JINX-0164 धम्की अभिनेता
JINX-0164 को रूपमा पहिचान गरिएको पहिले कागजात नगरिएको खतरा अभिनेताले डिजिटल सम्पत्तिहरू चोरी गर्न भर्ती-थीम सामाजिक इन्जिनियरिङ र कस्टम-निर्मित macOS मालवेयर प्रयोग गरेर क्रिप्टोकरेन्सी संस्थाहरू विरुद्ध उच्च लक्षित साइबर अभियान सञ्चालन गरेको छ। कम्तिमा २०२५ को मध्यदेखि सक्रिय, आर्थिक रूपमा प्रेरित समूहले विकासकर्ताहरूमा धेरै ध्यान केन्द्रित गरेको छ र, कम्तिमा एउटा पुष्टि भएको घटनामा, सफ्टवेयर आपूर्ति श्रृंखला सम्झौता कार्यान्वयन गरेको छ।
अभियानले भ्रामक भर्ती रणनीति, मालवेयर तैनाती, र CI/CD वातावरणको गहिरो घुसपैठको उन्नत संयोजन प्रदर्शन गर्दछ। कर्मचारी कार्यस्थानहरूमा सम्झौता गरेर, आक्रमणकारीहरू सफलतापूर्वक विकास पूर्वाधार र कोड वितरण प्रणालीहरूमा पार्श्व रूपमा सरेका थिए, जसले गर्दा घुसपैठको दायरा र प्रभाव उल्लेखनीय रूपमा बढेको थियो।
सामग्रीको तालिका
भर्ती घोटालाहरू प्रवेश बिन्दु बन्छन्
JINX-0164 क्रिप्टोकरेन्सी-सम्बन्धित संस्थाहरू भित्र काम गर्ने लक्षित विकासकर्ताहरू र कर्मचारीहरूसँग सम्पर्क सुरु गर्न LinkedIn का व्यक्तिहरूलाई मनाउनमा निर्भर गर्दछ। पीडितहरूलाई वैध टेलिकन्फरेन्सिङ प्लेटफर्महरूको नक्कल गर्ने धोखाधडी डोमेनहरूमा आयोजित भर्चुअल बैठकहरूमा भाग लिन आमन्त्रित गरिन्छ।
नक्कली बैठक सेटअप प्रक्रियाको क्रममा, लक्षितहरूलाई बैठक क्लाइन्ट वा प्राविधिक समाधान जस्तो देखिने कुरा डाउनलोड गर्न निर्देशन दिइन्छ। वास्तवमा, डाउनलोड गरिएको फाइलले नक्कली ड्राइभर वितरण डोमेन, 'apple.driver-store.com' बाट AUDIOFIX भनेर चिनिने पाइथन-आधारित macOS इन्फोस्टीलर र रिमोट एक्सेस ट्रोजन प्राप्त गरेर संक्रमण श्रृंखला सुरु गर्छ।
संक्रमित प्रक्रियालाई पीडितको प्रणाली वास्तुकला पहिचान गर्न सक्षम ब्याश स्क्रिप्ट मार्फत सहज बनाइन्छ, जसले मालवेयरलाई इन्टेल-आधारित र एप्पल सिलिकन म्याकओएस उपकरणहरू दुवैमा निर्बाध रूपमा सञ्चालन गर्न अनुमति दिन्छ। पेलोडले 'कोरअडियोड' नामक प्रणाली अडियो ड्राइभरको रूपमा आफूलाई भेष दिन्छ, स्थानीय रूपमा 'ChromeUpdater' को रूपमा भण्डारण गरिन्छ, र स्थिरता कायम राख्न macOS launchctl संयन्त्रहरू प्रयोग गरेर सुरु गरिन्छ।
AUDIOFIX ले गहिरो प्रणाली सम्झौतालाई सक्षम बनाउँछ
एक पटक तैनाथ भएपछि, AUDIOFIX ले आन्तरिक पूर्वाधारमा पार्श्व आन्दोलनलाई समर्थन गर्दै व्यापक प्रमाण चोरी र जासूसी कार्यहरू गर्दछ। अनुसन्धानकर्ताहरूले मालवेयरलाई विकास प्रणालीहरूमा दुर्भावनापूर्ण पेलोडहरू इन्जेक्ट गर्न र थप अन्त्य बिन्दुहरू सम्झौता गर्न र क्रिप्टोकरेन्सी वालेट प्रमाणहरू प्राप्त गर्ने प्रयासमा स्रोत कोड परिमार्जन गर्न प्रयोग गरिएको अवलोकन गरे।
