CryptoBandits ম্যালওয়্যার অপরাধীদের আপনার USB ড্রাইভ ব্যবহার করে ক্রিপ্টো ওয়ালেট অ্যাক্সেস করতে দেয় – মাইক্রোসফট সতর্ক করেছে

মাইক্রোসফটের সর্বশেষ ক্রিপ্টো ম্যালওয়্যার গবেষণা ক্রিপ্টো ওয়ালেটগুলিকে নির্দেশ করে, যা একটি লেনদেন ব্যর্থ হতে পারে এমন বেশ কয়েকটি জায়গার মধ্যে একটি, সেলফ-কাস্টডির একটি মূল ব্যবহারিক দুর্বলতা হিসেবে।

একটি আপোষকৃত Windows মেশিন ব্যবহারকারীর কপি করা ঠিকানা পরিবর্তন করতে পারে, একটি ট্রান্সফার সাইন করার আগে সিড ফ্রেজ প্রকাশ করতে পারে, অথবা স্ক্রিনশট এবং ওয়ালেট প্রসঙ্গ আক্রমণকারীর কাছে পাঠাতে পারে।

জুন ১৭ তারিখের Security Blog রিপোর্টে, মাইক্রোসফট বলেছে CryptoBandits ম্যালওয়্যার, "CryptoBandits.A" হিসেবে শনাক্ত, ফেব্রুয়ারি ২০২৬ থেকে সক্রিয় এবং USB স্টোরেজ ডিভাইসে দূষিত Windows শর্টকাট ফাইলের মাধ্যমে সিস্টেমে পৌঁছেছে।

ম্যালওয়্যারটি ওয়ালেট সিক্রেট চুরি করে, কপি করা ঠিকানা অদলবদল করে এবং Tor-এর মাধ্যমে কমান্ড-এন্ড-কন্ট্রোল অবকাঠামোর সাথে যোগাযোগ করে। মাইক্রোসফট বলেছে এটি প্রতি ৫০০ মিলিসেকেন্ডে ক্লিপবোর্ড পর্যবেক্ষণ করে এবং সিড ফ্রেজ, প্রাইভেট কি এবং ওয়ালেট ঠিকানা খোঁজে।

হার্ডওয়্যার ওয়ালেট, ঠিকানা যাচাই এবং সিড ফ্রেজ শৃঙ্খলা প্রয়োজনীয় নিয়ন্ত্রণ হিসেবে রয়ে গেছে। কিন্তু যদি ওয়ালেট ওয়ার্কফ্লো পরিচালনাকারী এন্ডপয়েন্টটি আপোষকৃত হয়, তাহলে আক্রমণকারী সিক্রেট দেখতে পারে, গন্তব্য পরিবর্তন করতে পারে, অথবা ব্যবহারকারী কিছু ভুল বুঝতে পারার আগেই স্ক্রিন পর্যবেক্ষণ করতে পারে।

CryptoSlate আগেও সংলগ্ন ওয়ালেট-চুরির প্যাটার্ন কভার করেছে, যার মধ্যে ClipBanker-স্টাইল ঠিকানা প্রতিস্থাপন এবং মাইক্রোসফট-সংযুক্ত ওয়ালেট ম্যালওয়্যার অন্তর্ভুক্ত। মাইক্রোসফটের রিপোর্টে নতুন উপাদান হলো USB প্রচার, ক্লিপবোর্ড চুরি, Tor-রুটেড কন্ট্রোল এবং আচরণ শনাক্ত করার জন্য অপারেশনাল গাইডেন্সের সমন্বয়।

কীভাবে CryptoBandits ম্যালওয়্যার USB শর্টকাটকে এক্সিকিউশনে পরিণত করে

মাইক্রোসফট বলেছে প্রাথমিক অ্যাক্সেস দূষিত .lnk ফাইলের মাধ্যমে ঘটে, যার মধ্যে USB স্টোরেজ ডিভাইসে বিতরণ করা শর্টকাট অন্তর্ভুক্ত। মাইক্রোসফট যে কেসগুলি বিশ্লেষণ করেছে তাতে, শর্টকাটটি একটি ওয়ার্ম কম্পোনেন্ট স্থাপন করে।

তারপর ম্যালওয়্যারটি .doc, .xlsx, এবং .pdf-এর মতো সাধারণ ডকুমেন্ট ফাইলের জন্য USB ড্রাইভ স্ক্যান করে, মূলগুলি লুকিয়ে রাখে এবং একই ফাইলের নাম সহ নতুন শর্টকাট ফাইল তৈরি করে।

