एक नकली क्लाउड डेस्कटॉप एप्लिकेशन ने रेवस्टीलर मैलवेयर वितरित किया है, जिसे विंडोज कंप्यूटरों पर 50 से अधिक क्रिप्टोक्यूरेंसी वॉलेट, पासवर्ड मैनेजर और वेब ब्राउज़र से डेटा चुराने के लिए डिज़ाइन किया गया है।

नकली क्लाउड ऐप रेवस्टीलर पेलोड को छुपाता है

साइबर सुरक्षा कंपनी मॉर्फिसेक ने 31 अगस्त की एक रिपोर्ट में कहा कि रेवस्टीलर को एक ट्रोजनयुक्त इलेक्ट्रॉन एप्लिकेशन के माध्यम से वितरित किया जा रहा है जिसे “क्लाउड ओपस 5 फ्री डेस्कटॉप” के रूप में प्रस्तुत किया गया है, जो एन्थ्रोपिक की ब्रांडिंग का उपयोग करता है और इसके सशुल्क आर्टिफिशियल इंटेलिजेंस मॉडल तक मुफ्त पहुंच प्रदान करता है।

मॉर्फिसेक थ्रेट लैब्स के अनुसार, क्लाउड नाम के तहत दिखाई देने से पहले, मैलवेयर को गिटहब रिपॉजिटरी और वीडियो गेम चीट्स का विज्ञापन करने वाली वेबसाइटों के माध्यम से वितरित किया गया था। शोधकर्ताओं ने क्लाउड-थीम वाले गिटहब प्रोजेक्ट को सबसे उल्लेखनीय उदाहरण के रूप में पहचाना क्योंकि इसने सशुल्क एआई टूल में रुचि का उपयोग लोगों को अपुष्ट सॉफ्टवेयर स्थापित करने के लिए प्रोत्साहित करने के लिए किया था।

डाउनलोड लगभग 101 मेगाबाइट के एक संग्रह के रूप में आता है जिसमें एक 64-बिट इलेक्ट्रॉन एप्लिकेशन होता है। हालांकि पीड़ितों को एक काम करने वाले क्लाउड इंटरफ़ेस की उम्मीद होती है, मॉर्फिसेक ने पाया कि कार्यक्रम कोई दृश्यमान विंडो नहीं खोलता है और इसके बजाय पृष्ठभूमि में एक एन्क्रिप्टेड नेटिव पेलोड तैयार करता है।

रेवस्टीलर का लोडर पेलोड को एप्लिकेशन के अंदर एईएस-256-सीबीc-एन्क्रिप्टेड संसाधन के रूप में संग्रहीत करता है। अपनी प्रारंभिक जांच को मंजूरी देने के बाद, यह फ़ाइल को डिक्रिप्ट करता है, इसे विंडोज ऐपडाटा डायरेक्टरी में एक यादृच्छिक नाम के तहत लिखता है, और एक विंडो प्रदर्शित किए बिना मैलवेयर लॉन्च करता है।

साथ ही, लोडर उपयोगकर्ता के ऐपडाटा फ़ोल्डर को माइक्रोसॉफ्ट डिफेंडर अपवर्जन सूची में जोड़ने का प्रयास करता है। मॉर्फिसेक ने कहा कि यह प्रक्रिया डिवाइस पर छोड़े गए सबूतों को सीमित करने के लिए डिज़ाइन की गई है, जबकि मैलवेयर को जानकारी जल्दी से एकत्र और प्रसारित करने की अनुमति भी देती है।

रेवस्टीलर चलने से पहले कंप्यूटर की जांच करता है

अपने मुख्य पेलोड को तुरंत जारी करने के बजाय, रेवस्टीलर पहले कंप्यूटर की जांच करता है कि क्या सुरक्षा शोधकर्ता इसे देख रहे हैं। मॉर्फिसेक के अनुसार, लोडर को कम से कम 2 गीगाबाइट भौतिक मेमोरी, दो लॉजिकल प्रोसेसर कोर और एक मान्यता प्राप्त ग्राफिक्स एडाप्टर की आवश्यकता होती है।

