पिकासोलोडर जाभास्क्रिप्ट भेरियन्ट

घोस्टराइटर भनेर चिनिने धम्की समूह युक्रेनका सरकारी संस्थाहरूलाई लक्षित गर्ने साइबर आक्रमणको नयाँ लहरसँग जोडिएको छ। कम्तिमा २०१६ देखि सक्रिय, यो समूहले युक्रेन र छिमेकी राज्यहरूमा बलियो परिचालन केन्द्रित हुँदै पूर्वी युरोपभरि साइबर जासुसी र प्रभाव अभियानहरू सञ्चालन गर्ने प्रतिष्ठा निर्माण गरेको छ।

धम्की दिने व्यक्तिलाई फ्रोस्टीनेबर, पुष्चा, स्टर्म-०२५७, TA४४५, UAC-००५७, उम्ब्रल बाइसन, UNC११५१, र ह्वाइट लिंक्स जस्ता धेरै उपनामहरू अन्तर्गत पनि ट्र्याक गरिएको छ। वर्षौंको दौडान, समूहले सुरक्षा नियन्त्रणहरू बाइपास गर्न र दीर्घकालीन परिचालन प्रभावकारिता कायम राख्ने प्रयासमा आफ्नो पूर्वाधार, आक्रमण शृङ्खलाहरू, र चोरी विधिहरूलाई निरन्तर परिष्कृत गर्दै आएको छ।

निरन्तर विकसित हुँदै गइरहेको मालवेयर आर्सेनल

घोस्टराइटरले आफ्नो मालवेयर इकोसिस्टम र डेलिभरी प्रविधिहरूलाई निरन्तर आधुनिकीकरण गरेको छ। पहिलेका अभियानहरू पिकासोलोडर मालवेयर परिवारमा धेरै निर्भर थिए, जसले कोबाल्ट स्ट्राइक बीकन र njRAT जस्ता अतिरिक्त पेलोडहरूको लागि डेलिभरी संयन्त्रको रूपमा काम गर्थ्यो।

२०२३ को अन्त्यतिर, समूहले PicassoLoader र Cobalt Strike वितरण गर्न WinRAR जोखिम CVE-2023-38831 को शोषण गरेर आफ्नो क्षमताहरू विस्तार गर्‍यो। अर्को वर्ष, पोलिश संस्थाहरू CVE-2024-42009 को रूपमा पहिचान गरिएको Roundcube मा क्रस-साइट स्क्रिप्टिङ त्रुटिको दुरुपयोग गर्ने फिसिङ अभियानको निशाना बने। दुर्भावनापूर्ण गतिविधिले आक्रमणकारीहरूलाई पीडितहरूबाट इमेल प्रमाणहरू सङ्कलन गर्न सक्षम JavaScript कार्यान्वयन गर्न सक्षम बनायो।

जुन २०२५ मा मेलबक्स सामग्रीहरू निरीक्षण गर्न, सम्पर्क सूचीहरू चोर्न र थप फिसिङ सन्देशहरू वितरण गर्न पछि सम्झौता गरिएका खाताहरू प्रयोग गरियो। २०२५ को अन्त्यसम्ममा, समूहले आफ्नो सञ्चालनमा उन्नत एन्टी-विश्लेषण प्रविधिहरू पनि एकीकृत गरिसकेको थियो। केही ल्युर कागजातहरूले दुर्भावनापूर्ण संक्रमण श्रृंखलालाई छनौट रूपमा सक्रिय गर्न र स्वचालित विश्लेषण वातावरणलाई निराश पार्न गतिशील CAPTCHA प्रमाणीकरण प्रयोग गर्न थाले।

परिष्कृत भाला-फिसिङ अभियानहरू युक्रेनलाई लक्षित गर्छन्

मार्च २०२६ देखि, अनुसन्धानकर्ताहरूले दुर्भावनापूर्ण PDF संलग्नकहरू बोकेका भाला-फिसिङ इमेलहरू मार्फत युक्रेनी सरकारी संस्थाहरूमा निर्देशित नयाँ अभियान अवलोकन गरेका छन्। नक्कली कागजातहरूले वैध देखाउन र पीडित संलग्नता बढाउने प्रयासमा युक्रेनी दूरसञ्चार प्रदायक Ukrtelecom को नक्कल गर्छन्।

