OXLOADER ਮਾਲਵੇਅਰ
ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਇੱਕ ਨਵੀਂ ਮਾਲਵੇਅਰ ਮੁਹਿੰਮ ਦਾ ਪਰਦਾਫਾਸ਼ ਕੀਤਾ ਹੈ, ਜਿਸਨੂੰ REF8372 ਨਾਮ ਦਿੱਤਾ ਗਿਆ ਹੈ, ਜੋ ਕਿ ਜਾਣਕਾਰੀ ਚੋਰੀ ਕਰਨ ਵਾਲੇ ਮਾਲਵੇਅਰ CastleStealer ਨੂੰ ਤੈਨਾਤ ਕਰਨ ਲਈ OXLOADER ਵਜੋਂ ਜਾਣੇ ਜਾਂਦੇ ਇੱਕ ਪਹਿਲਾਂ ਤੋਂ ਗੈਰ-ਦਸਤਾਵੇਜ਼ੀ ਮਾਲਵੇਅਰ ਲੋਡਰ ਦੀ ਵਰਤੋਂ ਕਰਦੀ ਹੈ।
ਇਹ ਕਾਰਵਾਈ ਗੂਗਲ ਦੇ ਖਤਰਨਾਕ ਇਸ਼ਤਿਹਾਰਾਂ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦੀ ਹੈ ਜੋ ਪ੍ਰਸਿੱਧ ਸੌਫਟਵੇਅਰ ਦੀ ਖੋਜ ਕਰਨ ਵਾਲੇ ਪੀੜਤਾਂ ਨੂੰ ਲੁਭਾਉਣ ਲਈ ਤਿਆਰ ਕੀਤੇ ਗਏ ਹਨ। ਵਿਸ਼ਲੇਸ਼ਣ ਸੁਝਾਅ ਦਿੰਦਾ ਹੈ ਕਿ ਮੁਹਿੰਮ ਦੇ ਪਿੱਛੇ ਧਮਕੀ ਦੇਣ ਵਾਲੇ ਸੰਭਾਵਤ ਤੌਰ 'ਤੇ ਰੂਸੀ ਬੋਲਣ ਵਾਲੇ ਅਤੇ ਵਿੱਤੀ ਤੌਰ 'ਤੇ ਪ੍ਰੇਰਿਤ ਹਨ। ਇਹ ਮੁਲਾਂਕਣ ਮਾਲਵੇਅਰ ਦੁਆਰਾ ਕਾਮਨਵੈਲਥ ਆਫ ਇੰਡੀਪੈਂਡੈਂਟ ਸਟੇਟਸ (CIS) ਦੇ ਅੰਦਰ ਸਥਿਤ ਸਿਸਟਮਾਂ ਨੂੰ ਜਾਣਬੁੱਝ ਕੇ ਬਾਹਰ ਕਰਨ 'ਤੇ ਅਧਾਰਤ ਹੈ, ਜੋ ਕਿ ਖੇਤਰ ਵਿੱਚ ਕੰਮ ਕਰਨ ਵਾਲੇ ਸਾਈਬਰ ਅਪਰਾਧੀ ਸਮੂਹਾਂ ਦੁਆਰਾ ਅਕਸਰ ਵਰਤੀ ਜਾਂਦੀ ਇੱਕ ਰਣਨੀਤੀ ਹੈ।
ਹਾਲਾਂਕਿ ਮੁਹਿੰਮ ਦੇ ਇਸ਼ਤਿਹਾਰ 'ВОЛОДИМИР ТЕРЕЩЕНКО' ਦੇ ਪ੍ਰਮਾਣਿਤ ਨਾਮ ਹੇਠ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੇ ਗਏ ਸਨ, ਜੋ ਕਿ ਕਥਿਤ ਤੌਰ 'ਤੇ ਯੂਕਰੇਨ ਵਿੱਚ ਸਥਿਤ ਹੈ, ਇਹ ਅਜੇ ਸਪੱਸ਼ਟ ਨਹੀਂ ਹੈ ਕਿ ਇਹ ਪਛਾਣ ਆਪਰੇਟਰਾਂ ਦੀ ਖੁਦ ਹੈ ਜਾਂ ਕਿਸੇ ਸਮਝੌਤਾ ਕੀਤੇ, ਖਰੀਦੇ ਗਏ, ਜਾਂ ਮਨਘੜਤ ਖਾਤੇ ਨੂੰ ਦਰਸਾਉਂਦੀ ਹੈ। ਗੂਗਲ ਨੇ 14 ਮਈ, 2026 ਨੂੰ ਇਸ਼ਤਿਹਾਰ ਦੇਣ ਵਾਲੇ ਖਾਤੇ ਅਤੇ ਸੰਬੰਧਿਤ ਮੁਹਿੰਮਾਂ ਨੂੰ ਹਟਾ ਦਿੱਤਾ।
