Discord और Microsoft Graph का सहारा लेकर Webworm हैकर कैसे चला रहे हैं जासूसी अभियान

GraphWorm
यह बैकडोर Microsoft Graph API के जरिए संचार करता है। Microsoft Graph API डेवलपर्स को Microsoft 365 सेवाओं से प्रोग्रामेटिक तरीके से जुड़ने की अनुमति देता है, इसलिए इसका उपयोग करने वाला मैलवेयर सामान्य एंटरप्राइज ट्रैफिक जैसा दिख सकता है।

ESET की जांच में शोधकर्ताओं ने 400 से अधिक Discord संदेशों को डिक्रिप्ट किया, जिनसे यह समझने में मदद मिली कि हमलावर संक्रमित मशीनों को कैसे नियंत्रित कर रहे थे और डेटा कैसे प्रबंधित किया जा रहा था।

भरोसेमंद क्लाउड सेवाओं का दुरुपयोग

इस अभियान की सबसे अहम रणनीति यह है कि हमलावर अपने ऑपरेशन को वैध ऑनलाइन सेवाओं के भीतर छिपा देते हैं। ESET के अनुसार Webworm ने कई लोकप्रिय प्लेटफॉर्म का इस्तेमाल किया:

• Discord – EchoCreep के माध्यम से कमांड भेजने और फाइल ट्रांसफर के लिए।
• Microsoft Graph API – GraphWorm के जरिए Microsoft 365 वातावरण के भीतर संचार करने के लिए।
• Microsoft OneDrive – चोरी किए गए डेटा या ऑपरेशन से जुड़े फाइलों को स्टोर और स्थानांतरित करने के लिए।
• GitHub – हमलावरों के इंफ्रास्ट्रक्चर और कुछ कम्युनिकेशन गतिविधियों के समर्थन के लिए।

ऐसी सेवाएं कंपनियों और संस्थानों में पहले से ही व्यापक रूप से उपयोग की जाती हैं। इसलिए अगर किसी संगठन को Discord या Microsoft 365 पूरी तरह ब्लॉक करना मुश्किल हो, तो हमलावर उसी भरोसे का फायदा उठाकर अपने नेटवर्क ट्रैफिक को सामान्य गतिविधि जैसा दिखा सकते हैं।

किन देशों की सरकारें निशाने पर

ESET के विश्लेषण से पता चलता है कि Webworm ने हाल के वर्षों में अपना ध्यान यूरोप की सरकारी संस्थाओं पर केंद्रित किया है। 2025 में जिन देशों के सरकारी संगठनों को निशाना बनाया गया उनमें शामिल हैं:

• बेल्जियम
• इटली
• पोलैंड
• सर्बिया
• स्पेन

इसके अलावा शोधकर्ताओं ने दक्षिण अफ्रीका की एक यूनिवर्सिटी से जुड़े नेटवर्क में भी गतिविधि के संकेत पाए, जिससे पता चलता है कि यह अभियान यूरोप से आगे भी फैल सकता है।

हालांकि सुरक्षा कारणों से सार्वजनिक रिपोर्टों में प्रभावित मंत्रालयों या एजेंसियों के नाम जारी नहीं किए गए हैं।

पुराने RAT से नई रणनीति की ओर बदलाव

Webworm कम से कम 2022 से सक्रिय माना जाता है। शुरुआती अभियानों में यह पारंपरिक रिमोट‑एक्सेस ट्रोजन (RAT) जैसे Trochilus और 9002 RAT (McRat) का इस्तेमाल करता था।

लेकिन ESET के अनुसार हाल के वर्षों में समूह ने रणनीति बदली है और अब यह:

• हल्के बैकडोर
• प्रॉक्सी टूल्स
• नेटवर्क टनलिंग तकनीकों

का अधिक उपयोग कर रहा है।

इस बदलाव के कई फायदे हैं। इससे संक्रमित सिस्टम पर मैलवेयर का आकार छोटा रहता है, नेटवर्क ट्रैफिक सामान्य क्लाउड उपयोग जैसा दिखता है और सुरक्षा टूल्स के लिए स्पष्ट संकेत (Indicators of Compromise) कम मिलते हैं।

सुरक्षा विशेषज्ञों के लिए इसका क्या मतलब है

Webworm का यह अभियान साइबर जासूसी की एक बड़ी प्रवृत्ति को दर्शाता है—वैध सेवाओं के भीतर छिपकर हमला करना। जब हमलावर Discord, OneDrive या Microsoft API जैसे प्लेटफॉर्म का उपयोग करते हैं, तो सुरक्षा सिस्टम के लिए यह तय करना मुश्किल हो जाता है कि कौन‑सा ट्रैफिक सामान्य है और कौन‑सा दुर्भावनापूर्ण।

इसी वजह से आधुनिक साइबर सुरक्षा रणनीतियों में अब केवल IP या डोमेन ब्लॉक करना पर्याप्त नहीं है। विशेषज्ञों का कहना है कि संगठनों को अब बिहेवियर‑आधारित डिटेक्शन, पहचान‑आधारित मॉनिटरिंग और असामान्य गतिविधि विश्लेषण जैसे उन्नत तरीकों पर अधिक निर्भर होना पड़ेगा।

ESET के निष्कर्ष बताते हैं कि Webworm जैसे APT समूह तेजी से क्लाउड‑नेटिव कमांड‑एंड‑कंट्रोल तकनीकों की ओर बढ़ रहे हैं—और यही बदलाव भविष्य में साइबर जासूसी अभियानों को और अधिक छिपा हुआ बना सकता है।