ਕ੍ਰਿਪਟੋ ਕਲਿਪਰ ਵਿੰਡੋਜ਼ ਅਟੈਕ ਮੁਹਿੰਮ

ਸੁਰੱਖਿਆ ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਇੱਕ ਸੂਝਵਾਨ ਵਿੰਡੋਜ਼-ਅਧਾਰਤ ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਕਲਿੱਪਰ ਓਪਰੇਸ਼ਨ ਦੇ ਵੇਰਵਿਆਂ ਦਾ ਖੁਲਾਸਾ ਕੀਤਾ ਹੈ ਜੋ ਫਰਵਰੀ 2026 ਤੋਂ ਸਰਗਰਮ ਹੈ। ਇਹ ਮੁਹਿੰਮ ਕਲਿੱਪਬੋਰਡ-ਨਿਗਰਾਨੀ ਮਾਲਵੇਅਰ ਦੀ ਵਰਤੋਂ ਕਰਦੀ ਹੈ ਜੋ ਸਵੈ-ਪ੍ਰਸਾਰ ਦੇ ਸਮਰੱਥ ਹੈ ਅਤੇ ਆਪਣੇ ਸੰਚਾਰ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਨੂੰ ਛੁਪਾਉਣ ਲਈ ਟੋਰ ਅਗਿਆਤ ਨੈੱਟਵਰਕ ਦਾ ਲਾਭ ਉਠਾਉਂਦੀ ਹੈ।

ਰਵਾਇਤੀ ਮਾਲਵੇਅਰ ਓਪਰੇਸ਼ਨਾਂ ਦੇ ਉਲਟ ਜੋ ਸਟੈਂਡਰਡ ਇੰਸਟਾਲਰਾਂ ਜਾਂ ਜਨਤਕ ਤੌਰ 'ਤੇ ਐਕਸਪੋਜ਼ ਕੀਤੇ ਕਮਾਂਡ-ਐਂਡ-ਕੰਟਰੋਲ (C2) ਸਰਵਰਾਂ 'ਤੇ ਨਿਰਭਰ ਕਰਦੇ ਹਨ, ਇਹ ਖ਼ਤਰਾ ਇੱਕ ਪੋਰਟੇਬਲ ਟੋਰ ਕਲਾਇੰਟ ਨੂੰ ਤੈਨਾਤ ਕਰਦਾ ਹੈ ਅਤੇ ਸਾਰੇ ਟ੍ਰੈਫਿਕ ਨੂੰ ਇੱਕ ਸਥਾਨਕ SOCKS5 ਪ੍ਰੌਕਸੀ ਰਾਹੀਂ ਰੂਟ ਕਰਦਾ ਹੈ। ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਚੋਰੀ, ਡੇਟਾ ਐਕਸਫਿਲਟਰੇਸ਼ਨ, ਅਤੇ ਰਿਮੋਟ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਸਮਰੱਥਾਵਾਂ ਨੂੰ ਜੋੜ ਕੇ, ਮਾਲਵੇਅਰ ਨਾ ਸਿਰਫ਼ ਇੱਕ ਕਲਿੱਪਰ ਵਜੋਂ ਕੰਮ ਕਰਦਾ ਹੈ, ਸਗੋਂ ਇੱਕ ਹਲਕੇ ਬੈਕਡੋਰ ਵਜੋਂ ਵੀ ਕੰਮ ਕਰਦਾ ਹੈ।

