उत्तर कोरिया से जुड़े हैकर्स ने दक्षिण कोरिया की ऑटोमोटिव और मीडिया कंपनियों को निशाना बनाने के लिए एक अत्यंत गुप्त लिनक्स टूलकिट तैनात किया है। यह टूलकिट लंबे समय तक जासूसी करने और संवेदनशील डेटा चोरी करने के लिए डिजाइन किया गया है।

  • उत्तर कोरियाई हैकर्स ने HAProxy में 'ted backdoor' के जरिए घुसपैठ की है।
  • यह हमला मुख्य रूप से दक्षिण कोरिया की ऑटोमोटिव और मीडिया संस्थाओं पर केंद्रित है।
  • टूलकिट में CurlRAT और SSH कीलॉगर जैसे खतरनाक टूल्स शामिल हैं।

हाल ही में साइबर सुरक्षा फर्म Rapid7 की एक रिपोर्ट से खुलासा हुआ है कि उत्तर कोरियाई खतरे के अभिनेताओं (Threat Actors) ने एक परिष्कृत लिनक्स टूलकिट का उपयोग करना शुरू कर दिया है। इस टूलकिट का मुख्य उद्देश्य दक्षिण कोरिया के महत्वपूर्ण बुनियादी ढांचे, विशेष रूप से ऑटोमोटिव और मीडिया संगठनों की दीर्घकालिक निगरानी करना है। यह हमला इतना गुप्त है कि यह सामान्य नेटवर्क ट्रैफिक के बीच खुद को छिपा लेता है।

इस जासूसी ढांचे का केंद्र 'ted backdoor' है, जिसे HAProxy वर्जन 2.8.12 के भीतर संकलित (compile) किया गया है। यह बैकडोर लोड बैलेंसर के नेटिव फिल्टर API और इंटरनल मेमोरी पूल्स का उपयोग करता है, जिससे यह सुरक्षा निगरानी प्रणालियों की नजरों से बच जाता है। जबकि वास्तविक ट्रैफिक सामान्य रूप से चलता रहता है, यह टूलकिट बैकग्राउंड में डेटा चोरी और कमांड निष्पादन का कार्य करता है।

यह भी पढ़ें:साइबर सुरक्षा के नए युग में संगठनों की मदद के लिए वीज़ा ने पेश किए उन्नत एआई समाधान

Why This Matters

BozokMedia analysis shows कि यह हमला केवल डेटा चोरी के बारे में नहीं है, बल्कि यह रणनीतिक जासूसी का एक हिस्सा है। जब हमलावर लोड बैलेंसर जैसे बुनियादी नेटवर्क घटकों को संक्रमित करते हैं, तो वे पूरे नेटवर्क के ट्रैफिक को नियंत्रित कर सकते हैं। यह दर्शाता है कि उत्तर कोरियाई हैकर्स अब अधिक गहरे और स्थायी (persistent) हमलों की ओर बढ़ रहे हैं, जहाँ वे सिस्टम के मूल कोड में बदलाव कर रहे हैं।

हमलावरों ने शुरुआती पहुंच के लिए एक ग्रुपवेयर लॉगिन पोर्टल की भेद्यता (vulnerability) का फायदा उठाया। इसके बाद, उन्होंने एक SSH कीलॉगर का उपयोग करके क्रेडेंशियल एकत्र किए, जिससे उन्हें आंतरिक प्रणालियों में 'लेटरल मूवमेंट' करने में मदद मिली। एक बार अंदर पहुंचने के बाद, उन्होंने CurlRAT तैनात किया, जो हर 12 घंटे में कमांड एंड कंट्रोल (C&C) सर्वर से संपर्क करता है।

"यह टूलकिट आधुनिक साइबर युद्ध का उदाहरण है, जहाँ हमलावर वैध सॉफ्टवेयर के भीतर ही अपने घातक कोड को छिपा देते हैं, जिससे पता लगाना लगभग असंभव हो जाता है।"

इस अभियान में उपयोग किए गए डोमेन और बुनियादी ढांचे की समानता APT37 और Lazarus Group से जुड़ी तकनीकों से मिलती है। विशेष रूप से, यह 'ऑपरेशन सिंकहोल' (Operation SyncHole) के समय और तौर-तरीकों से मेल खाता है, जो पिछले साल लाजरस ग्रुप द्वारा संचालित किया गया था।

क्या आप जानते हैं?: उत्तर कोरियाई हैकर समूह अक्सर कम लागत वाले टॉप-लेवल डोमेन (TLDs) का उपयोग करते हैं ताकि उनकी पहचान छुपाई जा सके और वे दुनिया भर के विभिन्न सर्वरों से अपने हमले संचालित कर सकें।

Frequently Asked Questions

प्रश्न 1: 'ted backdoor' क्या है?
यह HAProxy लोड बैलेंसर के भीतर छिपा एक कस्टम प्लगइन है जो HTTP ट्रैफिक को इंटरसेप्ट करने और दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट करने की क्षमता रखता है।

प्रश्न 2: CurlRAT कैसे काम करता है?
यह एक रिमोट एक्सेस ट्रोजन है जो समय-समय पर हमलावर के सर्वर से निर्देश प्राप्त करता है और सिस्टम पर पूर्ण नियंत्रण प्रदान करता है।