इस गुप्त माइनर ने कैसे काम किया

XMRig पेलोड को गुप्त रूप से काम करने के लिए इंजीनियर किया गया था। उन आक्रामक मैलवेयर के विपरीत जो प्रदर्शन में गिरावट के साथ अपनी उपस्थिति की घोषणा करते हैं, इस माइनर को केवल तभी चलने के लिए कॉन्फ़िगर किया गया था जब होस्ट सिस्टम निष्क्रिय हो, जिससे उपयोगकर्ता द्वारा पता लगाए जाने का जोखिम कम हो जाता है ।

एक बार इंस्टॉल होने के बाद, मैलवेयर ने जानबूझकर की गई कार्रवाइयों की एक श्रृंखला के माध्यम से खुद को स्थायी बना लिया:

• फ़ाइल प्लेसमेंट: माइनर ने खुद को C:\Program Files\Hola\HolaMonitorService.exe पर कॉपी कर लिया, एक ऐसा पथ और फ़ाइल नाम जो एक वैध ब्राउज़र मॉनिटरिंग घटक के रूप में दिखने के लिए डिज़ाइन किया गया था ।
• सेवा निर्माण: इसने hola_monitor_svc नामक एक विंडोज सेवा बनाई और इसे 0x00000002 के स्टार्ट टाइप के साथ कॉन्फ़िगर किया, जिससे यह सुनिश्चित हुआ कि यह हर बार सिस्टम बूट होने पर स्वचालित रूप से लॉन्च हो ।
• डिफेंडर से बचाव: बिल्ट-इन एंटीवायरस स्कैन से बचने के लिए, मैलवेयर ने विंडोज डिफेंडर के लिए एक बहिष्करण पथ जोड़ दिया ।
• ऑबफस्केशन और गुमनामी: me.exe बाइनरी अहस्ताक्षरित थी, ऑबफस्केटेड थी, और इसमें वैध टाइमस्टैम्प का अभाव था। सुरक्षा शोधकर्ताओं ने नोट किया कि फ़ाइल का नाम ही इसकी सामान्य उपस्थिति के लिए चुना गया लगता था, जिससे यह वैध प्रक्रियाओं के साथ घुल-मिल सके ।

एक सीमित लेकिन गंभीर हमले की सतह

इस समझौते का दायरा अपेक्षाकृत संकीर्ण था। सोफोस ने अनुमान लगाया कि लगभग 0.1% होला ब्राउज़र उपयोगकर्ता प्रभावित हुए । हालांकि यूजर बेस का एक छोटा सा हिस्सा, यह घटना एक पाठ्यपुस्तक सप्लाई चेन हमले का प्रतिनिधित्व करती है: एक विश्वसनीय सॉफ़्टवेयर वितरण चैनल अपने उपयोगकर्ताओं के खिलाफ हो गया, जो आधिकारिक इंस्टालरों पर उपयोगकर्ताओं द्वारा रखी जाने वाली सामान्य सुरक्षा जांच को दरकिनार कर देता है।

यह हमला होला के सोर्स कोड का उल्लंघन नहीं था। इसके बजाय, इसने सॉफ़्टवेयर बिल्ड और रिलीज़ पाइपलाइन की भेद्यता को उजागर किया—एक अनुस्मारक कि जब डेवलपर्स साफ कोड लिखते हैं, तब भी संकलन, पैकेजिंग या वितरण के दौरान कोई समझौता अंतिम उत्पाद को विषाक्त कर सकता है ।

होला ने कैसी प्रतिक्रिया दी

सोफोस एक्स-ऑप्स द्वारा निष्कर्ष की सूचना देने के बाद, होला ने खतरे को रोकने और पुनरावृत्ति को रोकने के लिए कदम उठाए। कंपनी के उपचारात्मक कदमों में शामिल थे:

• किसी भी अवशिष्ट हमलावर पहुंच को समाप्त करने के लिए वितरण पाइपलाइन को शून्य से पुनर्निर्माण करना ।
• अहस्ताक्षरित और अनधिकृत बाइनरी को बिल्ड प्रक्रिया से गुजरने से रोकने के लिए कोड-साइनिंग सत्यापन लागू करना ।
• अपने वितरण बुनियादी ढांचे पर कड़े एक्सेस कंट्रोल और निरंतर निगरानी शुरू करना ।

इन उपायों के बावजूद, 4 जून, 2026 को सार्वजनिक खुलासे के अनुसार, महत्वपूर्ण प्रश्न अनुत्तरित हैं। होला ने सार्वजनिक रूप से हमले के तरीके का खुलासा नहीं किया है—कि पाइपलाइन में पहली बार सेंध कैसे लगी—न ही खतरे वाले अभिनेता की पहचान, या उनकी पहुंच की अवधि। पूरी फोरेंसिक तस्वीर जनता के लिए बंद है, एक ऐसा अंतर जो उपयोगकर्ताओं और सुरक्षा समुदाय दोनों के लिए एक चेतावनी भरी कहानी तो छोड़ता है, लेकिन खतरे की अधूरी समझ के साथ ।