होस्टनेम और यूजरनेम जांच डिवाइस की तुलना अनुसंधान प्रणालियों से जुड़ी एक ब्लैकलिस्ट से करती है। एक अलग टाइमिंग टेस्ट जावास्क्रिप्ट डीबगर इंस्ट्रक्शन के आसपास की देरी को मापता है, जब निष्पादन लगभग 100 मिलीसेकंड से अधिक समय तक रुकता है तो मैलवेयर की एन्कोडेड स्ट्रिंग तालिका को मिटा देता है।

नेटिव स्टेज 10 अन्य जांच करता है जो एक भारित एंटी-वर्चुअल-मशीन स्कोर उत्पन्न करते हैं। यह कंप्यूटर की भाषा सेटिंग्स की भी जांच करता है और रूसी, यूक्रेनी और कई मध्य एशियाई भाषाओं के लिए कॉन्फ़िगर किए गए सिस्टम पर बंद हो जाता है।

स्वचालित विश्लेषण को एक कैप्चा विंडो के माध्यम से एक और बाधा का सामना करना पड़ता है, जिसके लिए संक्रमण जारी रहने से पहले बातचीत की आवश्यकता होती है। यदि डिवाइस शुरुआती जांचों में से एक में विफल रहता है, तो लोडर पेलोड को डिक्रिप्ट या उजागर नहीं करता है, जिससे शोधकर्ताओं के पास जांच करने के लिए कम दुर्भावनापूर्ण गतिविधि होती है।

एक बार चलने के बाद, रेवस्टीलर एक मानक आयात तालिका का उपयोग किए बिना विंडोज एप्लीकेशन प्रोग्रामिंग इंटरफेस को हल करता है। मॉर्फिसेक ने 14 अप्रत्यक्ष सिस्टम-कॉल रैपर की भी पहचान की जो मैलवेयर को विंडोज कर्नेल तक पहुंचने की अनुमति देते हैं जबकि सुरक्षा उत्पादों द्वारा आमतौर पर निगरानी की जाने वाली एक्सपोर्टेड फ़ंक्शंस से बचते हैं।

"इसका हर चरण इस धारणा के इर्द-गिर्द इंजीनियर किया गया है कि कुछ देख रहा है," मॉर्फिसेक शोधकर्ता शमूएल उज़ान ने लिखा।

रेवस्टीलर क्रिप्टो वॉलेट और अकाउंट सेशन को निशाना बनाता है

एक स्वीकृत डिवाइस पर, रेवस्टीलर ब्राउज़र डेटाबेस, एन्क्रिप्शन कुंजियों और एक्सटेंशन स्टोरेज में उन जानकारी की तलाश करता है जो ऑनलाइन खातों तक पहुंच प्रदान कर सकती हैं। मॉर्फिसेक ने पुष्टि की कि इसकी संग्रह सूची में विंडोज क्रेडेंशियल मैनेजर, 12 पासवर्ड मैनेजर, 50 से अधिक क्रिप्टोक्यूरेंसी वॉलेट और ब्राउज़र सेशन कुकीज़ शामिल हैं।

यह मैलवेयर वीपीएन कॉन्फ़िगरेशन, रिमोट-एक्सेस क्रेडेंशियल, क्लिपबोर्ड सामग्री, मैसेजिंग एप्लीकेशन डेटा, चयनित दस्तावेज़, स्क्रीनशॉट, गेम लॉन्चर और ओबीएस स्ट्रीमिंग प्रोफाइल की भी तलाश करता है। प्रत्येक स्रोत से एकत्र की गई जानकारी को एक एन्क्रिप्टेड, टाइप किए गए रिकॉर्ड में रखा जाता है जिसे ऑपरेटर के कमांड-एंड-कंट्रोल सर्वर पर भेजा जाता है।