ਵਿਸ਼ਾ - ਸੂਚੀ
ਸਰਚ ਇੰਜਣ ਹੇਰਾਫੇਰੀ ਪੀੜਤਾਂ ਨੂੰ ਨਕਲੀ ਸਾਫਟਵੇਅਰ ਸਾਈਟਾਂ ਵੱਲ ਲੈ ਜਾਂਦੀ ਹੈ
ਇਨਫੈਕਸ਼ਨ ਚੇਨ ਉਦੋਂ ਸ਼ੁਰੂ ਹੁੰਦੀ ਹੈ ਜਦੋਂ ਉਪਭੋਗਤਾ ਗੂਗਲ ਵਰਗੇ ਸਰਚ ਇੰਜਣਾਂ ਰਾਹੀਂ 'node.js ਦਾ lts ਵਰਜਨ' ਵਰਗੇ ਸ਼ਬਦਾਂ ਦੀ ਖੋਜ ਕਰਦੇ ਹਨ। ਪੀੜਤਾਂ ਨੂੰ ਸਪਾਂਸਰ ਕੀਤੇ ਨਤੀਜਿਆਂ ਰਾਹੀਂ ਇੱਕ ਜਾਅਲੀ ਵੈੱਬਸਾਈਟ, node-js.prentiva99.info, ਵੱਲ ਰੀਡਾਇਰੈਕਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜੋ ਇੱਕ ਜਾਇਜ਼ ਸਾਫਟਵੇਅਰ ਸਰੋਤ ਵਜੋਂ ਭੇਸ ਧਾਰਦੀ ਹੈ।
ਧੋਖਾਧੜੀ ਵਾਲੀ ਵੈੱਬਸਾਈਟ ਨਾਲ ਗੱਲਬਾਤ ਕਰਨ ਵਾਲੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਸਟੋਰਜ 'ਤੇ ਹੋਸਟ ਕੀਤੀ ਇੱਕ ਬੈਚ ਸਕ੍ਰਿਪਟ ਡਾਊਨਲੋਡ ਕਰਨ ਲਈ ਕਿਹਾ ਜਾਂਦਾ ਹੈ, ਜੋ ਕਿ ਇੱਕ ਵਿਕੇਂਦਰੀਕ੍ਰਿਤ ਅਤੇ ਓਪਨ-ਸੋਰਸ ਕਲਾਉਡ ਸਟੋਰੇਜ ਪਲੇਟਫਾਰਮ ਹੈ। ਸਟੋਰਜ ਵਰਗੀਆਂ ਜਾਇਜ਼ ਸੇਵਾਵਾਂ ਦੀ ਦੁਰਵਰਤੋਂ ਧਮਕੀ ਦੇਣ ਵਾਲੇ ਅਦਾਕਾਰਾਂ ਵਿੱਚ ਇੱਕ ਵਧ ਰਹੇ ਰੁਝਾਨ ਨੂੰ ਉਜਾਗਰ ਕਰਦੀ ਹੈ, ਜੋ ਡੋਮੇਨ ਪ੍ਰਤਿਸ਼ਠਾ ਅਤੇ ਸੁਰੱਖਿਆ ਫਿਲਟਰਿੰਗ ਵਿਧੀਆਂ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਲਈ ਭਰੋਸੇਯੋਗ ਪਲੇਟਫਾਰਮਾਂ 'ਤੇ ਵੱਧ ਤੋਂ ਵੱਧ ਨਿਰਭਰ ਕਰਦੇ ਹਨ।
ਮਲਟੀ-ਸਟੇਜ ਇਨਫੈਕਸ਼ਨ ਚੇਨ ਖਤਰਨਾਕ ਗਤੀਵਿਧੀ ਨੂੰ ਛੁਪਾਉਂਦੀ ਹੈ
