NccTrojan
nccTrojan ਧਮਕੀ ਨੂੰ TA428 ਵਜੋਂ ਜਾਣੇ ਜਾਂਦੇ ਇੱਕ ਚੀਨੀ-ਸਮਰਥਿਤ APT (ਐਡਵਾਂਸਡ ਪਰਸਿਸਟੈਂਟ ਥ੍ਰੇਟ) ਸਮੂਹ ਦੁਆਰਾ ਕੀਤੇ ਜਾਣ ਵਾਲੇ ਹਮਲਿਆਂ ਦੀ ਇੱਕ ਲੜੀ ਵਿੱਚ ਵਰਤਿਆ ਗਿਆ ਹੈ। ਸਾਈਬਰ ਅਪਰਾਧੀ ਕਈ ਪੂਰਬੀ ਯੂਰਪੀਅਨ ਦੇਸ਼ਾਂ ਅਤੇ ਅਫਗਾਨਿਸਤਾਨ ਵਿੱਚ ਸਥਿਤ ਫੌਜ ਨਾਲ ਸਬੰਧਤ ਉੱਦਮਾਂ ਅਤੇ ਜਨਤਕ ਸੰਸਥਾਵਾਂ ਨੂੰ ਨਿਸ਼ਾਨਾ ਬਣਾ ਰਹੇ ਹਨ। ਧਮਕੀ ਦੇਣ ਵਾਲੀਆਂ ਮੁਹਿੰਮਾਂ ਦਾ ਟੀਚਾ ਡਾਟਾ-ਸੰਗ੍ਰਹਿ ਅਤੇ ਸਾਈਬਰ ਜਾਸੂਸੀ ਪ੍ਰਤੀਤ ਹੁੰਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਧਮਕੀ ਦੇਣ ਵਾਲੇ ਐਕਟਰ ਛੇ ਵੱਖ-ਵੱਖ ਮਾਲਵੇਅਰ ਧਮਕੀਆਂ ਨੂੰ ਤੋੜਨ ਵਾਲੀਆਂ ਮਸ਼ੀਨਾਂ 'ਤੇ ਛੱਡ ਦਿੰਦੇ ਹਨ।
ਡਿਵਾਈਸਾਂ ਤੱਕ ਸ਼ੁਰੂਆਤੀ ਪਹੁੰਚ ਉੱਚ-ਨਿਸ਼ਾਨਾ ਵਾਲੇ ਬਰਛੇ-ਫਿਸ਼ਿੰਗ ਮੁਹਿੰਮਾਂ ਦੁਆਰਾ ਪ੍ਰਾਪਤ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। TA428 ਹੈਕਰ ਵਿਸ਼ੇਸ਼ ਸੰਸਥਾਵਾਂ ਦੇ ਵਿਰੁੱਧ ਵਰਤੇ ਜਾਣ ਲਈ ਕਸਟਮ ਲੁਭਾਉਣ ਵਾਲੀਆਂ ਈਮੇਲਾਂ ਤਿਆਰ ਕਰਦੇ ਹਨ। ਕੁਝ ਫਿਸ਼ਿੰਗ ਈਮੇਲਾਂ ਵਿੱਚ ਗੁਪਤ ਜਾਂ ਨਿੱਜੀ ਜਾਣਕਾਰੀ ਵੀ ਹੁੰਦੀ ਹੈ ਜੋ ਜਨਤਕ ਤੌਰ 'ਤੇ ਉਪਲਬਧ ਨਹੀਂ ਹੁੰਦੀ ਹੈ। ਜਦੋਂ ਪੀੜਤ ਲੁਭਾਉਣ ਵਾਲੀਆਂ ਈਮੇਲਾਂ ਨਾਲ ਜੁੜੇ ਹਥਿਆਰਬੰਦ ਵਰਡ ਦਸਤਾਵੇਜ਼ਾਂ ਨੂੰ ਲਾਗੂ ਕਰਦੇ ਹਨ, ਤਾਂ ਇਹ CVE-2017-11882 ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਨ ਵਾਲੇ ਇੱਕ ਖਰਾਬ ਕੋਡ ਨੂੰ ਚਾਲੂ ਕਰਦਾ ਹੈ। ਹਮਲਿਆਂ ਅਤੇ ਹੈਕਰਾਂ ਦੇ ਨੁਕਸਾਨਦੇਹ ਹਥਿਆਰਾਂ ਬਾਰੇ ਵੇਰਵੇ ਸੁਰੱਖਿਆ ਖੋਜਕਰਤਾਵਾਂ ਦੀ ਇੱਕ ਰਿਪੋਰਟ ਵਿੱਚ ਜਾਰੀ ਕੀਤੇ ਗਏ ਸਨ।
ਐਨਸੀਸੀਟ੍ਰੋਜਨ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ
nccTrojan ਮਾਲਵੇਅਰ ਨੂੰ ਪਹਿਲਾਂ ਹੀ TA428 ਦਾ ਕਾਰਨ ਦਿੱਤਾ ਗਿਆ ਹੈ। ਅਸਲ ਵਿੱਚ, ਧਮਕੀ ਹਮਲਾਵਰਾਂ ਦੁਆਰਾ ਸਰਗਰਮੀ ਨਾਲ ਵਿਕਸਤ ਕੀਤੀ ਜਾਪਦੀ ਹੈ। ਉਲੰਘਣਾ ਕੀਤੀ ਡਿਵਾਈਸ ਉੱਤੇ ਧਮਕੀ ਦੀ ਸਥਾਪਨਾ ਕਮਾਂਡ-ਐਂਡ-ਕੰਟਰੋਲ (C2, C&C) ਸਰਵਰ ਤੋਂ ਕਈ ਫਾਈਲਾਂ ਦੇ ਡਾਊਨਲੋਡ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦੀ ਹੈ। ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਨੂੰ ਇੱਕ .cab ਫਾਈਲ ਦੇ ਰੂਪ ਵਿੱਚ ਇੱਕ ਆਰਬਿਟਰੇਰੀ ਨਾਮ ਨਾਲ ਡਿਲੀਵਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਡਿਲੀਵਰ ਕੀਤੀ ਫਾਈਲ ਨੂੰ ਇੱਕ ਜਾਇਜ਼ ਸਾਫਟਵੇਅਰ ਉਤਪਾਦ ਨਾਲ ਸਬੰਧਤ ਮੌਜੂਦਾ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਖੋਲ੍ਹਣ ਲਈ ਸਿਸਟਮ ਉਪਯੋਗਤਾ ਦਾ ਵਿਸਤਾਰ ਕਰਨ ਦੀ ਲੋੜ ਹੈ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਹੈਕਰਾਂ ਨੇ nccTrojan ਦੇ DLL ਨੂੰ ਸੇਵਾ ਦੇ ਤੌਰ 'ਤੇ ਰਜਿਸਟਰ ਕਰਨ ਲਈ ਇੱਕ ਵਿਸ਼ੇਸ਼ ਇੰਸਟਾਲਰ ਕੰਪੋਨੈਂਟ ਵੀ ਛੱਡ ਦਿੱਤਾ ਹੈ। ਅਜਿਹਾ ਕਰਨ ਨਾਲ ਇਹ ਯਕੀਨੀ ਹੁੰਦਾ ਹੈ ਕਿ ਹਰ ਸਿਸਟਮ ਸਟਾਰਟਅੱਪ 'ਤੇ ਧਮਕੀ ਆਪਣੇ ਆਪ ਲੋਡ ਹੋ ਜਾਵੇਗੀ।
ਸਰਗਰਮ ਹੋਣ ਤੋਂ ਬਾਅਦ, nccTrojan ਦਾ ਮੁੱਖ ਮੋਡੀਊਲ ਹਾਰਡਕੋਡ ਕੀਤੇ C2 ਪਤਿਆਂ ਦੀ ਸੂਚੀ ਨਾਲ ਸੰਪਰਕ ਸਥਾਪਤ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰੇਗਾ। ਬਾਅਦ ਦੇ ਸਾਰੇ ਸੰਚਾਰ ਸਰਵਰ ਨੂੰ ਪ੍ਰਸਾਰਿਤ ਕੀਤੇ ਜਾਣਗੇ ਜੋ ਪਹਿਲਾਂ ਜਵਾਬ ਦਿੰਦਾ ਹੈ। ਸ਼ੁਰੂਆਤੀ ਸੰਪਰਕ ਦੇ ਦੌਰਾਨ, ਧਮਕੀ ਉਲੰਘਣਾ ਕੀਤੇ ਸਿਸਟਮ ਬਾਰੇ ਵੱਖ-ਵੱਖ ਆਮ ਜਾਣਕਾਰੀ ਵੀ ਭੇਜਦੀ ਹੈ, ਜਿਵੇਂ ਕਿ ਕੰਪਿਊਟਰ ਦਾ ਨਾਮ, IP ਪਤਾ, ਉਪਭੋਗਤਾ ਨਾਮ, ਮਾਲਵੇਅਰ ਸੰਸਕਰਣ, ਸਿਸਟਮ ਸਥਾਨੀਕਰਨ ਡੇਟਾ ਅਤੇ ਹੋਰ। nccTrojan ਹਮਲਾਵਰਾਂ ਨੂੰ ਬੈਕਡੋਰ ਕਾਰਜਕੁਸ਼ਲਤਾ, ਕਮਾਂਡਾਂ ਨੂੰ ਚਲਾਉਣ, ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲਾਂ ਨੂੰ ਲਾਂਚ ਕਰਨ, ਚੋਣਵੀਆਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਖਤਮ ਕਰਨ, ਫਾਈਲ ਸਿਸਟਮ ਨੂੰ ਹੇਰਾਫੇਰੀ ਕਰਨ, C2 ਤੋਂ ਵਾਧੂ ਪੇਲੋਡ ਪ੍ਰਾਪਤ ਕਰਨ ਅਤੇ ਹੋਰ ਬਹੁਤ ਕੁਝ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ।