ফলাফলটি একটি পরিচিত ফাঁদ: একজন ব্যবহারকারী মনে করেন তারা রিমুভেবল মিডিয়া থেকে একটি ডকুমেন্ট খুলছেন, কিন্তু তারা আসলে ওয়ার্ম পেলোড চালু করছেন। সেই আচরণটি MITRE ATT&CK যে বৃহত্তর নিরাপত্তা প্যাটার্নকে রিমুভেবল মিডিয়ার মাধ্যমে প্রতিলিপি হিসেবে বর্ণনা করে তার সাথে মিলে যায়, কিন্তু ক্রিপ্টো-নির্দিষ্ট পরিণতি আরও সরাসরি।

সাইনিং, কপি করা বা ওয়ালেটের বিবরণ যাচাইয়ের জন্য ব্যবহৃত একটি মেশিন আক্রমণের পৃষ্ঠের অংশ হয়ে যায়।

একবার দূষিত শর্টকাট চললে, মাইক্রোসফট বলেছে ম্যালওয়্যারটি C:\Users\Public\Documents-এর অধীনে অস্পষ্ট JavaScript পেলোড ড্রপ করে, স্থায়িত্বের জন্য শিডিউলড টাস্ক ব্যবহার করে এবং নতুনভাবে ঢোকানো USB ড্রাইভে ছড়িয়ে পড়ার দিকে মনোযোগ দিয়ে একটি টাস্ক রাখে। আরেকটি টাস্ক স্টিলার কার্যকলাপ চালায়।

আক্রমণ প্রায়ই সাধারণ ফাইল হ্যান্ডলিং দিয়ে শুরু হয়। একটি শেয়ার করা USB ড্রাইভ, একটি কপি করা ফাইল, বা পুরানো রিমুভেবল-মিডিয়া অভ্যাস যেকোনো ওয়ালেট সফটওয়্যার খোলার আগেই ওয়ালেট-হ্যান্ডলিং এন্ডপয়েন্টকে অনিরাপদ অবস্থায় রাখতে পারে।

এটি নিয়মিত রিমুভেবল-মিডিয়া ব্যবহারকে যেকোনো ডিভাইসের জন্য USB ম্যালওয়্যার ঝুঁকিতে পরিণত করে যা পরে ওয়ালেট ওয়ার্কফ্লো স্পর্শ করে।

তবে, প্রতিরোধের পদ্ধতিগুলি ব্যবহারিক। ঝুঁকির মুহূর্ত হলো শর্টকাট এক্সিকিউশন এবং এর পরবর্তী স্থায়িত্ব, একটি ওয়ালেট অ্যাকশন শুরু হওয়ার আগে।

ক্রিপ্টো স্থানান্তরকারী কোনো ব্যক্তি বা দলের জন্য, যে ডিভাইসটি রিমুভেবল মিডিয়া খোলে সেটিই পরে একটি ডিপোজিট ঠিকানা কপি করতে পারে, একটি রিকভারি ওয়ার্কফ্লো প্রদর্শন করতে পারে, বা ট্রেজারি ট্রান্সফার প্রস্তুত করতে পারে।

ওয়ালেট অপারেশনের জন্য, রিমুভেবল মিডিয়া নীতি কাস্টডি অপারেশনের অংশ হয়ে যায়। একজন ব্যবহারকারী বা ডেস্ক যা একটি সাইনিং ওয়ার্কস্টেশনকে সাধারণ-উদ্দেশ্যের কম্পিউটার হিসেবে বিবেচনা করে, সেটি সেই মেশিনের সাথে সম্পর্কিত প্রতিটি ডকুমেন্ট ওয়ার্কফ্লোর ঝুঁকি উত্তরাধিকার সূত্রে পায়।

ওয়ালেট কার্যকলাপের জন্য ব্যবহৃত ডিভাইসগুলির অবিশ্বস্ত শর্টকাট, স্ক্রিপ্ট এবং পেলোড এক্সিকিউট করার কম উপায় প্রয়োজন।

আক্রমণটি একটি Windows শর্টকাট সমস্যা হিসেবে শুরু হয় এবং তারপর একটি ওয়ালেট-কন্ট্রোল সমস্যায় পরিণত হয়। একবার এন্ডপয়েন্ট আপোষকৃত হলে, ব্যবহারকারীর স্বাভাবিক ঠিকানা কপি করা, স্ক্রিন যাচাই করা এবং লেনদেন প্রস্তুত করার ক্রমটি ম্যালওয়্যারকে ঠিক সেই উপাদান দেয় যা এটি পর্যবেক্ষণ করার জন্য তৈরি করা হয়েছিল।

