NokNok म्याक मालवेयर

इरानबाट APT35 को रूपमा पहिचान गरिएको राष्ट्र-राज्य साइबर अपराध अभिनेता Windows र macOS अपरेटिङ सिस्टम दुवैलाई असर गर्ने लक्षित भाला-फिसिङ आक्रमणहरूको लहरसँग सम्बन्धित छ। यी आक्रमणहरूले विशेष मालवेयर उपकरणहरूको साथ प्रणालीहरूमा घुसपैठ गर्ने लक्ष्य राख्छन्। APT35 आक्रमणहरूको विश्लेषणले पत्ता लगायो कि ह्याकरहरूले एक अद्वितीय संक्रमण श्रृंखला स्थापना गर्न विभिन्न क्लाउड होस्टिङ प्रदायकहरूलाई काममा लगाए।

साइबर अपराधीहरूले दुई पहिले अज्ञात मालवेयर धम्कीहरू पनि प्रयोग गरे। Windows प्रणालीहरूमा, APT35 ले GorjolEcho नामको भर्खरै पत्ता लागेको PowerShell ब्याकडोर प्रयोग गर्‍यो। वैकल्पिक रूपमा, यदि पीडितहरूले एप्पल उपकरण प्रयोग गरिरहेको फेला पर्यो भने, ह्याकरहरूले एक परिमार्जित संक्रमण श्रृंखलामा स्विच गरे जसमा म्याक मालवेयर खतरा नोकनोकको रूपमा ट्र्याक गरिएको थियो।

यसले macOS मा विशेष कमजोरीहरूको शोषण गर्ने अभिनेताको प्रयास देखाउँछ।

APT35 साइबर अपराध समूहले आफ्नो भाला-फिसिङ प्रविधिहरू विकास गर्न जारी राख्छ

APT35, जसलाई Charming Kitten, TA453, Mint Sandstorm, र Yellow Garuda पनि भनिन्छ, इरानको इस्लामिक रिभोलुसनरी गार्ड कोर्प्स (IRGC) सँग सम्बन्ध भएको एक प्रमुख खतरा समूह हो। यो समूह कम्तिमा २०११ देखि सक्रिय छ, व्यक्ति र संस्थालाई लक्षित गरी विभिन्न साइबर कार्यहरूमा संलग्न छ। तिनीहरूको जासुसी गतिविधिहरूको अथक प्रयासमा, APT35 ले बहु-व्यक्तिगत प्रतिरूपण भनेर चिनिने एक रणनीति प्रयोग गर्‍यो, जसमा धम्की दिने अभिनेताहरूले लक्ष्यहरूलाई धोका दिन र संवेदनशील जानकारीमा अनाधिकृत पहुँच प्राप्त गर्न धेरै पहिचानहरू धारण गर्ने समावेश गर्दछ।

APT35 द्वारा नियोजित यी परिष्कृत प्रविधिहरूले लक्षित साइबर जासूसी कार्यहरू सञ्चालन गर्न जारी प्रयासहरूलाई हाइलाइट गर्दछ। समूहले रणनीतिक रूपमा उच्च-प्रोफाइल लक्ष्यहरू चयन गर्दछ र विभिन्न रणनीतिहरू प्रयोग गर्दछ, जस्तै फिसिङ र अनुकूलन-निर्मित उपकरणहरूको उपयोग, प्रणालीहरूसँग सम्झौता गर्न र संवेदनशील जानकारीमा अनधिकृत पहुँच प्राप्त गर्न। APT35 ले POWERSTAR भनेर चिनिने PowerShell इम्प्लान्टको परिवर्धित संस्करण प्रयोग गरेर आफ्नो कार्यनीतिहरू अद्यावधिक गरेको देखाइएको छ, जसलाई GhostEcho वा CharmPower पनि भनिन्छ।

मे २०२३ को मध्यमा भएको एउटा विशेष आक्रमणको क्रममा, APT35 का खतरा अभिनेताहरूले फिसिङ अभियान सुरु गरे। तिनीहरूको लक्ष्य परराष्ट्र मामिलाहरूमा केन्द्रित अमेरिकी थिंक ट्याङ्कसँग सम्बन्धित परमाणु सुरक्षा विशेषज्ञ थिए। यो आक्रमणले गुगल स्क्रिप्ट म्याक्रोको रूपमा भेषमा खराब लिंक समावेश भ्रामक इमेलहरू पठाएको थियो। एक पटक क्लिक गरेपछि, लिङ्कले RAR संग्रह होस्टिंग ड्रपबक्स URL मा लक्ष्य रिडिरेक्ट गर्यो।

