Microsoft की चेतावनी: फर्जी CAPTCHA के ज़रिए रोज़ाना हजारों डिवाइसों पर हो रहा है मैलवेयर अटैक, हैकर्स BNB स्मार्ट चेन का कर रहे हैं इस्तेमाल

कैसे काम करता है यह 'EtherHiding' हमला?

पारंपरिक मैलवेयर कैंपेन में हैकर्स एक कमांड-एंड-कंट्रोल (C2) सर्वर चलाते हैं, जिसे साइबर सिक्योरिटी टीमें बंद करवा सकती हैं। लेकिन इस नए हमले में यह सर्वर ही नहीं है ।

1. वेबसाइट हैकिंग: हैकर्स पहले किसी असली वेबसाइट (अक्सर WordPress) को हैक करके उसमें एक Base64-एनकोडेड JavaScript स्क्रिप्ट चिपका देते हैं ।
2. ब्लॉकचेन से कनेक्शन: जब आप इस वेबसाइट पर जाते हैं, तो यह स्क्रिप्ट खुद-ब-खुद BNB स्मार्ट चेन RPC गेटवे से कनेक्ट होती है और एक खास स्मार्ट कॉन्ट्रैक्ट से अगले चरण के निर्देश पढ़ लेती है ।
3. नकली CAPTCHA: आपकी स्क्रीन पर एकदम असली दिखने वाला CAPTCHA पेज खुल जाता है, जिसमें लिखा होता है "Confirm you are human" ।
4. सोशल इंजीनियरिंग (ClickFix): यहां से असली खेल शुरू होता है। CAPTCHA पर क्लिक करने पर निर्देश आता है: "Press Windows Key + R, then paste this code and press Enter." । यूजर सोचता है कि यह CAPTCHA वेरिफिकेशन का हिस्सा है, लेकिन असल में वह खुद अपने कंप्यूटर को संक्रमित कर रहा है।
5. मैलवेयर डिलीवरी: पेस्ट किया गया कोड PowerShell या cmd का इस्तेमाल करके एक दूरस्थ सर्वर से असली मैलवेयर (Lumma Stealer, XWorm आदि) डाउनलोड करके चला देता है ।

किन-किन टूल्स का दुरुपयोग हो रहा है? (Living-off-the-Land)

यह कैंपेन इसलिए भी खतरनाक है क्योंकि यह विंडोज के ही भरोसेमंद टूल्स का दुरुपयोग करता है, जिसे 'लिविंग-ऑफ-द-लैंड' (LOLBins) कहते हैं । इनमें शामिल हैं: PowerShell, cmd, mshta, rundll32, conhost, curl, और WMI । क्योंकि ये Microsoft के ही अधिकृत टूल्स हैं, पारंपरिक एंटीवायरस इन्हें आसानी से ब्लॉक नहीं कर पाते।

क्या मैलवेयर मिल रहे हैं?

यह हमला किसी एक मैलवेयर तक सीमित नहीं है। यह कई खतरनाक मैलवेयर फैमिली के लिए डिलीवरी मैकेनिज्म है :

• Lumma Stealer: मुख्य पेलोड । यह आपके ब्राउज़र के सेव किए हुए पासवर्ड, क्रिप्टो वॉलेट की जानकारी और कुकीज़ चुरा लेता है।
• XWorm और AsyncRAT: ये रिमोट एक्सेस ट्रोजन (RAT) हैं जो हैकर को आपके कंप्यूटर पर पूरी तरह कंट्रोल दे देते हैं।
• MintsLoader: यह एक डाउनलोडर है जो सिस्टम में और भी मैलवेयर इंस्टॉल कर सकता है।
• दूसरे टूल्स: सर्विलांस और लेटरल मूवमेंट के लिए AnyDesk जैसे रिमोट मैनेजमेंट टूल्स का भी दुरुपयोग हो सकता है ।

यह हमला macOS यूजर्स को भी नहीं बख्श रहा है। वहां MacSync और Atomic Stealer जैसे मैलवेयर देखे गए हैं ।

बचाव के लिए Microsoft की सिफारिशें

Microsoft ने इस खतरे से बचने के लिए कुछ ठोस कदम सुझाए हैं :

1. यह सबसे अहम नियम है: CAPTCHA कभी भी आपको Windows+R दबाने, या कोई कोड पेस्ट करने के लिए नहीं कहता। अगर कोई वेबसाइट या मैसेज ऐसा करने को कहे, तो समझ जाइए कि वह फर्जी है ।
2. Microsoft Defender चालू रखें: रीयल-टाइम प्रोटेक्शन, क्लाउड-डिलीवर्ड प्रोटेक्शन और टैम्पर प्रोटेक्शन को हमेशा ऑन रखें ।
3. AppLocker का इस्तेमाल करें: अनऑथराइज्ड एप्लिकेशन को PowerShell, mshta और rundll32 जैसे टूल्स चलाने से रोकने के लिए AppLocker या WDAC का उपयोग करें ।
4. PowerShell लॉगिंग चालू करें: इससे किसी भी संदिग्ध स्क्रिप्ट एक्जीक्यूशन का पता लगाने में मदद मिलती है ।
5. SmartScreen पर भरोसा करें: Microsoft Edge में SmartScreen खतरनाक वेबसाइटों को ब्लॉक करने में मदद करता है ।

Microsoft Defender Antivirus इस कैंपेन से जुड़े कई खतरों को Behavior:Win32/ClickFix, Trojan:Win32/ClickFix और Trojan:HTML/FakeCaptcha जैसे नामों से डिटेक्ट करता है ।