ईरान से संदिग्ध संबंध वाला हैकिंग समूह ऑयलरिग एक साल से अधिक समय से इजरायली विनिर्माण कंपनियों, स्थानीय सरकारी संगठनों और स्वास्थ्य सेवा उद्योग को निशाना बना रहा है।
आईटी सुरक्षा निर्माता ईएसईटी के शोधकर्ताओं ने एपीटी समूह "ऑयलरिग" (जिसे एपीटी34, लिसेयुम, क्रैम्बस या सियामेसेकिटेन के नाम से भी जाना जाता है) के एक अभियान का खुलासा किया है, जो 2022 से इज़राइल में स्थानीय सरकारी संगठनों, विनिर्माण कंपनियों और स्वास्थ्य सेवा क्षेत्र पर भी हमला कर रहा है।
ऑयलरिग डेटा एक्सफिल्ट्रेशन के लिए वैध क्लाउड सेवा प्रदाताओं का उपयोग करता है
अपराधी, जिनके बारे में माना जाता है कि वे ईरान से हैं, इजरायली संगठनों के नेटवर्क में घुसपैठ करने और संवेदनशील डेटा ढूंढने और घुसपैठ करने की कोशिश कर रहे हैं। इस उद्देश्य के लिए, ऑयलरिग विभिन्न प्रकार के नए डाउनलोडर्स का उपयोग करता है जैसे कि सैंपलचेक5000 (एससी5के वी1-वी3), ऑयलचेक, ओडीएजेंट और ऑयलबूस्टर। वितरण मार्ग असामान्य है: हैकर समूह कमांड और नियंत्रण संचार (सी एंड सी) और डेटा एक्सफिल्ट्रेशन के लिए वैध क्लाउड सेवा प्रदाताओं का उपयोग करता है। इनमें माइक्रोसॉफ्ट ग्राफ वनड्राइव, आउटलुक एप्लिकेशन प्रोग्रामिंग इंटरफेस (एपीआई) और माइक्रोसॉफ्ट ऑफिस एक्सचेंज वेब सर्विसेज एपीआई शामिल हैं।
SC5k और ऑयलचेक सहित ऑयलरिग टूलसेट डाउनलोडर विशेष रूप से परिष्कृत नहीं हैं। ईएसईटी शोधकर्ता ज़ुज़ाना ह्रोमकोवा के अनुसार, जिन्होंने ईएसईटी शोधकर्ता एडम बर्गर के साथ मिलकर मैलवेयर का विश्लेषण किया, ऑयलरिग एक ऐसा समूह है जिससे सावधान रहना चाहिए। वे लगातार नए वेरिएंट विकसित करते हैं, विभिन्न क्लाउड सेवाओं और प्रोग्रामिंग भाषाओं के साथ प्रयोग करते हैं, और लगातार अपने लक्ष्यों से समझौता करने का प्रयास करते हैं।
ईएसईटी टेलीमेट्री के अनुसार, ऑयलरिग ने अपने डाउनलोडर्स के उपयोग को कम संख्या में लक्ष्यों तक सीमित कर दिया। दिलचस्प बात यह है कि इन पर महीनों पहले ही अन्य ऑयलरिग टूल्स द्वारा हमला किया जा चुका था। चूँकि कंपनियों के लिए Office 365 संसाधनों तक पहुँचना आम बात है, ऑयलरिग क्लाउड-संचालित डाउनलोडर्स को नियमित नेटवर्क ट्रैफ़िक में अधिक आसानी से एकीकृत कर सकता है।
यह निशान संभवतः ऑयलरिग की ओर जाता है
ESET संभवतः SC5k (v1-v3), ऑयलचेक, ODAgent और ऑयलबूस्टर का श्रेय ऑयलरिग को देता है। ये डाउनलोडर मिस्टरपरफेक्शनमैनेजर और पावरएक्सचेंज बैकडोर के साथ समानताएं साझा करते हैं, जिन्हें हाल ही में ऑयलरिग टूलसेट में जोड़ा गया था और ईमेल-आधारित सी एंड सी प्रोटोकॉल का उपयोग किया गया था। अंतर यह है कि SC5k, ऑयलबूस्टर, ODAgent और ऑयलचेक पीड़ित के आंतरिक बुनियादी ढांचे का उपयोग नहीं करते हैं, बल्कि हमलावरों द्वारा नियंत्रित क्लाउड सेवा खातों का उपयोग करते हैं।
एक ही लक्ष्य पर बार-बार हमले
ODAgent डाउनलोडर को इज़राइल में एक निर्माण कंपनी के नेटवर्क पर खोजा गया था। दिलचस्प बात यह है कि यही कंपनी पहले अप्रैल और जून 5 के बीच ऑयलरिग डाउनलोडर SC2022k और बाद में एक अन्य नए डाउनलोडर, ऑयलचेक से प्रभावित हुई थी। हालाँकि उनके पास ODAgent के समान सुविधाएँ हैं, वे अपने C&C संचार के लिए क्लाउड-आधारित ईमेल सेवाओं का उपयोग करते हैं। 2022 में यह पैटर्न कई बार दोहराया गया। नए डाउनलोडर पूर्व ऑयलरिग लक्ष्यों के नेटवर्क में तैनात किए गए थे। जून और अगस्त 2022 के बीच, डाउनलोडर्स ऑयलबूस्टर, SC5k v1 और SC5k v2 के साथ-साथ बैकडोर शार्क की खोज की गई। ये सभी इज़राइल में एक स्थानीय सरकारी संगठन के नेटवर्क पर स्थापित किए गए थे। ESET ने बाद में एक इज़राइली स्वास्थ्य सेवा संगठन के नेटवर्क पर SC5k (v3) का एक और संस्करण खोजा, जो पहले ऑयलरिग का शिकार भी था।
ऑयलरिग के बारे में
ऑयलरिग, जिसे एपीटी34, लिसेयुम, क्रैम्बस या सियामेसेकिटन के नाम से भी जाना जाता है, एक साइबर जासूसी समूह है जो कम से कम 2014 से सक्रिय है। ऐसा माना जाता है कि इसका मुख्यालय ईरान में है। समूह मध्य पूर्व में सरकारों और रसायन, ऊर्जा, वित्त और दूरसंचार सहित विभिन्न आर्थिक क्षेत्रों को लक्षित करता है।
ESET.de पर अधिक
ईएसईटी के बारे में ESET एक यूरोपीय कंपनी है जिसका मुख्यालय ब्रातिस्लावा (स्लोवाकिया) में है। 1987 से, ईएसईटी पुरस्कार विजेता सुरक्षा सॉफ्टवेयर विकसित कर रहा है जिसने पहले ही 100 मिलियन से अधिक उपयोगकर्ताओं को सुरक्षित तकनीकों का आनंद लेने में मदद की है। सुरक्षा उत्पादों के व्यापक पोर्टफोलियो में सभी प्रमुख प्लेटफॉर्म शामिल हैं और दुनिया भर में व्यवसायों और उपभोक्ताओं को प्रदर्शन और सक्रिय सुरक्षा के बीच सही संतुलन प्रदान करता है। जेना, सैन डिएगो, सिंगापुर और ब्यूनस आयर्स में 180 से अधिक देशों और कार्यालयों में कंपनी का वैश्विक बिक्री नेटवर्क है। अधिक जानकारी के लिए www.eset.de पर जाएं या हमें LinkedIn, Facebook और Twitter पर फ़ॉलो करें।