APT35 ले एप्पल प्रयोगकर्ताहरूलाई नोकनोक मालवेयरसँग सम्झौता गर्न विभिन्न आक्रमण चेनहरू प्रयोग गर्यो।

यदि छनोट गरिएको लक्ष्यले एप्पल उपकरण प्रयोग गरिरहेको छ भने, APT35 ले कथित रूपमा यसको विधिहरू समायोजन गर्‍यो र माध्यमिक रणनीति कार्यान्वयन गर्‍यो। यसमा जिप अभिलेख सहितको दोस्रो इमेल पठाउनु समावेश थियो जसले Mach-O बाइनरी फाइल समावेश गरेको थियो। फाइलले आफैलाई VPN अनुप्रयोगको रूपमा भेषमा राख्यो, तर वास्तवमा, यसले AppleScript को रूपमा काम गर्यो। जब कार्यान्वयन हुन्छ, यो स्क्रिप्टले NokNok भनिने ब्याकडोरको डाउनलोड प्रारम्भ गर्न रिमोट सर्भरसँग जडान स्थापना गर्दछ।

NokNok ब्याकडोर, स्थापना पछि, विभिन्न क्षमताहरू भएका चार मोड्युलहरू पुन: प्राप्त गर्दछ। यी मोड्युलहरूले चलिरहेको प्रक्रियाहरू, स्थापित अनुप्रयोगहरू, र प्रणाली मेटाडेटा जस्ता जानकारीको सङ्कलन सक्षम गर्दछ। थप रूपमा, तिनीहरूले LaunchAgents को उपयोग गरेर सम्झौता प्रणाली भित्र दृढता को स्थापना को सुविधा दिन्छ।

उल्लेखनीय रूपमा, यी मोड्युलहरूको कार्यक्षमताले APT35 द्वारा नियोजित पहिले पहिचान गरिएको उपकरण, POWERSTAR सँग सम्बन्धित मोड्युलहरूसँग उल्लेखनीय समानता छ। यसले दुई मालवेयर स्ट्रेनहरूको क्षमता र उद्देश्यमा महत्त्वपूर्ण ओभरल्यापलाई संकेत गर्दछ। यसबाहेक, NokNok ले macOS मालवेयरसँग कोड समानताहरू प्रदर्शन गर्दछ जुन पहिले 2017 मा समान साइबर अपराध समूहलाई श्रेय दिइएको थियो।

आफ्नो रणनीतिलाई अझ बढावा दिन, ह्याकरहरूले फर्जी फाइल-साझेदारी वेबसाइट पनि स्थापना गरे। यो वेबसाइटले सम्भवतः फिंगरप्रिन्ट आगन्तुकहरू, सम्भावित पीडितहरूको बारेमा जानकारी सङ्कलन गर्न, र उनीहरूको आक्रमणको सफलताको निगरानी गर्न ट्र्याकिङ संयन्त्रको रूपमा कार्य गर्दछ।

TA453 द्वारा नियोजित यी अनुकूली प्रविधिहरूले Apple प्रयोगकर्ताहरूलाई लक्षित गर्न र तिनीहरूको प्रणालीको शोषण गर्ने निरन्तर प्रयासहरू प्रदर्शन गर्दछ। यसले नियमित रूपमा सफ्टवेयर अपडेट गर्ने, भरपर्दो एन्टिभाइरस समाधानहरू प्रयोग गर्ने, र इमेल संलग्नकहरूसँग अन्तर्क्रिया गर्दा वा अविश्वसनीय स्रोतहरूबाट फाइलहरू डाउनलोड गर्दा सावधानी अपनाउने जस्ता बलियो सुरक्षा अभ्यासहरू कायम राख्ने महत्त्वलाई जोड दिन्छ। विकसित खतराहरू बारे जानकारी राखेर र व्यापक सुरक्षा उपायहरू लागू गरेर, प्रयोगकर्ताहरूले APT35 जस्ता खतरा अभिनेताहरूको गतिविधिहरूबाट आफूलाई अझ राम्रोसँग सुरक्षित गर्न सक्छन्।