चोरी हुई ब्राउज़र कुकीज़ एक खाते को तब भी उजागर कर सकती हैं जब मालिक मल्टी-फैक्टर प्रमाणीकरण का उपयोग करता है। यदि एक वैध सेशन पहले ही लॉगिन प्रक्रिया को पार कर चुका है, तो एक अपराधी पीड़ित के पासवर्ड और दूसरे प्रमाणीकरण कारक की आपूर्ति करने के बजाय कुकी का पुन: उपयोग करने में सक्षम हो सकता है, जैसा कि पिछले मैलवेयर रिपोर्टिंग में उद्धृत साइबर सुरक्षा शोधकर्ताओं के अनुसार है।

रेवस्टीलर पॉलीगॉन ब्लॉकचेन पर एक स्मार्ट कॉन्ट्रैक्ट से एक वैकल्पिक सर्वर पता भी पुनर्प्राप्त कर सकता है जब इसका मुख्य कमांड-एंड-कंट्रोल सर्वर अनुपलब्ध हो जाता है। मॉर्फिसेक ने कहा कि यह तरीका इसके ऑपरेटरों को मैलवेयर को फिर से बनाए बिना और पुनर्वितरित किए बिना बुनियादी ढांचे को बदलने की अनुमति देता है।

मैलवेयर के विपरीत जो कंप्यूटर पर बने रहने के लिए शेड्यूल्ड टास्क या स्टार्टअप एंट्री बनाता है, रेवस्टीलर परसिस्टेंस स्थापित नहीं करता है। कार्यक्रम उपलब्ध जानकारी एकत्र करता है, इसे अपने ऑपरेटरों को भेजता है, और खुद को हटा देता है।

मॉर्फिसेक ने इस ऑपरेशन को "चोरी का एक एकल छोटा विस्फोट" बताया, चेतावनी दी कि जब तक एक डिटेक्शन सिस्टम समीक्षा के लिए अलर्ट उत्पन्न करता है, तब तक क्रेडेंशियल, कुकीज़ और वॉलेट सामग्री पहले ही जा चुकी होंगी।

नकली सॉफ्टवेयर एक सामान्य क्रिप्टो मैलवेयर लालच बना हुआ है

क्लाउड प्रतिरूपण कई अभियानों के बाद हुआ है जिसमें हमलावरों ने क्रेडेंशियल चुराने वाले उपकरणों को परिचित एप्लिकेशन, मनोरंजन फाइलों या सॉफ्टवेयर अपडेट के रूप में पैक किया है।

अगस्त में, crypto.news ने बताया कि द ओडिसी के नकली डाउनलोड 1080p, वेबरिप और ब्लू-रे मूवी रिलीज़ के रूप में प्रच्छन्न विंडोज निष्पादन योग्य फाइलों के माध्यम से लुम्मा स्टीलर वितरित कर रहे थे। बिटडिफेंडर ने कहा कि मैलवेयर क्रिप्टोक्यूरेंसी वॉलेट डेटा, सहेजे गए पासवर्ड, भुगतान जानकारी, ब्राउज़र कुकीज़ और रिमोट-डेस्कटॉप क्रेडेंशियल एकत्र कर सकता है।

एक अलग जुलाई अभियान में क्रिप्टो कर्मचारियों को लक्षित करने के लिए समान दिखने वाले मीटिंग पेज और समझौता किए गए टेलीग्राम खातों का उपयोग किया गया। नकली मीटिंगों की रिपोर्टिंग के अनुसार, उत्तर कोरिया से जुड़े ब्लू नोरोफ ऑपरेटरों ने एथेरियम और सोलाना वॉलेट के लिए ब्राउज़र स्कैन किए और फिर कुछ पीड़ितों को गलत जूम या माइक्रोसॉफ्ट टीम्स अपडेट प्रस्तुत किए।

