भेनन बैंकिङ मालवेयर
साइबर सुरक्षा अनुसन्धानकर्ताहरूले ब्राजिलका प्रयोगकर्ताहरूलाई लक्षित गर्दै नयाँ बैंकिङ मालवेयर अभियान पत्ता लगाएका छन्। VENON नामक मालवेयरले क्षेत्रीय साइबर अपराध इकोसिस्टममा उल्लेखनीय परिवर्तनलाई चिन्ह लगाउँछ किनभने यो परम्परागत रूपमा प्रयोग हुने डेल्फीको सट्टा रस्ट प्रोग्रामिङ भाषामा लेखिएको छ।
विकास दृष्टिकोणमा यो परिवर्तनले ल्याटिन अमेरिकी बैंकिङ मालवेयरमा महत्वपूर्ण विकासको प्रतिनिधित्व गर्दछ, जुन ऐतिहासिक रूपमा डेल्फी-आधारित फ्रेमवर्कहरूमा निर्भर छ। VENON ले विशेष रूपमा विन्डोज वातावरणलाई लक्षित गर्दछ र सुरुमा फेब्रुअरी २०२६ मा पत्ता लागेको थियो।
सामग्रीको तालिका
स्थापित बैंकिङ ट्रोजनहरूसँग व्यवहारिक समानताहरू
यसको आधुनिक कार्यान्वयन भाषाको बावजुद, VENON ले ग्रान्डोरेइरो, मेकोटियो र कोयोट जस्ता प्रसिद्ध ल्याटिन अमेरिकी बैंकिङ ट्रोजनहरूसँग मिल्दोजुल्दो परिचालन व्यवहार प्रदर्शन गर्दछ।
मालवेयरले यी खतराहरूसँग सम्बन्धित धेरै क्षमताहरूलाई एकीकृत गर्दछ:
- वैध वित्तीय इन्टरफेसहरूको प्रतिरूपण गर्न डिजाइन गरिएको बैंकिङ ओभरले तर्क
- लक्षित बैंकिङ अनुप्रयोगहरू वा वेबसाइटहरू पत्ता लगाउन सक्रिय विन्डो अनुगमन
- पीडितहरूलाई दुर्भावनापूर्ण पूर्वाधारतर्फ निर्देशित गर्न सर्टकट (LNK) अपहरण संयन्त्रहरू
यी समानताहरूले संकेत गर्छन् कि VENON लाई यस क्षेत्रमा अवस्थित बैंकिङ मालवेयर अभियानहरूले प्रयोग गर्ने सञ्चालन ढाँचाहरूको विस्तृत ज्ञानको साथ इन्जिनियर गरिएको थियो।
विकास सुराग र जेनेरेटिभ एआईको सम्भावित प्रयोग
अभियानलाई अहिलेसम्म औपचारिक रूपमा कुनै ज्ञात खतरा अभिनेता वा साइबर अपराध समूहलाई जिम्मेवार ठहराइएको छैन। यद्यपि, जनवरी २०२६ को पहिलेको निर्माणको फोरेन्सिक विश्लेषणले बाइनरीमा एम्बेड गरिएको विकासकर्ताको वातावरणको ट्रेसहरू प्रकट गर्यो। फाइल पथहरूले बारम्बार 'byst4' लेबल गरिएको Windows प्रयोगकर्ता प्रोफाइललाई सन्दर्भ गर्दछ, जस्तै C:\Users\byst4..., जसले खतरा अभिनेताको विकास सेटअपमा सम्भावित अन्तर्दृष्टिलाई संकेत गर्दछ।
कोड विश्लेषणले ल्याटिन अमेरिकी बैंकिङ मालवेयर प्रविधिहरूसँग पहिले नै परिचित विकासकर्ताहरूसँग मिल्दोजुल्दो संरचनालाई थप संकेत गर्दछ। साथै, कोडबेसले रस्टमा पहिले स्थापित क्षमताहरूलाई रिफ्याक्टर गर्न वा विस्तार गर्न जेनेरेटिभ एआई उपकरणहरूको सम्भावित प्रयोगको सुझाव दिन्छ। रस्टमा यस्तो कार्यक्षमता कार्यान्वयन गर्न पर्याप्त प्राविधिक विशेषज्ञता चाहिन्छ, जसले परियोजना पछाडिको परिष्कारलाई हाइलाइट गर्दछ।
बहु-चरण संक्रमण श्रृंखला र चोरी रणनीतिहरू