यो मालवेयरले संवेदनशील जानकारीको विस्तृत दायरा चोर्न सक्षम छ, जसमा समावेश छन्:
- पासवर्ड प्रबन्धक प्रमाणपत्रहरू, ब्राउजर डेटा, iCloud किचेन फाइलहरू, SSH कुञ्जीहरू, प्रशासक प्रमाणपत्रहरू, कन्सोल इतिहास रेकर्डहरू, र कन्फिगरेसन फाइलहरू
- क्रिप्टोकरेन्सी वालेट ठेगानाहरू, क्रिप्टो सेवाहरूसँग लिङ्क गरिएको ब्राउजर एक्सटेन्सन डेटा, र डिस्कर्ड, स्ल्याक र टेलिग्रामबाट सक्रिय सत्रहरू
जानकारी चोरी बाहेक, AUDIOFIX ले रिमोट कमाण्ड कार्यान्वयन, फाइल मेटाउने, पेलोड डेलिभरी, टोही गतिविधिहरू, र संक्रमित प्रणालीहरूबाट डेटा एक्सफिल्ट्रेसनलाई पनि समर्थन गर्दछ।
MiniRAT ले आपूर्ति शृङ्खला दुरुपयोग मार्फत खतरालाई विस्तार गर्दछ
अपरेशनको अर्को प्रमुख घटक MiniRAT हो, जुन '@velora-dex/sdk' नामक सम्झौता गरिएको npm प्याकेजसँग जोडिएको Go-आधारित ब्याकडोर हो। यो प्याकेज VeloraDEX प्लेटफर्ममा टोकन स्वाप, डेल्टा ट्रेडिंग, र सीमा अर्डरहरूको लागि प्रयोग गरिने वैध विकेन्द्रीकृत वित्त टूलकिटसँग सम्बन्धित थियो।
प्याकेजको दुर्भावनापूर्ण संस्करणले रिमोट सर्भरबाट शेल स्क्रिप्ट प्राप्त गर्यो, अन्ततः म्याकोस-विशिष्ट MiniRAT बाइनरी तैनाथ गर्यो। एक पटक स्थापना भएपछि, मालवेयरले आक्रमणकारीहरूलाई फाइलहरू अपलोड गर्न, मनमानी शेल आदेशहरू कार्यान्वयन गर्न, र आक्रमणकारी-नियन्त्रित पूर्वाधारबाट थप पेलोडहरू डाउनलोड गर्न सक्षम बनायो।
JINX-0164 ले नक्कली भर्ती अवसरहरू र बनावटी प्राविधिक समस्याहरू समावेश गर्ने सामाजिक इन्जिनियरिङ रणनीतिहरू बारम्बार पुन: प्रयोग गरेको छ जसले पीडितहरूलाई धोखाधडी सफ्टवेयर समाधानहरू स्थापना गर्न आवश्यक पर्दछ। यो सुसंगत पद्धतिले प्राथमिक घुसपैठ भेक्टरको रूपमा मानव हेरफेरमा समूहको बलियो जोडलाई हाइलाइट गर्दछ।
उत्तर कोरियाली साइबर अपरेशनहरूमा सम्भावित लिङ्कहरू
अभियानका धेरै विशेषताहरू पहिले उत्तर कोरियाली साइबर खतरा समूहहरू जस्तै BlueNoroff, Contagious Interview, र UNC1069 सँग सम्बन्धित गतिविधिसँग मिल्दोजुल्दो छन्। अनुसन्धानकर्ताहरूले लक्षित ढाँचाहरू, नक्कली डोमेनहरू, र Astrill VPN जस्ता VPN सेवाहरूको प्रयोगमा समानताहरू उल्लेख गरे।
यी ओभरल्यापहरूको बावजुद, अनुसन्धानकर्ताहरूले JINX-0164 लाई उत्तर कोरियाली राज्य-प्रायोजित सञ्चालनहरूसँग प्रत्यक्ष रूपमा जोड्ने कुनै पनि पुष्टि गरिएको पूर्वाधार जडानहरू पहिचान गरेका छैनन्। हालका प्रमाणहरूले निश्चित श्रेयको सट्टा सञ्चालनात्मक समानताहरू सुझाव दिन्छन्।