इस गुप्त माइनर ने कैसे काम किया

XMRig पेलोड को गुप्त रूप से काम करने के लिए इंजीनियर किया गया था। उन आक्रामक मैलवेयर के विपरीत जो प्रदर्शन में गिरावट के साथ अपनी उपस्थिति की घोषणा करते हैं, इस माइनर को केवल तभी चलने के लिए कॉन्फ़िगर किया गया था जब होस्ट सिस्टम निष्क्रिय हो, जिससे उपयोगकर्ता द्वारा पता लगाए जाने का जोखिम कम हो जाता है ।

एक बार इंस्टॉल होने के बाद, मैलवेयर ने जानबूझकर की गई कार्रवाइयों की एक श्रृंखला के माध्यम से खुद को स्थायी बना लिया:

• फ़ाइल प्लेसमेंट: माइनर ने खुद को C:\Program Files\Hola\HolaMonitorService.exe पर कॉपी कर लिया, एक ऐसा पथ और फ़ाइल नाम जो एक वैध ब्राउज़र मॉनिटरिंग घटक के रूप में दिखने के लिए डिज़ाइन किया गया था ।
• सेवा निर्माण: इसने hola_monitor_svc नामक एक विंडोज सेवा बनाई और इसे 0x00000002 के स्टार्ट टाइप के साथ कॉन्फ़िगर किया, जिससे यह सुनिश्चित हुआ कि यह हर बार सिस्टम बूट होने पर स्वचालित रूप से लॉन्च हो ।
• डिफेंडर से बचाव: बिल्ट-इन एंटीवायरस स्कैन से बचने के लिए, मैलवेयर ने विंडोज डिफेंडर के लिए एक बहिष्करण पथ जोड़ दिया ।
• ऑबफस्केशन और गुमनामी: me.exe बाइनरी अहस्ताक्षरित थी, ऑबफस्केटेड थी, और इसमें वैध टाइमस्टैम्प का अभाव था। सुरक्षा शोधकर्ताओं ने नोट किया कि फ़ाइल का नाम ही इसकी सामान्य उपस्थिति के लिए चुना गया लगता था, जिससे यह वैध प्रक्रियाओं के साथ घुल-मिल सके ।

एक सीमित लेकिन गंभीर हमले की सतह

इस समझौते का दायरा अपेक्षाकृत संकीर्ण था। सोफोस ने अनुमान लगाया कि लगभग 0.1% होला ब्राउज़र उपयोगकर्ता प्रभावित हुए । हालांकि यूजर बेस का एक छोटा सा हिस्सा, यह घटना एक पाठ्यपुस्तक सप्लाई चेन हमले का प्रतिनिधित्व करती है: एक विश्वसनीय सॉफ़्टवेयर वितरण चैनल अपने उपयोगकर्ताओं के खिलाफ हो गया, जो आधिकारिक इंस्टालरों पर उपयोगकर्ताओं द्वारा रखी जाने वाली सामान्य सुरक्षा जांच को दरकिनार कर देता है।

यह हमला होला के सोर्स कोड का उल्लंघन नहीं था। इसके बजाय, इसने सॉफ़्टवेयर बिल्ड और रिलीज़ पाइपलाइन की भेद्यता को उजागर किया—एक अनुस्मारक कि जब डेवलपर्स साफ कोड लिखते हैं, तब भी संकलन, पैकेजिंग या वितरण के दौरान कोई समझौता अंतिम उत्पाद को विषाक्त कर सकता है ।

होला ने कैसी प्रतिक्रिया दी

सोफोस एक्स-ऑप्स द्वारा निष्कर्ष की सूचना देने के बाद, होला ने खतरे को रोकने और पुनरावृत्ति को रोकने के लिए कदम उठाए। कंपनी के उपचारात्मक कदमों में शामिल थे:

• किसी भी अवशिष्ट हमलावर पहुंच को समाप्त करने के लिए वितरण पाइपलाइन को शून्य से पुनर्निर्माण करना ।
• अहस्ताक्षरित और अनधिकृत बाइनरी को बिल्ड प्रक्रिया से गुजरने से रोकने के लिए कोड-साइनिंग सत्यापन लागू करना ।
• अपने वितरण बुनियादी ढांचे पर कड़े एक्सेस कंट्रोल और निरंतर निगरानी शुरू करना ।

इन उपायों के बावजूद, 4 जून, 2026 को सार्वजनिक खुलासे के अनुसार, महत्वपूर्ण प्रश्न अनुत्तरित हैं। होला ने सार्वजनिक रूप से हमले के तरीके का खुलासा नहीं किया है—कि पाइपलाइन में पहली बार सेंध कैसे लगी—न ही खतरे वाले अभिनेता की पहचान, या उनकी पहुंच की अवधि। पूरी फोरेंसिक तस्वीर जनता के लिए बंद है, एक ऐसा अंतर जो उपयोगकर्ताओं और सुरक्षा समुदाय दोनों के लिए एक चेतावनी भरी कहानी तो छोड़ता है, लेकिन खतरे की अधूरी समझ के साथ ।