SvcStealer 2025 হলো তথ্য চোরদের একটি নতুন স্ট্রেইন, যা স্পিয়ার ফিশিং ইমেইল অ্যাটাচমেন্টের মাধ্যমে ছড়ানো হয়। আমরা ২০২৫ সালের জানুয়ারি মাসের শেষে SvcStealer ম্যালওয়্যার ক্যাম্পেইনের কার্যকলাপ পর্যবেক্ষণ করেছি। এই ম্যালওয়্যারের নির্মাতা মেশিনের ডেটা, ইনস্টল করা সফটওয়্যার, ব্যবহারকারীর ক্রেডেনশিয়াল এবং টার্গেট করা ক্রিপ্টোকারেন্সি ওয়ালেট, মেসেজিং অ্যাপ্লিকেশন, ব্রাউজারের ডেটা ইত্যাদির মতো সংবেদনশীল তথ্য সংগ্রহ করে। সংগৃহীত ডেটা TA C2 প্যানেলে পাঠায় এবং C2 সার্ভার থেকে অন্য একটি ম্যালওয়্যার ফ্যামিলি ডাউনলোড করতে পারে।
SvcStealer ম্যালওয়্যার হুমকিদাতারা সংগৃহীত তথ্য গোপন ফোরামের পাশাপাশি অপরাধমূলক বাজারে বিক্রি করতে পারে।
প্রযুক্তিগত বিশ্লেষণ:
Seqrite থ্রেট হান্টিংয়ের সময় SvcStealer ম্যালওয়্যারটি শনাক্ত করা হয়েছে। এই ম্যালওয়্যারটি মাইক্রোসফট ভিজ্যুয়াল সি++ প্রোগ্রামিং ভাষায় লেখা হয়েছে। প্রাথমিকভাবে, ম্যালওয়্যারটি ভুক্তভোগীর হোস্ট রুট ডিরেক্টরির ভলিউম সিরিয়াল নম্বর সংগ্রহ করে এবং চিত্র ১-এ দেখানো অনুযায়ী প্রাপ্ত ভলিউম সিরিয়াল নম্বরের উপর গাণিতিক অপারেশন চালিয়ে ১১ বাইটের একটি আলফানিউমেরিক ভ্যালু তৈরি করে।
এরপর ম্যালওয়্যার যাচাই করে যে "C:\ProgramData" লোকেশনে ১১ বাইট আলফানিউমেরিক নামের ফোল্ডারটি ইতিমধ্যেই বিদ্যমান কিনা। যদি এটি বিদ্যমান না থাকে তবে এটি এই লোকেশনে একটি ফোল্ডার তৈরি করবে, ভিক্টিম সিস্টেমে চলমান একই ম্যালওয়্যার ইনস্ট্যান্স এড়াতে এর আচরণ বন্ধ করে দেবে, যেমন একটি মিউটেক্স তৈরি করা।
একবার এই ফোল্ডারটি তৈরি হয়ে গেলে, ম্যালওয়্যারটি সিস্টেম অ্যাডমিনিস্ট্রেটর এবং নিরাপত্তা বিশ্লেষকের নজরদারি এড়াতে সিস্টেমে চলমান নিম্নলিখিত প্রক্রিয়াগুলি বন্ধ করে দেয়।
প্রসেসের নাম : Taskmgr.exe, ProcessHacker.exe, procexp.exe, procexp64.exe
এরপরে এটি ভুক্তভোগী হোস্ট মেশিন থেকে ক্রিপ্টোকারেন্সি ওয়ালেটের ডেটা সংগ্রহ করে এবং সেই বিবরণগুলো “ Wallets ” ফোল্ডারে সংরক্ষণ করে।
একইভাবে এটি টার্গেটেড মেসেজিং সফটওয়্যার, FTP ক্লায়েন্ট, ব্রাউজার [পাসওয়ার্ড, ক্রেডিটকার্ডের বিবরণ, হিস্ট্রয়, ইত্যাদি], সিস্টেমের তথ্য [System_info.txt], ব্যবহারকারীর শংসাপত্র, ইনস্টল করা অ্যাপ্লিকেশনের বিবরণ [Software_Info.txt], ভিকটিম হোস্টে [Windows_Info.txt] চলমান প্রক্রিয়া এবং PID ইত্যাদির ডেটা সংগ্রহ করে, স্ক্রিনশট [Screenshot.jpg], ভিকটিম হোস্টে টার্গেটেড ফাইল [এক্সটেনশন] ক্যাপচার করে এবং চিত্র 2-এ দেখানো ফোল্ডারে সেই এক্সট্র্যাক্ট করা বিবরণ সংরক্ষণ করে।
