सुरक्षा शोधकर्ताओं को निशाना बनाने वाला उत्तर कोरिया का अभियान

• Google के Threat Analysis Group(TAG) ने उत्तर कोरिया-समर्थित threat actors द्वारा सुरक्षा शोधकर्ताओं को निशाना बनाने वाले एक जारी अभियान की रिपोर्ट दी है.
• यह अभियान पहली बार जनवरी 2021 में सार्वजनिक किया गया था और vulnerability research तथा development में काम करने वाले शोधकर्ताओं को निशाना बनाते हुए 0-day vulnerabilities का उपयोग करता है.
• TAG दो साल से अधिक समय से ऐसे अभियानों को ट्रैक और बाधित कर रहा है, और 0-day खोजकर ऑनलाइन उपयोगकर्ताओं की सुरक्षा कर रहा है.
• हाल ही में TAG ने पिछले अभियानों से समानताओं के आधार पर उन्हीं actors से एक नए अभियान की पहचान की.
• पिछले कुछ हफ्तों में सुरक्षा शोधकर्ताओं को निशाना बनाने के लिए कम से कम एक सक्रिय 0-day का उपयोग किया गया. इस vulnerability की सूचना प्रभावित vendor को दे दी गई है और फिलहाल इसका patch तैयार किया जा रहा है.
• उत्तर कोरिया के threat actors targets के साथ संबंध बनाने के लिए social media sites का उपयोग करते हैं, अक्सर लंबी बातचीत करते हैं और साझा रुचियों पर सहयोग करने की कोशिश करते हैं.
• लक्षित शोधकर्ता के साथ संबंध स्थापित करने के बाद, threat actors लोकप्रिय software packages के लिए ऐसी malicious files भेजते हैं जिनमें कम से कम एक 0-day शामिल होता है.
• सफल exploitation के बाद, shellcode virtual machine checks करता है और एकत्र की गई जानकारी तथा screenshots को attacker-नियंत्रित command-and-control domains पर भेजता है.
• 0-day vulnerabilities का उपयोग कर शोधकर्ताओं को निशाना बनाने के अलावा, threat actors ने एक standalone Windows tool भी विकसित किया जो symbol information डाउनलोड करने के उपयोगी tool जैसा दिखता है, लेकिन उसमें attacker-नियंत्रित domains से arbitrary code डाउनलोड और execute करने की क्षमता भी है.
• TAG इस tool को डाउनलोड या चलाने वाले लोगों को यह सुनिश्चित करने के लिए preventive measures अपनाने की सलाह देता है कि system ज्ञात clean state में है; इसके लिए operating system को दोबारा install करना पड़ सकता है.
• TAG अपने research findings का उपयोग Google products की safety और security बेहतर करने के लिए करता है, और पहचानी गई सभी websites तथा domains को Safe Browsing में जोड़ता है ताकि users का आगे exploit होना रोका जा सके.
• TAG Gmail और Workspace users को government-backed attacker alerts भेजता है, और संभावित targets को Chrome में Enhanced Safe Browsing चालू करने तथा सभी devices को update रखने की सलाह देता है.
• TAG security community के साथ अपने research findings साझा कर जागरूकता बढ़ाने और रणनीतियों व तकनीकों की समझ बेहतर करने के लिए प्रतिबद्ध है, जिससे पूरे उद्योग में users की सुरक्षा मजबूत करने में मदद मिलती है.

[GN⁺]

Hacker News टिप्पणियाँ

• Github के दुर्भावनापूर्ण टूल getsymbol को 214 stars मिले हैं, लेकिन उस पर कोई warning banner नहीं है। सुझाव दिया गया कि Github को ऐसे अन्य software के लिए भी warning जोड़नी चाहिए जिनमें ऐसे ज्ञात backdoor हों।
• यह सवाल उठाया गया कि उत्तर कोरिया के लोगों के पास बिना रोक-टोक इंटरनेट access और अंग्रेज़ी समझ होने के बावजूद, वे अपने राज्य मीडिया से टकराने वाले मीडिया के संपर्क में आने से कैसे बचते हैं।
• ffmpeg windows binaries जैसी लोकप्रिय download sites की वैधता को लेकर चिंता जताई गई, और इस संभावना पर भी कि nation-state actors unofficially hosted downloads का उपयोग कर सकते हैं।
• उत्तर कोरिया द्वारा security researchers के खिलाफ 0days का उपयोग एक test जैसा लगता है, जिसमें लक्षित researchers से और अधिक 0days हासिल करने का संभावित लाभ हो सकता है।
• यह अटकल लगाई गई कि हालिया macOS security updates चर्चा में मौजूद vulnerability से संबंधित हो सकते हैं।
• इस बात पर संदेह जताया गया कि कोई security researcher अज्ञात स्रोत से मिले Windows binaries को सीधे चलाएगा, और सुझाव दिया गया कि वे संभवतः उन्हें अधिक सुरक्षित environment में जांचेंगे।
• यह सवाल उठाया गया कि यह कैसे तय किया गया कि threat उत्तर कोरिया से आया था।
• दावा किया गया कि सभी verified websites और domains को Safe Browsing में जोड़ा जाता है, हालांकि dbgsymbol.com वेबसाइट Brave browser के Safe Browsing में warning के साथ दिखाई नहीं देती।
• एक पूर्व intelligence officer ने चेतावनी दी कि उत्तर कोरिया की technical क्षमता या बुद्धिमान और मेहनती लोगों की भर्ती करने की उसकी क्षमता को कम करके नहीं आंकना चाहिए।
• सुझाव दिया गया कि यदि आप security role में काम करते हैं, तो LinkedIn पर अपनी job title को security के रूप में सूचीबद्ध करने से बचें।