ZxxZ Trojan
ZxxZ ਟਰੋਜਨ ਇੱਕ ਪਹਿਲਾਂ ਤੋਂ ਅਣਜਾਣ ਮਾਲਵੇਅਰ ਖ਼ਤਰਾ ਹੈ, ਜੋ ਕਿ ਬਿਟਰ ਏਟੀਪੀ (ਐਡਵਾਂਸਡ ਪਰਸਿਸਟੈਂਟ ਥ੍ਰੀਟ) ਸਮੂਹ ਨੂੰ ਨੁਕਸਾਨਦੇਹ ਕਾਰਵਾਈਆਂ ਦੇ ਹਿੱਸੇ ਵਜੋਂ ਤਾਇਨਾਤ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ। ਸਿਸਕੋ ਟੈਲੋਸ ਦੇ ਖੋਜਕਰਤਾਵਾਂ ਦੁਆਰਾ ਇੱਕ ਰਿਪੋਰਟ ਵਿੱਚ ਖ਼ਤਰੇ ਦੇ ਨਾਲ-ਨਾਲ ਹਮਲੇ ਦੀ ਮੁਹਿੰਮ ਬਾਰੇ ਵੇਰਵੇ ਲੋਕਾਂ ਨੂੰ ਪ੍ਰਗਟ ਕੀਤੇ ਗਏ ਸਨ। ZxxZ ਟਰੋਜਨ ਦਾ ਮੁੱਖ ਨਿਸ਼ਾਨਾ ਬੰਗਲਾਦੇਸ਼ ਦੀ ਸਰਕਾਰ ਹੈ ਅਤੇ ਸੰਭਾਵਤ ਟੀਚਾ ਸਾਈਬਰ ਜਾਸੂਸੀ ਅਤੇ ਡਾਟਾ ਚੋਰੀ ਹੈ।
ਧਮਕੀ ਨੂੰ ਉਲੰਘਣਾ ਕੀਤੇ ਗਏ ਡਿਵਾਈਸਾਂ 'ਤੇ 32-ਬਿੱਟ ਵਿੰਡੋਜ਼ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਦੇ ਰੂਪ ਵਿੱਚ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ। ਇਹ ਵਾਧੂ ਖਰਾਬ ਮੋਡੀਊਲ ਨੂੰ ਪ੍ਰਾਪਤ ਕਰਨ ਅਤੇ ਫਿਰ ਚਲਾਉਣ ਦੇ ਸਮਰੱਥ ਹੈ। ਇਹ ਕੰਪੋਨੈਂਟ ਸੰਕਰਮਿਤ ਮਸ਼ੀਨਾਂ 'ਤੇ 'ntfsc.exe,' 'Update.exe,' ਆਦਿ ਦੇ ਸਮਾਨ ਨਾਮ ਵਾਲੀਆਂ ਫਾਈਲਾਂ ਦੇ ਰੂਪ ਵਿੱਚ ਸੁੱਟੇ ਜਾਂਦੇ ਹਨ। ਮੋਡੀਊਲ ਲੋਕਲ ਐਪਲੀਕੇਸ਼ਨ ਡੇਟਾ ਫੋਲਡਰ ਵਿੱਚ ਸਟੋਰ ਕੀਤੇ ਜਾਂਦੇ ਹਨ ਅਤੇ ਇੱਕ ਵਿੰਡੋਜ਼ ਸੁਰੱਖਿਆ ਅੱਪਡੇਟ ਦੇ ਤੌਰ 'ਤੇ ਚਲਾਇਆ ਜਾਂਦਾ ਹੈ।
ZxxZ ਟਰੋਜਨ ਕਈ ਐਂਟੀ-ਡਿਟੈਕਸ਼ਨ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਨਾਲ ਲੈਸ ਹੈ, ਜਿਸ ਵਿੱਚ ਗੁੰਝਲਦਾਰ ਤਾਰਾਂ, ਵਿੰਡੋਜ਼ ਡਿਫੈਂਡਰ ਦੀਆਂ ਪ੍ਰਕਿਰਿਆਵਾਂ ਨੂੰ ਖੋਜਣ ਅਤੇ ਉਨ੍ਹਾਂ ਨੂੰ ਖਤਮ ਕਰਨ ਦੀ ਸਮਰੱਥਾ ਅਤੇ ਹੋਰ ਐਂਟੀ-ਮਾਲਵੇਅਰ ਹੱਲ ਸ਼ਾਮਲ ਹਨ। ਬਾਅਦ ਵਿੱਚ, ਧਮਕੀ ਇੱਕ ਜਾਣਕਾਰੀ ਇਕੱਠੀ ਕਰਨ ਵਾਲੇ ਫੰਕਸ਼ਨ ਨੂੰ ਸਰਗਰਮ ਕਰੇਗੀ। ਐਕਵਾਇਰ ਕੀਤਾ ਡਾਟਾ ਇੱਕ ਮੈਮੋਰੀ ਬਫਰ ਵਿੱਚ ਸਟੋਰ ਕੀਤਾ ਜਾਵੇਗਾ, ਓਪਰੇਸ਼ਨ ਦੇ ਕਮਾਂਡ-ਐਂਡ-ਕੰਟਰੋਲ (C2) ਸਰਵਰਾਂ ਨੂੰ ਬਾਹਰ ਕੱਢਣ ਤੋਂ ਪਹਿਲਾਂ। C2 ਸਰਵਰ ਤੋਂ ਜਵਾਬ ਇੱਕ ਪੋਰਟੇਬਲ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਹੋਵੇਗਾ ਜੋ '%LOCALAPPDATA%\Debug\' ਟਿਕਾਣੇ ਵਿੱਚ ਸੁੱਟਿਆ ਜਾਵੇਗਾ। ਇਸ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਦੀ ਡਿਲੀਵਰੀ ਦੇ ਦੌਰਾਨ ਇੱਕ ਗਲਤੀ ਦੇ ਮਾਮਲੇ ਵਿੱਚ, ZxxZ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਰੋਕਣ ਅਤੇ ਬਾਹਰ ਜਾਣ ਤੋਂ ਪਹਿਲਾਂ 225 ਵਾਰ ਮੁੜ ਕੋਸ਼ਿਸ਼ ਕਰੇਗਾ।
ਇਹ ਨੋਟ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ ਕਿ ਖੋਜਕਾਰ ਦੋ ਇਨਫੈਕਸ਼ਨ ਚੇਨਾਂ ਲੱਭੀਆਂ, ਦੋਵੇਂ ਸੰਸਕਰਣ ਇੱਕ ਬਰਛੀ-ਫਿਸ਼ਿੰਗ ਈਮੇਲ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦੇ ਹਨ। ਇਹ ਲਾਲਚ ਸੰਦੇਸ਼ ਪਾਕਿਸਤਾਨੀ ਸਰਕਾਰੀ ਸੰਸਥਾਵਾਂ ਤੋਂ ਆਉਣ ਵਾਲੇ ਜਾਇਜ਼ ਪੱਤਰ-ਵਿਹਾਰ ਦੇ ਰੂਪ ਵਿੱਚ ਪਾਸ ਕਰਨ ਲਈ ਨਕਲੀ ਈਮੇਲ ਪਤਿਆਂ ਦੇ ਪਿੱਛੇ ਲੁਕੇ ਹੋਏ ਹਨ। ਹਾਲਾਂਕਿ, ਹਥਿਆਰਬੰਦ ਫਾਈਲ ਅਟੈਚਮੈਂਟ ਵੱਖ-ਵੱਖ ਹੋ ਸਕਦੇ ਹਨ। ਇੱਕ ਮਾਮਲੇ ਵਿੱਚ, ਲਾਲਚ ਵਾਲੀਆਂ ਈਮੇਲਾਂ ਵਿੱਚ ਇੱਕ .RTF ਫਾਈਲ ਹੁੰਦੀ ਹੈ ਜੋ ਕਮਜ਼ੋਰ Microsoft Office ਸੰਸਕਰਣਾਂ ਨਾਲ ਮਸ਼ੀਨਾਂ ਨਾਲ ਸਮਝੌਤਾ ਕਰਨ ਲਈ CVE-2017-11882 ਕਮਜ਼ੋਰੀ ਦਾ ਸ਼ੋਸ਼ਣ ਕਰਦੀ ਹੈ। ਹਮਲੇ ਦੀ ਲੜੀ ਦੀ ਦੂਜੀ ਪਰਿਵਰਤਨ ਇਸਦੀ ਬਜਾਏ ਇੱਕ .XLSX ਦਸਤਾਵੇਜ਼ ਦੀ ਵਰਤੋਂ ਕਰਦੀ ਹੈ। ਇਸ ਵਾਰ, ਹਮਲਾਵਰ CVE-2018-0798 ਅਤੇ CVE-2018-0802 ਕਮਜ਼ੋਰੀਆਂ ਦਾ ਫਾਇਦਾ ਉਠਾਉਂਦੇ ਹੋਏ ਪੁਰਾਣੇ Microsoft Office ਮੌਕਿਆਂ 'ਤੇ ਰਿਮੋਟ ਕੋਡ ਐਗਜ਼ੀਕਿਊਸ਼ਨ ਨੂੰ ਟ੍ਰਿਗਰ ਕਰਦੇ ਹਨ।