जम्पसेक ने पाया कि मीटिंग अभियान में विंडोज और मैकओएस दोनों डिवाइस शामिल थे। विंडोज पर, इसके पावरशेल लोडर ने माइक्रोसॉफ्ट डिफेंडर अपवर्जन जोड़ा, जबकि मैकओएस संस्करण ने एप्पल की कीचेन से सिस्टम जानकारी और क्रोम मास्टर की एकत्र की।

कैसपर्सकी ने जुलाई में एक और मॉड्यूलर मैलवेयर फ्रेमवर्क की पहचान की जिसने क्रिप्टोक्यूरेंसी निवेशकों के खिलाफ नकली रिकवरी स्क्रीन, कीलॉगिंग और क्लिपबोर्ड निगरानी का उपयोग किया। कंपनी ने कहा कि ओकोबॉट के 20 मॉड्यूल वॉलेट रिकवरी वाक्यांश, पासवर्ड और कॉपी किए गए वॉलेट पते को कैप्चर कर सकते हैं, जिसमें प्रभावित उपयोगकर्ता ब्राजील, वियतनाम, कनाडा, मैक्सिको और तुर्की में पाए गए।

कैसपर्सकी के अनुसार, ओकोबॉट के सीडहंटर घटक ने पीड़ितों को लेजर और ट्रेज़र डिवाइस से जुड़ा एक नकली रिकवरी इंटरफेस दिखाया। स्क्रीन में दर्ज कोई भी रिकवरी वाक्यांश मैलवेयर ऑपरेटरों को भेजा गया था, जबकि एक अन्य मॉड्यूल ने खुली वॉलेट विंडो को रिकॉर्ड किया था।

अमेरिकी अधिकारियों ने इसी तरह की सूचना चोरी को ट्रैक किया है

संयुक्त राज्य अमेरिका में उपयोगकर्ताओं के लिए, रेवस्टीलर रिपोर्ट लुम्मासी2 के खिलाफ संघीय कार्रवाई का अनुसरण करती है, जो क्रेडेंशियल और क्रिप्टोक्यूरेंसी वॉलेट जानकारी एकत्र करने के लिए उपयोग की जाने वाली एक और मैलवेयर सेवा है।

अमेरिकी न्याय विभाग ने मई 2025 में कहा कि लुम्मासी2 का कम से कम 1.7 मिलियन सूचना-चोरी की घटनाओं में उपयोग किया गया था। संघीय अधिकारियों ने ऑपरेशन का समर्थन करने वाले पांच इंटरनेट डोमेन जब्त किए, जबकि माइक्रोसॉफ्ट ने कहा कि उसने मैलवेयर के बुनियादी ढांचे का हिस्सा बनाने वाले लगभग 2,300 डोमेन को बाधित करने में मदद की।

तत्कालीन न्याय विभाग के आपराधिक डिवीजन के प्रमुख मैथ्यू गैलेओटी ने उस समय कहा, "लुम्मासी2 जैसे मैलवेयर को लाखों पीड़ितों से उपयोगकर्ता लॉगिन क्रेडेंशियल जैसी संवेदनशील जानकारी चुराने के लिए तैनात किया जाता है ताकि धोखाधड़ी वाले बैंक हस्तांतरण और क्रिप्टोक्यूरेंसी चोरी सहित कई अपराधों को सुविधाजनक बनाया जा सके।"

न्याय विभाग ने कहा कि मैलवेयर ऑनलाइन फ़ोरम और एक टेलीग्राम चैनल के माध्यम से बेचा गया था, जिससे ग्राहकों को पहुंच खरीदने और अपने स्वयं के चोरी के अभियान चलाने की अनुमति मिली। न्यायालय-अधिकृत ज़ब्ती ने पांच मुख्य डोमेन को सरकार-नियंत्रित पृष्ठों पर पुनर्निर्देशित किया, जबकि विभाग ने कहा कि विदेशी और घरेलू भागीदारों ने व्यवधान में सहायता की।