आक्रमण श्रृंखला PDF फाइलहरू भित्र एम्बेडेड लिङ्कहरूमा निर्भर गर्दछ जसले पीडितहरूलाई जाभास्क्रिप्ट-आधारित पेलोड भएको दुर्भावनापूर्ण RAR अभिलेखमा रिडिरेक्ट गर्दछ। एक पटक कार्यान्वयन भएपछि, मालवेयरले पृष्ठभूमिमा पिकासोलोडरको जाभास्क्रिप्ट संस्करण चुपचाप सुरु गर्दा वैधताको भ्रम जोगाउन एक डिकोय कागजात प्रदर्शन गर्दछ। लोडरले पछि सम्झौता गरिएका प्रणालीहरूमा कोबाल्ट स्ट्राइक बीकन तैनाथ गर्दछ।

जियोफेन्सिङ र पीडित प्रमाणीकरणले गोप्यता बढाउँछ

पछिल्लो अभियानको सबैभन्दा उल्लेखनीय पक्षहरू मध्ये एक जियोफेन्सिङ र स्तरित पीडित प्रमाणीकरण संयन्त्रको कार्यान्वयन हो। युक्रेन बाहिरका आईपी ठेगानाहरूबाट जडान हुने प्रणालीहरूले दुर्भावनापूर्ण पेलोडको सट्टा हानिरहित PDF सामग्री प्राप्त गर्छन्, जसले गर्दा अनुसन्धानकर्ताहरू र स्वचालित स्क्यानिङ प्रणालीहरूमा जोखिम उल्लेखनीय रूपमा कम हुन्छ।

मालवेयरले थप पेलोडहरू डेलिभर गर्नु अघि सम्झौता गरिएका होस्टहरूको व्यापक फिंगरप्रिन्टिङ पनि गर्दछ। सङ्कलन गरिएको प्रणाली जानकारी प्रत्येक दस मिनेटमा आक्रमणकारी-नियन्त्रित पूर्वाधारमा प्रसारित हुन्छ, जसले अपरेटरहरूलाई म्यानुअल रूपमा निर्धारण गर्न सक्षम बनाउँछ कि पीडितले थप शोषणको वारेन्टी दिन्छ कि गर्दैन। यो प्रमाणीकरण प्रक्रिया पूरा भएपछि मात्र पूर्वाधारले कोबाल्ट स्ट्राइक बीकन स्थापना गर्न जिम्मेवार तेस्रो-चरणको जाभास्क्रिप्ट ड्रपर प्रदान गर्दछ।

यो अपरेशनले प्रयोगकर्ता-एजेन्ट र IP-आधारित प्रमाणीकरण सहित स्वचालित फिल्टरिङ विधिहरूलाई म्यानुअल अपरेटर समीक्षासँग जोड्दछ, जसले अत्यधिक अनुशासित र परिपक्व आक्रमण पद्धतिलाई हाइलाइट गर्दछ।

क्षेत्रीय लक्षित रणनीति पूर्वी युरोपभरि विस्तार हुन्छ

हालको गतिविधि मुख्यतया युक्रेनमा सैन्य, रक्षा र सरकारी निकायहरूमा केन्द्रित देखिन्छ। यद्यपि, पोल्याण्ड र लिथुआनियामा घोस्टराइटरलाई श्रेय दिइएको अपरेशनले धेरै महत्वपूर्ण क्षेत्रहरूमा विस्तारित फराकिलो लक्षित रणनीति प्रदर्शन गर्दछ:

• औद्योगिक र उत्पादन संगठनहरू
• स्वास्थ्य सेवा र औषधि संस्थाहरू
• रसद प्रदायकहरू
• सरकारी एजेन्सीहरू

घोस्टराइटरको टुलिङ, डेलिभरी मेकानिजम र अपरेशनल सुरक्षा अभ्यासहरूको निरन्तर विकासले समूहको दृढता र अनुकूलन क्षमतालाई जोड दिन्छ। अनुकूलित ल्युर कागजातहरू, छनौट पेलोड डेलिभरी, एन्टी-एनालिसिस प्रविधिहरू, र म्यानुअल पीडित प्रमाणीकरणलाई संयोजन गर्ने यसको क्षमताले परिचालन प्रभावलाई अधिकतम बनाउँदै पत्ता लगाउनबाट बच्न डिजाइन गरिएको परिष्कृत साइबर-जासूसी क्षमता प्रदर्शन गर्दछ।