VENON लाई सावधानीपूर्वक संरचित संक्रमण श्रृंखला मार्फत डेलिभर गरिन्छ जसले अन्ततः DLL साइड-लोडिङ मार्फत एक दुर्भावनापूर्ण गतिशील लिङ्क लाइब्रेरी कार्यान्वयन गर्दछ। यो अभियानले पीडितहरूलाई पेलोड भएको ZIP अभिलेख डाउनलोड गर्न मनाउन क्लिकफिक्स प्रविधि जस्तै सामाजिक-इन्जिनियरिङ रणनीतिहरूमा भर पर्ने विश्वास गरिन्छ।
कार्यान्वयन पावरशेल स्क्रिप्टबाट सुरु हुन्छ जसले मालिसियस कम्पोनेन्टहरू पुन: प्राप्त गर्दछ र सुरु गर्दछ। कुनै पनि मालिसियस गतिविधि सुरु गर्नु अघि, DLL ले रक्षात्मक चोरी उपायहरूको एक विस्तृत सेट प्रदर्शन गर्दछ:
- एन्टी-स्यान्डबक्स जाँचहरू
- सुरक्षा अनुगमनलाई बाइपास गर्न अप्रत्यक्ष प्रणाली कलहरू
- ETW (विन्डोजको लागि घटना ट्रेसिङ) बाइपास प्रविधिहरू
- AMSI (एन्टिमालवेयर स्क्यान इन्टरफेस) बाइपास संयन्त्रहरू
- कुल नौवटा चोरी रणनीतिहरू बनाउने अतिरिक्त विश्लेषण विरोधी दिनचर्याहरू
यी जाँचहरू पास गरेपछि, मालवेयरले गुगल क्लाउड पूर्वाधारमा भण्डारण गरिएको क्लाउड-होस्ट गरिएको स्रोतबाट कन्फिगरेसन डेटा पुन: प्राप्त गर्दछ। त्यसपछि यसले दृढताको लागि निर्धारित कार्य स्थापना गर्दछ र यसको कमाण्ड-एन्ड-कन्ट्रोल सर्भरसँग वेबसकेट जडान स्थापना गर्दछ।
इटाउ बैंकिङ सफ्टवेयर विरुद्ध लक्षित सर्टकट अपहरण
दुर्भावनापूर्ण DLL मा भिजुअल बेसिक स्क्रिप्टमा लेखिएका दुई एम्बेडेड स्क्रिप्टहरू पनि छन्। यी स्क्रिप्टहरूले विशेष गरी इटाउ युनिबान्कोको डेस्कटप अनुप्रयोगलाई लक्षित गरी लक्षित सर्टकट अपहरण अपरेशन लागू गर्दछ।
यो संयन्त्रले वैध प्रणाली सर्टकटहरूलाई हेरफेर गरिएका संस्करणहरूसँग प्रतिस्थापन गर्दछ जसले पीडितहरूलाई संवेदनशील वित्तीय प्रमाणहरू कब्जा गर्न डिजाइन गरिएका आक्रमणकारी-नियन्त्रित वेब पृष्ठहरूमा रिडिरेक्ट गर्दछ। यो लक्षित दृष्टिकोणले ब्राजिल भित्र उच्च-मूल्य बैंकिङ प्लेटफर्महरूमा बलियो ध्यान केन्द्रित गरेको संकेत गर्दछ।
रोचक कुरा के छ भने, मालवेयरमा अनइन्स्टल गर्ने क्षमता समावेश छ जसले मूल सर्टकटहरू पुनर्स्थापित गर्न सक्छ। यो कार्यक्षमताले रिमोट अपरेटर नियन्त्रणलाई जनाउँछ र आक्रमणकारीहरूलाई अपरेशन पूरा भएपछि सम्झौताको प्रमाण हटाउन सक्षम बनाउँछ।
व्यापक वित्तीय लक्ष्यीकरण र प्रमाण चोरी रणनीति
VENON लाई सक्रिय विन्डो शीर्षक र ब्राउजर डोमेन दुवैको निगरानी गर्न इन्जिनियर गरिएको छ, जसले गर्दा प्रयोगकर्ताहरूले वित्तीय सेवाहरू पहुँच गर्दा पत्ता लगाउन सक्षम बनाउँछ। मालवेयर ३३ वित्तीय संस्थाहरू र डिजिटल सम्पत्ति प्लेटफर्महरू समावेश गर्ने गतिविधि पहिचान गर्न कन्फिगर गरिएको छ।
एक पटक लक्षित अनुप्रयोग वा वेबसाइट पत्ता लागेपछि, मालवेयरले जालसाजीपूर्ण ओभरले स्क्रिनहरू तैनाथ गर्दछ जसले वैध लगइन इन्टरफेसहरूको नक्कल गर्दछ। यी ओभरलेहरूसँग अन्तर्क्रिया गर्ने पीडितहरूले अनजानमा आक्रमणकारीहरूलाई सिधै आफ्नो प्रमाणहरू बुझाउँछन्, जसले खाता कब्जा र वित्तीय चोरीलाई सक्षम बनाउँछ।