কীভাবে CryptoBandits ম্যালওয়্যার ক্লিপবোর্ডকে লেনদেনের পথে পরিণত করে

মাইক্রোসফটের বিশ্লেষণ দেখায় কেন একটি ক্রিপ্টো ক্লিপার তীব্র হয়ে ওঠে যখন ফান্ড সেলফ-কাস্টডিড থাকে। কমান্ড-এন্ড-কন্ট্রোল সার্ভারে নিবন্ধন করার পরে, ম্যালওয়্যারটি একটি ক্রমাগত লুপে প্রবেশ করে যা প্রতি আধা সেকেন্ডে ক্লিপবোর্ড পরীক্ষা করে।

এটি ১২- বা ২৪-শব্দের BIP39 সিড ফ্রেজ, Bitcoin WIF কি, Ethereum কি এবং ক্রিপ্টোকারেন্সি ঠিকানা খোঁজে।

যদি এটি একটি সিড ফ্রেজ বা প্রাইভেট কি খুঁজে পায়, মাইক্রোসফট বলেছে ম্যালওয়্যারটি এটি স্থানীয়ভাবে সংরক্ষণ করতে এবং Tor-এর মাধ্যমে এক্সফিলট্রেট করতে পারে। যদি এটি একটি কপি করা ক্রিপ্টোকারেন্সি ঠিকানা দেখে, এটি সেই মানটি আক্রমণকারী-নিয়ন্ত্রিত ঠিকানা দিয়ে প্রতিস্থাপন করতে পারে।

বেশ কয়েকটি ঠিকানা ফরম্যাটের জন্য, মাইক্রোসফট বলেছে ম্যালওয়্যারটি প্রতিস্থাপনটিকে যথেষ্ট অনুরূপ দেখানোর চেষ্টা করে যাতে সাধারণ চেক এড়ানো যায়, যেমন কিছু Bitcoin, Tron, বা Monero ঠিকানার প্রথম অক্ষরগুলির সাথে মেলানো, বা কিছু Bech32-স্টাইল Bitcoin ঠিকানায় শুধুমাত্র শেষ অক্ষর পরিবর্তন করা।

মাইক্রোসফট বছরের পর বছর ধরে ক্লিপবোর্ড ঠিকানা প্রতিস্থাপনকে ওয়ালেট-চুরির সমস্যা হিসেবে বিবেচনা করেছে। ক্রিওয়্যার এবং হট ওয়ালেটের উপর ২০২২ সালের একটি রিপোর্টে, কোম্পানিটি ক্লিপিং এবং সুইচিংকে এমন কৌশল হিসেবে বর্ণনা করেছিল যা লেনদেন সম্পূর্ণ হওয়ার আগেই ওয়ালেট ডেটা আটকায়।

CryptoBandits.A রিপোর্টটি সেই প্যাটার্নটিকে রিমুভেবল-মিডিয়া প্রসার এবং Tor-ভিত্তিক কমান্ড ট্র্যাফিকের সাথে সংযুক্ত দেখায়।

অফিসিয়াল ওয়ালেট সাপোর্ট গাইডেন্স কাস্টডি দিকটিকে আরও তীক্ষ্ণ করে। MetaMask-এর ডকুমেন্টেশন সিড ফ্রেজ এবং প্রাইভেট কিগুলিকে ওয়ালেট-কন্ট্রোল সিক্রেট হিসেবে বিবেচনা করে এবং আলাদাভাবে ব্যবহারকারীদের পাঠানো নিশ্চিত করার আগে প্রাপক ঠিকানা যাচাই করতে বলে।

CryptoBandits.A সেই ওয়ার্কফ্লোর উভয় দিককে লক্ষ্য করে: ওয়ালেট নিয়ন্ত্রণকারী সিক্রেট এবং ফান্ড গ্রহণকারী ঠিকানা।

হার্ডওয়্যার ওয়ালেট ওয়ার্কফ্লোতে এন্ডপয়েন্ট ঝুঁকি রেখে যায়

এটি ওয়ালেটের চারপাশের ডিভাইস সম্পর্কে একটি নির্দিষ্ট এন্ডপয়েন্ট সতর্কতা। প্রাইভেট কি বিচ্ছিন্ন রাখা অনেক সাধারণ ওয়ালেট আক্রমণের বিরুদ্ধে সবচেয়ে শক্তিশালী প্রতিরক্ষাগুলির মধ্যে একটি।

