जसमा MIPS, MIPS64, MIPSEL, र MIPSEL64 प्रणालीहरूको लागि भेरियन्टहरू समावेश छन्। एक पटक कार्यान्वयन भएपछि, डाउनलोड गरिएको मालवेयरले फोरेन्सिक दृश्यता कम गर्न डिस्कबाट आफूलाई हटाउँछ।

उन्नत जासूसी र अनुकूली स्क्यानिङ क्षमताहरू

मालवेयरको प्राथमिक उद्देश्य प्रत्यक्ष शोषणको सट्टा गुप्तचर सङ्कलन गर्नु हो। एक पटक सक्रिय भएपछि, यसले सम्झौता गरिएको होस्टको औंठाछाप लगाउँछ, केन्द्रीय कमाण्ड पूर्वाधारबाट स्क्यानिङ असाइनमेन्टहरू प्राप्त गर्छ, ठूलो मात्रामा नेटवर्क प्रोबिङ गर्छ, TLS प्रमाणपत्रहरू र सेवा मेटाडेटा जस्ता प्रतिक्रिया डेटा सङ्कलन गर्छ, र डिस्प्याच सर्भरहरूमा फिर्ता खोजहरू रिपोर्ट गर्छ।

यसको स्क्यानिङ इन्जिन अत्यधिक अनुकूलनीय छ र संक्रमित उपकरणमा उपलब्ध विशेषाधिकार अनुसार यसको व्यवहार समायोजन गर्दछ:

जब रूट-स्तर पहुँच उपलब्ध हुन्छ, मालवेयरले कच्चा सकेटहरू खोल्छ र अनुकूलित TCP प्याकेटहरू प्रयोग गरेर उच्च-गतिको SYN स्क्यानिङ गर्दछ।
जब उन्नत विशेषाधिकारहरू उपलब्ध हुँदैनन्, वा जब वेब-आधारित टोही आवश्यक हुन्छ, यो मानक TCP र TLS जडानहरूमा निर्भर गर्दछ र UDP र ICMP-आधारित प्रोबिंग प्रविधिहरू पनि प्रयोग गर्न सक्छ।

यो लचिलोपनले JDY लाई सम्झौता गरिएका प्रणालीहरूको विस्तृत दायरामा टोही प्रभावकारितालाई अधिकतम बनाउन अनुमति दिन्छ।

चिनियाँ धम्की दिने तत्वहरूको लागि निरन्तर जासूसी क्षमता

अनुसन्धानकर्ताहरू विश्वास गर्छन् कि JDY मार्फत सङ्कलन गरिएको गुप्तचरले सम्पत्ति खोज सञ्चालन, जोखिम-लक्षित कार्यप्रवाह, र डाउनस्ट्रीम शोषण वा आक्रमण अर्केस्ट्रेशन प्लेटफर्महरूलाई समर्थन गर्दछ।

बोटनेटले आधुनिक IoT र SOHO उपकरण नेटवर्कहरू कसरी सुरक्षा कमजोरीहरू सार्वजनिक हुने बित्तिकै कमजोर पूर्वाधार पहिचान गर्न सक्षम द्रुत-प्रतिक्रिया जासूसी प्लेटफर्महरूमा रूपान्तरण हुँदैछन् भनेर चित्रण गर्दछ। यसको निरन्तर वृद्धिले व्यक्तिगत क्लस्टर वा नोडहरूलाई अवरोध पुर्‍याउँदा अन्तर्निहित क्षमतालाई हटाउनु आवश्यक छैन भनेर देखाउँछ।

KV-botnet को एक सहायक तत्वबाट स्वतन्त्र, उच्च-प्रदर्शन जासूसी प्लेटफर्ममा JDY को रूपान्तरणले आधुनिक साइबर खतरा इकोसिस्टमको दृढता र अनुकूलन क्षमतालाई हाइलाइट गर्दछ। हटाउने प्रयासहरू पछि पनि, पूर्वाधार विकसित हुन जारी छ, जसले विरोधीहरूलाई कारबाहीयोग्य लक्षित बुद्धिमत्ता प्रदान गर्दछ, प्रायः नयाँ जोखिम प्रकटीकरणको घण्टा भित्र।