ऑपरेशन केलिप्सो: दुनिया भर में नए एपीटी समूह के सरकारी कार्यालय

पॉजिटिव टेक्नोलॉजीज सिक्योरिटी सेंटर (पीटी एक्सपर्ट सिक्योरिटी सेंटर) के विशेषज्ञों ने कैलिपो नामक एक एपीटी समूह की पहचान की है । समूह 2016 से काम कर रहा है और इसका उद्देश्य सरकारी एजेंसियों से है। फिलहाल, यह छह देशों में चल रही है।



एक हमले के दौरान एक वेब शेल के लिए साइबर अपराधियों द्वारा भेजे गए कमांड

विशेषज्ञों के अनुसार, भारत के संगठन (पीड़ितों के 34%), ब्राज़ील, कज़ाकिस्तान (18% प्रत्येक), रूस, थाईलैंड (प्रत्येक 12%) और तुर्की (6%) पहले ही समूह की कार्रवाई से पीड़ित हो चुके हैं। हमलावरों ने नेटवर्क परिधि में सेंध लगाई और उस पर एक विशेष कार्यक्रम रखा, जिसके माध्यम से उन्होंने समझौता संगठनों के आंतरिक नेटवर्क तक पहुंच प्राप्त की।

हैकर कैसे होते हैं

जैसा कि जांच से पता चला है कि हमलावर रिमोट कोड निष्पादन भेद्यता MS17-010 का शोषण करके या चोरी की गई साख का उपयोग करके नेटवर्क के अंदर जा रहे हैं।



मैलवेयर और इसकी स्थापना की सामान्य संरचना

इस समूह के हमलों की सफलता काफी हद तक इस तथ्य से सुगम है कि नेटवर्क के भीतर आगे बढ़ने के लिए इसका उपयोग करने वाली अधिकांश उपयोगिताओं का व्यापक रूप से नेटवर्क प्रशासन के लिए दुनिया भर के विशेषज्ञों द्वारा उपयोग किया जाता है। समूह ने सार्वजनिक उपयोगिताओं और कारनामों का उपयोग किया, उदाहरण के लिए SysInternals , Mimikatz , EternalBlue , EternalRomance। सामान्य कारनामों का उपयोग करते हुए, अपराधी संगठन के स्थानीय नेटवर्क पर कंप्यूटरों को संक्रमित करते हैं और संवेदनशील डेटा चोरी करते हैं।

एक संगठन विशेष गहन यातायात विश्लेषण प्रणालियों का उपयोग करके ऐसे हमलों को रोक सकता है जो इसे एक हमलावर के प्रवेश के प्रारंभिक चरण में एक स्थानीय नेटवर्क में संदिग्ध गतिविधि की गणना करने और उन्हें कंपनी के बुनियादी ढांचे में पैर जमाने से रोकने की अनुमति देगा। इसके अलावा, सूचना सुरक्षा घटनाओं की निगरानी करना , परिधि और वेब अनुप्रयोगों की सुरक्षा करना हमलों का पता लगाने और उनका मुकाबला करने में मदद करेगा।

प्राप्त आंकड़ों के अनुसार, पहचाने गए एपीटी समूह में संभवतः एशियाई जड़ें हैं और चीनी वक्ताओं में से हैं।



एक हमले के दौरान, अनजाने में, हमलावरों ने प्रॉक्सी सर्वर को गलत तरीके से कॉन्फ़िगर किया, जिसके द्वारा उन्होंने चाइना टेलीकॉम प्रदाता से संबंधित अपना वास्तविक आईपी पता जारी किया

एक हमले में, समूह ने प्लगएक्स मैलवेयर का उपयोग किया, जो पारंपरिक रूप से चीनी मूल के कई एपीटी समूहों द्वारा उपयोग किया जाता है, साथ ही साथ बीबे ट्रोजन, जो कि 2017 में सोंगएक्सवाई मैलवेयर अभियान में इस्तेमाल किया गया था। इसके अलावा, व्यक्तिगत हमलों के दौरान, हमलावरों ने गलती से चीनी प्रदाताओं से संबंधित अपने वास्तविक आईपी पते का खुलासा किया।

निष्कर्ष

समूह पहले से ही कई सफल हैक के पीछे है, लेकिन यह गलतियां करता है जो हमें इसकी उत्पत्ति का न्याय करने की अनुमति देता है। प्रस्तुत सभी आंकड़ों के अनुसार, समूह एशिया से आता है और पहले अज्ञात मैलवेयर का उपयोग करता है। बायबी ट्रोजन इस समूह को सोंगएक्सवाई समूह के साथ जोड़ता है जिसे हमने पहले खोजा था, जिसकी गतिविधि 2017 में हुई थी।

हम कैलिप्सो समूह की गतिविधि की बारीकी से निगरानी करते हैं और इसकी भागीदारी के साथ नए हमलों की भविष्यवाणी करते हैं।