ਡਾਊਨਲੋਡ ਕੀਤੀ ਬੈਚ ਫਾਈਲ ਨੂੰ ਚਲਾਉਣ ਨਾਲ ਇੱਕ ਨਕਲੀ ਇੰਸਟਾਲੇਸ਼ਨ ਵਿਜ਼ਾਰਡ ਦਿਖਾਈ ਦਿੰਦਾ ਹੈ, ਜੋ ਕਿ ਸਟੋਰਜ ਤੋਂ ਅਗਲੇ-ਪੜਾਅ ਦੇ ਪੇਲੋਡ, OXLOADER ਨੂੰ ਗੁਪਤ ਰੂਪ ਵਿੱਚ ਡਾਊਨਲੋਡ ਕਰਦੇ ਹੋਏ ਇੱਕ ਜਾਇਜ਼ ਸਾਫਟਵੇਅਰ ਸੈੱਟਅੱਪ ਦਾ ਭਰਮ ਪੈਦਾ ਕਰਦਾ ਹੈ। ਮਾਲਵੇਅਰ ਨੂੰ ਇੱਕ PowerShell ਕਮਾਂਡ ਰਾਹੀਂ ਪ੍ਰਾਪਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ -Verb RunAs ਪੈਰਾਮੀਟਰ ਨਾਲ ਲਾਂਚ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਇੱਕ Windows User Account Control (UAC) ਪ੍ਰੋਂਪਟ ਤਿਆਰ ਹੁੰਦਾ ਹੈ।
ਇਹ ਹਮਲਾ ਬਾਅਦ ਵਿੱਚ ਇੱਕ ਖਤਰਨਾਕ ਡਾਇਨਾਮਿਕ-ਲਿੰਕ ਲਾਇਬ੍ਰੇਰੀ ਨੂੰ ਚਲਾਉਣ ਲਈ DLL ਸਾਈਡ-ਲੋਡਿੰਗ ਤਕਨੀਕਾਂ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਜੋ ਅੰਤਿਮ ਪੇਲੋਡ, ਕੈਸਲਸਟੀਲਰ ਨੂੰ ਡੀਕ੍ਰਿਪਟ ਅਤੇ ਲਾਂਚ ਕਰਦਾ ਹੈ।
ਉੱਨਤ ਚੋਰੀ ਤਕਨੀਕਾਂ ਖੋਜ ਚੁਣੌਤੀਆਂ ਨੂੰ ਵਧਾਉਂਦੀਆਂ ਹਨ
OXLOADER ਵਿੱਚ ਕਈ ਵਧੀਆ ਤਕਨੀਕਾਂ ਸ਼ਾਮਲ ਹਨ ਜੋ ਵਿਸ਼ੇਸ਼ ਤੌਰ 'ਤੇ ਵਿਸ਼ਲੇਸ਼ਣ ਨੂੰ ਰੋਕਣ ਅਤੇ ਖੋਜ ਤੋਂ ਬਚਣ ਲਈ ਤਿਆਰ ਕੀਤੀਆਂ ਗਈਆਂ ਹਨ:
- ਕਈ ਅਬਫਸਕੇਸ਼ਨ ਪਰਤਾਂ, ਜਿਸ ਵਿੱਚ ਕੰਟਰੋਲ-ਫਲੋ ਫਲੈਟਨਿੰਗ, ਓਪੇਕ ਪ੍ਰੀਡੀਕੇਟਸ, ਅਤੇ ਮਿਸ਼ਰਤ ਬੂਲੀਅਨ-ਅੰਕਗਣਿਤ ਤਕਨੀਕਾਂ ਸ਼ਾਮਲ ਹਨ।
ਇਹ ਸਮਰੱਥਾਵਾਂ ਸਥਿਰ ਅਤੇ ਗਤੀਸ਼ੀਲ ਖੋਜ ਵਿਧੀਆਂ ਦੋਵਾਂ ਤੋਂ ਬਚਣ ਲਈ ਇੱਕ ਜਾਣਬੁੱਝ ਕੇ ਅਤੇ ਚੰਗੀ ਤਰ੍ਹਾਂ ਤਿਆਰ ਕੀਤਾ ਪਹੁੰਚ ਦਰਸਾਉਂਦੀਆਂ ਹਨ।
ਸਾਈਬਰ ਕ੍ਰਾਈਮ ਓਪਰੇਸ਼ਨਾਂ ਵਿੱਚ ਕੈਸਲਸਟੀਲਰ ਦੀ ਵਧਦੀ ਮੌਜੂਦਗੀ