একটি দুর্বল অনুমান হলো যে হার্ডওয়্যার সুরক্ষা একটি লেনদেনের প্রতিটি ধাপ কভার করে। হার্ডওয়্যার ওয়ালেট সাইনিং কি রক্ষা করতে পারে, কিন্তু তারা একটি আপোষকৃত কম্পিউটারের ক্লিপবোর্ডকে বিশ্বাসযোগ্য করতে পারে না। যদি কোনো ব্যবহারকারী একটি সংক্রমিত মেশিনে একটি এক্সচেঞ্জ ডিপোজিট ঠিকানা, পেমেন্ট ঠিকানা, বা ট্রেজারি ট্রান্সফার ঠিকানা কপি করেন, তাহলে ম্যালওয়্যার ব্যবহারকারীর পেস্ট করার আগে মানটি পরিবর্তন করতে পারে।

যদি ব্যবহারকারী শুধুমাত্র কয়েকটি পরিচিত অক্ষর যাচাই করেন, তাহলে অনুরূপ দেখানোর জন্য ডিজাইন করা একটি প্রতিস্থাপন ঠিকানা তাড়াহুড়ো করা পর্যালোচনায় পার হয়ে যেতে পারে।

সিড ফ্রেজ আরও গুরুতর ব্যর্থতার মোড তৈরি করে। একটি আপোষকৃত Windows মেশিনে টাইপ করা বা কপি করা রিকভারি ফ্রেজ একটি রিমোট কম্প্রোমাইজ ঝুঁকিতে পরিণত হয়।

মাইক্রোসফট বলেছে ম্যালওয়্যারটি BIP39-স্টাইল ফ্রেজ শনাক্ত করতে এবং কমান্ড-এন্ড-কন্ট্রোল সার্ভারে এক্সফিলট্রেট করতে পারে। একবার সেই ধরনের সিক্রেট প্রকাশিত হলে, ঝুঁকি একটি একক প্রচেষ্টামূলক ট্রান্সফারের বাইরে বিস্তৃত হয়।

ব্যক্তিদের জন্য, ওয়ালেট হাইজিন আংশিকভাবে ডিভাইস হাইজিন। দলগুলির দ্বারা পরিচালিত ফান্ডের জন্য, কাস্টডি পদ্ধতিগুলিকে লেনদেন অনুমোদন প্রক্রিয়ার অংশ হিসেবে এন্ডপয়েন্ট আচরণ বিবেচনা করতে হবে।

ব্যালেন্স পরীক্ষা করতে, ট্রান্সফার প্রস্তুত করতে, অ্যাসেট ব্রিজ করতে, বা এক্সচেঞ্জ থেকে ফান্ড সরাতে ব্যবহৃত একটি মেশিনের একটি ভিন্ন ঝুঁকি প্রোফাইল থাকা উচিত একটি ওয়ার্কস্টেশন থেকে যা অজানা রিমুভেবল মিডিয়াও খোলে।

কার্যকর মান হলো পৃথকীকরণ। ওয়ালেট কার্যকলাপ পরিচালনাকারী একটি ডিভাইসের স্ক্রিপ্ট চালানো, USB ড্রাইভ থেকে শর্টকাট খোলা, বা ক্লিপবোর্ডের মাধ্যমে রিকভারি উপকরণ কপি করার কম কারণ থাকা উচিত।

যখন একটি ওয়ার্কফ্লো কপি-এন্ড-পেস্টের উপর নির্ভর করে, তখন সাইনিং ডিভাইস বা বিশ্বস্ত ডিসপ্লেতে দেখানো গন্তব্যটি ব্রাউজার বা চ্যাট উইন্ডোতে দেখানো ঠিকানার চেয়ে বেশি গুরুত্ব বহন করে।

যদি একটি ওয়ার্কস্টেশন এক্সপোজারের সন্দেহ হয়, তাহলে প্রতিক্রিয়াও পরিবর্তিত হয়। এক্সপোজারে একটি একক পেন্ডিং লেনদেনে শুধু একটি খারাপ ঠিকানার চেয়ে বেশি অন্তর্ভুক্ত থাকতে পারে।

এতে রিকভারি উপকরণ, প্রাইভেট কি, স্ক্রিনশট এবং একই মেশিনে কমান্ড এক্সিকিউশন অন্তর্ভুক্ত থাকতে পারে। এটি প্রতিকারকে এন্ডপয়েন্ট বিচ্ছিন্ন করা, প্রকাশিত ওয়ালেট উপকরণ রোটেট করা এবং সেই ডিভাইসে প্রস্তুত করা যেকোনো ট্রান্সফার পর্যালোচনা করার দিকে ঠেলে দেয়।