ਕਲਿਪਰ ਮਾਲਵੇਅਰ ਕਿਵੇਂ ਕੰਮ ਕਰਦਾ ਹੈ

ਕਲਿੱਪਰ ਮਾਲਵੇਅਰ ਪੀੜਤ ਦੀ ਕਲਿੱਪਬੋਰਡ ਗਤੀਵਿਧੀ ਦੀ ਚੁੱਪਚਾਪ ਨਿਗਰਾਨੀ ਕਰਨ ਅਤੇ ਮੈਮੋਰੀ ਵਿੱਚ ਕਾਪੀ ਕੀਤੀ ਗਈ ਸੰਵੇਦਨਸ਼ੀਲ ਜਾਣਕਾਰੀ ਨੂੰ ਰੋਕਣ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ। ਇਸਦਾ ਮੁੱਖ ਉਦੇਸ਼ ਜਾਣੇ-ਪਛਾਣੇ ਬਲਾਕਚੈਨ ਫਾਰਮੈਟਾਂ ਨਾਲ ਜੁੜੇ ਵਾਲਿਟ ਪਤਿਆਂ ਦੀ ਪਛਾਣ ਕਰਕੇ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਹਮਲਾਵਰ-ਨਿਯੰਤਰਿਤ ਵਿਕਲਪਾਂ ਨਾਲ ਬਦਲ ਕੇ ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਲੈਣ-ਦੇਣ ਨੂੰ ਹੇਰਾਫੇਰੀ ਕਰਨਾ ਹੈ। ਨਤੀਜੇ ਵਜੋਂ, ਜਾਇਜ਼ ਪ੍ਰਾਪਤਕਰਤਾਵਾਂ ਲਈ ਬਣਾਏ ਗਏ ਫੰਡ ਪੀੜਤ ਦੀ ਜਾਣਕਾਰੀ ਤੋਂ ਬਿਨਾਂ ਰੀਡਾਇਰੈਕਟ ਕੀਤੇ ਜਾ ਸਕਦੇ ਹਨ।

ਇਹ ਮੁਹਿੰਮ ਇੱਕ ਏਮਬੈਡਡ ਟੋਰ ਪ੍ਰੌਕਸੀ ਲਾਂਚ ਕਰਨ ਅਤੇ ਇੱਕ ਲੁਕਵੇਂ-ਸੇਵਾ C2 ਸਰਵਰ ਨਾਲ ਸੰਚਾਰ ਕਰਨ ਲਈ ਵਿੰਡੋਜ਼ ਸਕ੍ਰਿਪਟ ਹੋਸਟ ਅਤੇ ਐਕਟਿਵਐਕਸ-ਅਧਾਰਤ ਕਾਰਜਸ਼ੀਲਤਾ 'ਤੇ ਨਿਰਭਰ ਕਰਦੀ ਹੈ। ਮਾਲਵੇਅਰ ਨਿਰੰਤਰ ਕਲਿੱਪਬੋਰਡ ਨਿਗਰਾਨੀ ਕਰਦਾ ਹੈ, ਸਕ੍ਰੀਨਸ਼ਾਟ ਕੈਪਚਰ ਕਰਦਾ ਹੈ, ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਨਾਲ ਸਬੰਧਤ ਜਾਣਕਾਰੀ ਚੋਰੀ ਕਰਦਾ ਹੈ, ਅਤੇ ਅਸਲ ਸਮੇਂ ਵਿੱਚ ਵਾਲਿਟ ਪਤਿਆਂ ਨੂੰ ਬਦਲਦਾ ਹੈ।

USB-ਅਧਾਰਤ ਇਨਫੈਕਸ਼ਨ ਚੇਨ ਅਤੇ ਕੀੜੇ ਦੀ ਕਾਰਜਸ਼ੀਲਤਾ

ਇਹ ਹਮਲਾ ਹਟਾਉਣਯੋਗ USB ਸਟੋਰੇਜ ਡਿਵਾਈਸਾਂ ਰਾਹੀਂ ਖਤਰਨਾਕ Windows ਸ਼ਾਰਟਕੱਟ (LNK) ਫਾਈਲਾਂ ਦੀ ਵੰਡ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ। ਜਦੋਂ ਕੋਈ ਪੀੜਤ ਇਹਨਾਂ ਵਿੱਚੋਂ ਇੱਕ ਸ਼ਾਰਟਕੱਟ ਖੋਲ੍ਹਦਾ ਹੈ, ਤਾਂ ਇੱਕ ਕੀੜਾ ਭਾਗ ਕਿਰਿਆਸ਼ੀਲ ਹੋ ਜਾਂਦਾ ਹੈ। ਮਾਲਵੇਅਰ ਪਹਿਲਾਂ ਇਹ ਨਿਰਧਾਰਤ ਕਰਦਾ ਹੈ ਕਿ ਕੀ ਸਿਸਟਮ ਪਹਿਲਾਂ ਹੀ ਸੰਕਰਮਿਤ ਹੈ ਅਤੇ ਬਾਕੀ ਪੇਲੋਡ ਨੂੰ ਸਿਰਫ਼ ਤਾਂ ਹੀ ਡਾਊਨਲੋਡ ਕਰਦਾ ਹੈ ਜੇਕਰ ਕੋਈ ਪਹਿਲਾਂ ਸੰਕਰਮਣ ਦਾ ਪਤਾ ਨਹੀਂ ਲੱਗਦਾ।