CastleStealer ਇੱਕ .NET-ਅਧਾਰਤ ਜਾਣਕਾਰੀ-ਚੋਰੀ ਕਰਨ ਵਾਲਾ ਮਾਲਵੇਅਰ ਪਰਿਵਾਰ ਹੈ ਜੋ ਹਾਲ ਹੀ ਵਿੱਚ ਵਾਧੂ ਮੁਹਿੰਮਾਂ ਵਿੱਚ ਪ੍ਰਗਟ ਹੋਇਆ ਹੈ। ਇਸਨੂੰ ਪਹਿਲਾਂ CastleLoader ਦੇ ਨਾਲ ਇੱਕ ClickFix-ਸ਼ੈਲੀ ਦੇ ਸੋਸ਼ਲ ਇੰਜੀਨੀਅਰਿੰਗ ਲੂਰ ਦੁਆਰਾ ਵੰਡਿਆ ਗਿਆ ਸੀ ਜੋ ਬੈਕਗ੍ਰਾਉਂਡਫਿਕਸ ਵਜੋਂ ਜਾਣੇ ਜਾਂਦੇ ਇੱਕ ਓਪਰੇਸ਼ਨ ਵਿੱਚ ਇੱਕ ਮੁਫਤ ਚਿੱਤਰ-ਸੰਪਾਦਨ ਐਪਲੀਕੇਸ਼ਨ ਵਜੋਂ ਪੇਸ਼ ਕੀਤਾ ਗਿਆ ਸੀ। CastleLoader ਨੂੰ ਗ੍ਰੇਬ੍ਰਾਵੋ ਵਜੋਂ ਟਰੈਕ ਕੀਤੇ ਗਏ ਧਮਕੀ ਗਤੀਵਿਧੀ ਸਮੂਹ ਨਾਲ ਜੋੜਿਆ ਗਿਆ ਹੈ।
ਮਹੱਤਵਪੂਰਨ ਸੰਭਾਵਨਾ ਦੇ ਨਾਲ ਸ਼ੁਰੂਆਤੀ ਪੜਾਅ ਦਾ ਖ਼ਤਰਾ
ਹਾਲਾਂਕਿ OXLOADER ਸੰਚਾਲਨ ਤੈਨਾਤੀ ਦੇ ਸ਼ੁਰੂਆਤੀ ਪੜਾਵਾਂ ਵਿੱਚ ਜਾਪਦਾ ਹੈ, ਇਸਦੀ ਤਕਨੀਕੀ ਸੂਝ-ਬੂਝ ਡਿਫੈਂਡਰਾਂ ਵੱਲੋਂ ਧਿਆਨ ਦੇਣ ਯੋਗ ਹੈ। ਕਈ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਇਸਦੇ ਡਿਵੈਲਪਰਾਂ ਦੁਆਰਾ ਕਾਫ਼ੀ ਨਿਵੇਸ਼ ਨੂੰ ਦਰਸਾਉਂਦੀਆਂ ਹਨ:
- ਵਿਆਪਕ ਕੋਡ ਅਸਪਸ਼ਟਤਾ ਅਤੇ ਐਂਟੀ-ਵਰਚੁਅਲ-ਮਸ਼ੀਨ ਸੁਰੱਖਿਆ।
- ਖਤਰਨਾਕ ਬਾਈਨਰੀਆਂ ਅਤੇ ਵਿਲੱਖਣ ਪੇਲੋਡ ਸਟੇਜਿੰਗ ਤਕਨੀਕਾਂ ਨੂੰ ਲੁਕਾਉਣ ਲਈ ਸੁਭਾਵਕ ਦਿੱਖ ਵਾਲੇ ਕੋਡ ਦੀ ਵਰਤੋਂ।
ਇਹ ਡਿਜ਼ਾਈਨ ਵਿਕਲਪ ਪਹਿਲਾਂ ਹੀ ਪ੍ਰਭਾਵਸ਼ਾਲੀ ਸਾਬਤ ਹੋ ਚੁੱਕੇ ਹਨ, ਜਿਸ ਨਾਲ OXLOADER ਸਥਿਰ ਸਕੈਨਿੰਗ ਇੰਜਣਾਂ ਅਤੇ ਆਟੋਮੇਟਿਡ ਡੈਟੋਨੇਸ਼ਨ ਵਾਤਾਵਰਣਾਂ ਵਿੱਚ ਘੱਟ ਖੋਜ ਦਰਾਂ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦਾ ਹੈ। ਨਤੀਜੇ ਵਜੋਂ, ਮਾਲਵੇਅਰ ਵਰਤਮਾਨ ਵਿੱਚ ਵਿਆਪਕ ਖੋਜ ਦਸਤਖਤਾਂ ਅਤੇ ਪ੍ਰਤੀਰੋਧਕ ਉਪਾਅ ਵਿਕਸਤ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਇੱਕ ਕੀਮਤੀ ਸੰਚਾਲਨ ਵਿੰਡੋ ਤੋਂ ਲਾਭ ਪ੍ਰਾਪਤ ਕਰਦਾ ਹੈ।