শনাক্তকরণ আচরণগত সংকেতের উপর নির্ভর করে

মাইক্রোসফটের প্রশমন গাইডেন্স আচরণের উপর মনোযোগ দেয়। কোম্পানিটি রিমুভেবল মিডিয়ার জন্য AutoRun এবং AutoPlay নিষ্ক্রিয় করা, যেখানে সম্ভব Group Policy-এর মাধ্যমে রিমুভেবল ড্রাইভ থেকে .lnk এক্সিকিউশন ব্লক করা, wscript.exe এবং cscript.exe-এর মতো স্ক্রিপ্ট হোস্টের অপ্রয়োজনীয় ব্যবহার সীমাবদ্ধ করা এবং অস্পষ্ট স্ক্রিপ্ট এবং সন্দেহজনক চাইল্ড-প্রসেস চেইনের জন্য Attack Surface Reduction নিয়মগুলি পর্যালোচনা করার সুপারিশ করে।

নিরাপত্তা দলগুলির জন্য, সবচেয়ে শক্তিশালী সংকেত আচরণগত। মাইক্রোসফট বলেছে ডিফেন্ডারদের এমন ক্ষেত্রে তদন্ত করা উচিত যেখানে স্ক্রিপ্ট ইঞ্জিন curl, cmd.exe, PowerShell বা অপ্রত্যাশিত এক্সিকিউটেবলের মতো সরঞ্জাম চালু করে।

এটি localhost:9050-এ স্থানীয় SOCKS5 প্রক্সি কার্যকলাপ, ক্লিপবোর্ড-সম্পর্কিত আচরণ এবং সংবেদনশীল আর্থিক ওয়ার্কফ্লো পরিচালনাকারী ডিভাইসগুলিতে PowerShell স্ক্রিন-ক্যাপচার কার্যকলাপও উল্লেখ করেছে।

সেই সংকেতগুলি বেশ কয়েকটি স্ট্যান্ডার্ড ATT&CK কৌশলের সাথে সারিবদ্ধ, যার মধ্যে ক্লিপবোর্ড ডেটা সংগ্রহ, প্রক্সি-ভিত্তিক কমান্ড-এন্ড-কন্ট্রোল এবং শিডিউলড টাস্ক স্থায়িত্ব অন্তর্ভুক্ত।

Microsoft Defender CryptoBandits-এর জন্য শনাক্তকরণ ক্ষমতাও তালিকাভুক্ত করেছে, যার মধ্যে Trojan:Win32/CryptoBandits.A এবং সম্পর্কিত JavaScript শনাক্তকরণ, এবং সন্দেহজনক JavaScript প্রক্রিয়া, curl-ভিত্তিক এক্সফিলট্রেশন এবং Task Scheduler কার্যকলাপের জন্য EDR কভারেজ অন্তর্ভুক্ত।

মাইক্রোসফটের রিপোর্টে ভিকটিম সংখ্যা, নিশ্চিত চুরির মোট, ভৌগোলিক বিতরণ এবং নামযুক্ত-অভিনেতার দায়বদ্ধতা অপ্রকাশিত রয়েছে। এটি আর্থিক ক্ষতির স্কেল সম্পর্কে যেকোনো দাবি সীমিত করে।

কাস্টডির শিক্ষা পর্যবেক্ষণ করা আচরণের উপর দাঁড়িয়ে আছে: একটি ওয়ালেট ওয়ার্কফ্লো একটি লেনদেন চেইনে পৌঁছানোর আগেই আপোষ করা যেতে পারে।

তাৎক্ষণিক উপসংহার হলো যে ক্রিপ্টো ব্যবহারকারী এবং অপারেটরদের এন্ডপয়েন্টগুলিকে ওয়ালেট স্ট্যাকের অংশ হিসেবে বিবেচনা করা উচিত। USB নিয়ন্ত্রণ, স্ক্রিপ্ট সীমাবদ্ধতা, ঠিকানা যাচাই এবং ক্লিপবোর্ড শৃঙ্খলা সেলফ-কাস্টডি নিরাপত্তার অংশ।

এগুলি হলো একটি লেনদেন চেইনে পৌঁছানোর আগে যে পথ নেয়।

CryptoBandits ম্যালওয়্যার অপরাধীদের আপনার USB ড্রাইভ ব্যবহার করে ক্রিপ্টো ওয়ালেট অ্যাক্সেস করতে দেয় – মাইক্রোসফট সতর্ক করেছে পোস্টটি প্রথমে CryptoSlate-এ প্রকাশিত হয়েছিল।