LNK ਪੇਲੋਡ ਸਰਗਰਮੀ ਨਾਲ ਜੁੜੇ USB ਡਿਵਾਈਸਾਂ ਨੂੰ ਆਮ ਤੌਰ 'ਤੇ ਵਰਤੇ ਜਾਣ ਵਾਲੇ ਦਸਤਾਵੇਜ਼ ਫਾਰਮੈਟਾਂ ਲਈ ਖੋਜਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ DOC, XLSX, ਅਤੇ PDF ਫਾਈਲਾਂ ਸ਼ਾਮਲ ਹਨ। ਇੱਕ ਵਾਰ ਖੋਜਣ ਤੋਂ ਬਾਅਦ, ਇਹਨਾਂ ਫਾਈਲਾਂ ਨੂੰ ਲੁਕਾਇਆ ਜਾਂਦਾ ਹੈ ਅਤੇ ਇੱਕੋ ਜਿਹੇ ਨਾਮ ਵਾਲੀਆਂ ਖਤਰਨਾਕ ਸ਼ਾਰਟਕੱਟ ਫਾਈਲਾਂ ਨਾਲ ਬਦਲ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ। ਇਹ ਧੋਖਾ ਦੇਣ ਵਾਲੀ ਤਕਨੀਕ ਇਸ ਸੰਭਾਵਨਾ ਨੂੰ ਵਧਾਉਂਦੀ ਹੈ ਕਿ ਉਪਭੋਗਤਾ ਅਣਜਾਣੇ ਵਿੱਚ ਮਾਲਵੇਅਰ ਨੂੰ ਚਲਾਉਣਗੇ ਜਦੋਂ ਕਿ ਇੱਕ ਜਾਇਜ਼ ਦਸਤਾਵੇਜ਼ ਜਾਪਦਾ ਹੈ ਨੂੰ ਖੋਲ੍ਹਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਨਗੇ।

ਸ਼ੁਰੂਆਤੀ ਸਮਝੌਤੇ ਤੋਂ ਪਰੇ, ਕੀੜਾ ਵਾਧੂ ਗੈਰ-ਸੰਕਰਮਿਤ USB ਡਿਵਾਈਸਾਂ ਵਿੱਚ ਲਾਗ ਫੈਲਾਉਣ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਹੈ। ਇਹ ਕੀੜੇ ਅਤੇ ਚੋਰੀ ਕਰਨ ਵਾਲੇ ਹਿੱਸਿਆਂ ਦੋਵਾਂ ਲਈ ਅਨੁਸੂਚਿਤ ਕਾਰਜ ਬਣਾ ਕੇ ਸਥਿਰਤਾ ਵੀ ਸਥਾਪਿਤ ਕਰਦਾ ਹੈ।

ਐਡਵਾਂਸਡ ਚੋਰੀ ਅਤੇ ਨਿਰੰਤਰ ਕਮਾਂਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ

ਕਲਿੱਪਰ ਕੰਪੋਨੈਂਟ WScript ਅਤੇ ActiveXObject ਦੀ ਵਰਤੋਂ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਨਾਲ ਸਿੱਧੇ ਤੌਰ 'ਤੇ ਇੰਟਰੈਕਟ ਕਰਨ ਲਈ ਕਰਦਾ ਹੈ। ਖੋਜ ਦੀ ਸੰਭਾਵਨਾ ਨੂੰ ਘਟਾਉਣ ਲਈ, ਮਾਲਵੇਅਰ ਸਰਗਰਮ ਪ੍ਰਕਿਰਿਆਵਾਂ ਦੀ ਜਾਂਚ ਕਰਦਾ ਹੈ ਅਤੇ ਜੇਕਰ ਟਾਸਕ ਮੈਨੇਜਰ ਚੱਲ ਰਿਹਾ ਹੈ ਤਾਂ ਆਪਣੇ ਆਪ ਨੂੰ ਖਤਮ ਕਰ ਦਿੰਦਾ ਹੈ।

ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਦੇ ਅੰਤਿਮ ਪੜਾਅ ਦੌਰਾਨ, ਇੱਕ ਲੁਕਵੀਂ ਵਿੰਡੋ ਵਿੱਚ ਇੱਕ ਨਾਮ ਬਦਲਿਆ ਗਿਆ ਟੋਰ ਬਾਈਨਰੀ ਲਾਂਚ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਫਿਰ ਮਾਲਵੇਅਰ ਇੱਕ ਵਿਲੱਖਣ ਪੀੜਤ ਪਛਾਣਕਰਤਾ ਤਿਆਰ ਕਰਦਾ ਹੈ ਅਤੇ ਇਸਨੂੰ ਆਪਣੇ ਰਿਮੋਟ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਨਾਲ ਰਜਿਸਟਰ ਕਰਦਾ ਹੈ। ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਤੋਂ ਬਾਅਦ, ਇਹ ਇੱਕ ਨਿਰੰਤਰ ਸੰਚਾਲਨ ਲੂਪ ਵਿੱਚ ਦਾਖਲ ਹੁੰਦਾ ਹੈ, ਲਗਭਗ ਹਰ 500 ਮਿਲੀਸਕਿੰਟ ਵਿੱਚ ਕਲਿੱਪਬੋਰਡ ਸਮੱਗਰੀ ਦੀ ਨਿਗਰਾਨੀ ਕਰਦੇ ਹੋਏ ਕਮਾਂਡਾਂ ਲਈ C2 ਸਰਵਰ ਨੂੰ ਪੋਲ ਕਰਦਾ ਹੈ।

ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਵਾਲੇਟ ਡੇਟਾ, ਸੀਡ ਵਾਕਾਂਸ਼ਾਂ ਅਤੇ ਪ੍ਰਾਈਵੇਟ ਕੁੰਜੀਆਂ ਦੀ ਕਟਾਈ ਤੋਂ ਇਲਾਵਾ, ਮਾਲਵੇਅਰ ਸਕ੍ਰੀਨਸ਼ਾਟ ਕੈਪਚਰ ਕਰਦਾ ਹੈ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਟੋਰ ਨੈੱਟਵਰਕ ਰਾਹੀਂ ਟ੍ਰਾਂਸਫਰ ਕਰਦਾ ਹੈ। ਜੇਕਰ C2 ਸਰਵਰ EVAL ਕਮਾਂਡ ਨਾਲ ਜਵਾਬ ਦਿੰਦਾ ਹੈ, ਤਾਂ ਹਮਲਾਵਰ ਦੁਆਰਾ ਸਪਲਾਈ ਕੀਤਾ ਕੋਡ ਸਮਝੌਤਾ ਕੀਤੇ ਸਿਸਟਮ 'ਤੇ ਗਤੀਸ਼ੀਲ ਤੌਰ 'ਤੇ ਚਲਾਇਆ ਜਾਂਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਖ਼ਤਰੇ ਦੀਆਂ ਸਮਰੱਥਾਵਾਂ ਵਿੱਚ ਮਹੱਤਵਪੂਰਨ ਵਾਧਾ ਹੁੰਦਾ ਹੈ।

ਮੁੱਖ ਸੂਚਕ ਅਤੇ ਰੱਖਿਆਤਮਕ ਸਿਫ਼ਾਰਸ਼ਾਂ

ਸੁਰੱਖਿਆ ਟੀਮਾਂ ਨੂੰ ਸਲਾਹ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ ਕਿ ਉਹ ਸਿਰਫ਼ ਸਥਿਰ ਮਾਲਵੇਅਰ ਦਸਤਖਤਾਂ 'ਤੇ ਨਿਰਭਰ ਕਰਨ ਦੀ ਬਜਾਏ ਵਿਵਹਾਰ ਸੰਬੰਧੀ ਖੋਜ ਤਕਨੀਕਾਂ 'ਤੇ ਧਿਆਨ ਕੇਂਦਰਿਤ ਕਰਨ। ਸ਼ੱਕੀ PowerShell-ਅਧਾਰਿਤ ਸਕ੍ਰੀਨ-ਕੈਪਚਰ ਗਤੀਵਿਧੀ ਅਤੇ curl, cmd.exe, PowerShell, ਜਾਂ ਹੋਰ ਅਣਕਿਆਸੇ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਸਮੇਤ ਉਪਯੋਗਤਾਵਾਂ ਨੂੰ ਲਾਂਚ ਕਰਨ ਲਈ WScript ਜਾਂ CScript ਵਰਗੇ Windows ਸਕ੍ਰਿਪਟਿੰਗ ਇੰਜਣਾਂ ਦੀ ਅਸਾਧਾਰਨ ਵਰਤੋਂ ਵੱਲ ਖਾਸ ਧਿਆਨ ਦਿੱਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ।

ਸਿਫਾਰਸ਼ ਕੀਤੇ ਗਏ ਰੱਖਿਆਤਮਕ ਉਪਾਵਾਂ ਵਿੱਚ ਸ਼ਾਮਲ ਹਨ:

• ਸਾਰੇ ਹਟਾਉਣਯੋਗ ਮੀਡੀਆ ਲਈ ਆਟੋਰਨ ਅਤੇ ਆਟੋਪਲੇ ਕਾਰਜਕੁਸ਼ਲਤਾ ਨੂੰ ਅਯੋਗ ਕਰਨਾ, ਗਰੁੱਪ ਪਾਲਿਸੀ ਆਬਜੈਕਟ (GPOs) ਰਾਹੀਂ USB ਡਿਵਾਈਸਾਂ ਤੋਂ LNK ਫਾਈਲ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਨੂੰ ਬਲੌਕ ਕਰਨਾ, ਅਤੇ wscript.exe ਅਤੇ cscript.exe ਦੀ ਬੇਲੋੜੀ ਵਰਤੋਂ ਨੂੰ ਸੀਮਤ ਕਰਨਾ।
• ਨਿਗਰਾਨੀ ਪ੍ਰਣਾਲੀਆਂ ਜੋ ਅਸਧਾਰਨ ਕਲਿੱਪਬੋਰਡ ਗਤੀਵਿਧੀ, ਅਣਅਧਿਕਾਰਤ ਸਕ੍ਰੀਨ-ਕੈਪਚਰ ਵਿਵਹਾਰ, ਅਤੇ ਸ਼ੱਕੀ ਟੋਰ-ਸਬੰਧਤ ਨੈੱਟਵਰਕ ਸੰਚਾਰਾਂ ਲਈ ਵਿੱਤੀ ਜਾਂ ਕ੍ਰਿਪਟੋਕਰੰਸੀ-ਸਬੰਧਤ ਕਾਰਜਾਂ ਨੂੰ ਸੰਭਾਲਦੀਆਂ ਹਨ।

ਇਹ ਖ਼ਤਰਾ ਕਿਉਂ ਸਾਹਮਣੇ ਆਉਂਦਾ ਹੈ

ਇਹ ਮੁਹਿੰਮ ਵਿੱਤੀ ਤੌਰ 'ਤੇ ਪ੍ਰੇਰਿਤ ਮਾਲਵੇਅਰ ਦੀ ਵਧਦੀ ਸੂਝ-ਬੂਝ ਨੂੰ ਦਰਸਾਉਂਦੀ ਹੈ। USB-ਅਧਾਰਤ ਕੀੜੇ ਦੇ ਪ੍ਰਸਾਰ, ਕਲਿੱਪਬੋਰਡ ਹਾਈਜੈਕਿੰਗ, ਟੋਰ-ਅਪ੍ਰਤੱਖ ਸੰਚਾਰ, ਸਕ੍ਰੀਨਸ਼ੌਟ ਐਕਸਫਿਲਟਰੇਸ਼ਨ, ਅਤੇ ਰਿਮੋਟ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਨੂੰ ਇੱਕ ਸਿੰਗਲ ਟੂਲਕਿੱਟ ਵਿੱਚ ਜੋੜ ਕੇ, ਆਪਰੇਟਰਾਂ ਨੇ ਇੱਕ ਬਹੁਪੱਖੀ ਖ਼ਤਰਾ ਪੈਦਾ ਕੀਤਾ ਹੈ ਜੋ ਕ੍ਰਿਪਟੋਕੁਰੰਸੀ ਸੰਪਤੀਆਂ ਨੂੰ ਚੋਰੀ ਕਰਨ ਅਤੇ ਸੰਕਰਮਿਤ ਸਿਸਟਮਾਂ ਤੱਕ ਲੰਬੇ ਸਮੇਂ ਦੀ ਪਹੁੰਚ ਨੂੰ ਬਣਾਈ ਰੱਖਣ ਦੇ ਸਮਰੱਥ ਹੈ। ਲੁਕਵੇਂ-ਸੇਵਾ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੀ ਵਰਤੋਂ ਖੋਜ ਅਤੇ ਟੇਕਡਾਊਨ ਯਤਨਾਂ ਨੂੰ ਹੋਰ ਵੀ ਗੁੰਝਲਦਾਰ ਬਣਾਉਂਦੀ ਹੈ, ਜਿਸ ਨਾਲ ਕਿਰਿਆਸ਼ੀਲ ਵਿਵਹਾਰਕ ਨਿਗਰਾਨੀ ਇੱਕ ਮਹੱਤਵਪੂਰਨ ਰੱਖਿਆ ਰਣਨੀਤੀ ਬਣ ਜਾਂਦੀ ਹੈ।