লক্ষ্যবস্তু মেসেঞ্জারগুলোর তালিকা: 64gram, Discord, Telegram, Tox
লক্ষ্যবস্তু ব্রাউজারগুলোর তালিকা: মাইক্রোসফট এজ, ব্রেভ, ক্রোমিয়াম, গুগল ক্রোম, ক্রোম ক্যানারি, অপেরা, অপেরা জিএক্স, অপেরা ক্রিপ্টো, ভিভালডি, ইয়ানডেক্স, কমোডো, ইউসি ব্রাউজার।
লক্ষ্যবস্তু ফাইল এক্সটেনশনের তালিকা: .jpg, .pdf, .docx, .csv, .sql, .cpp, .h, .dat, .wallet, .pkey
একবার এটি ভিকটিম হোস্টের কাছ থেকে সমস্ত তথ্য সংগ্রহ করে, এটি “C:\ProgramData\64A6547CE12C1013156883” ফোল্ডারটিকে জিপ ফাইল হিসেবে সংকুচিত করে, যা চিত্র 7-এ দেখানো হয়েছে।
এরপর, এটি 2 নম্বর পোর্টে C80 সার্ভারের সাথে সংযোগ স্থাপনের চেষ্টা করে। C2 সার্ভার সংযোগ স্থাপন হয়ে গেলে, TA পোস্ট রিকোয়েস্টে সংগৃহীত বিবরণ আপলোড করে এবং C2 প্যানেলে ভিকটিম মেশিন নিবন্ধন করে। যদি C2 সার্ভার সেশনটি এখনও তৈরি না হয় তবে এটি 5 সেকেন্ড [স্লিপ মেথড] অপেক্ষা করে এবং একটি সফল সেশন না পাওয়া পর্যন্ত C2 সার্ভারে বীকন চালু রাখে।
একবার এটি সংগৃহীত তথ্য C2 সার্ভারে পাঠালে, এটি "C:\ProgramData\64A6547CE12C1013156883"-এ সংকুচিত জিপ ফাইল এবং ম্যালওয়্যার সংরক্ষিত ফাইলগুলি মুছে ফেলে, যাতে চিহ্নগুলি মুছে ফেলা যায়, যাতে নিরাপত্তা বিশ্লেষক এবং সুরক্ষা সরঞ্জামগুলি সেগুলি ট্রেস করতে না পারে।
এটি চিত্র ২-এ দেখানো ভলিউম সিরিয়াল নম্বর থেকে ফোল্ডার তৈরি করে UID তৈরি করে [TA এই UID ব্যবহার করে ভিকটিম মেশিনের স্ক্রিনশট ক্যাপচারের কমান্ড হিসেবে] তারপর ম্যালওয়্যার C2 প্যানেলে বীকন করে যতক্ষণ না এটি 2 সেকেন্ড স্লিপ টাইম অপেক্ষা করে একটি সফল সেশন পায়। প্রথম C5 ডোমেনটি পৌঁছানো সম্ভব না হলে বিকল্প IP ঠিকানা হিসেবে এর দুটি C2 IP ঠিকানা রয়েছে।
C2 সার্ভারের সাথে সংযোগ স্থাপনের পর, এটি স্ক্রিনশটটি নেয় এবং "লোকেশন C:\Users\username\AppData\Roaming" এ একটি Screenshot.jpg ফাইল হিসেবে সংরক্ষণ করে, তারপর সেই ক্যাপচার করা স্ক্রিনশটটি পোস্ট রিকোয়েস্টের মাধ্যমে C2 প্যানেলে পাঠায়।
UID-এর মতো, এই ম্যালওয়্যারটি C2 প্যানেলে tsk [টাস্ক কমান্ড] পাঠায়। ম্যালওয়্যারটি C2 সার্ভার থেকে প্রতিক্রিয়া পাওয়ার পর, এটি C2 সার্ভারের প্রতিক্রিয়ায় উল্লিখিত TA URL থেকে ফাইল ডাউনলোড করে এবং সেই ডাউনলোড করা ফাইলটিকে temp_ [বর্তমান সিস্টেম সময়ের উপর ভিত্তি করে ৪-সংখ্যার সংখ্যাসূচক নম্বর] .exe হিসাবে C:\Users\username\AppData\Local\Temp\ অথবা C:\Users\username\AppData\Roaming [যা C2 সার্ভারের প্রতিক্রিয়ায়ও উল্লিখিত] ফোল্ডারে কপি করে এবং ShellExecuteW-এর মাধ্যমে সেই ডাউনলোড করা ফাইলটি এক্সিকিউট করে। বিশ্লেষণের সময় ক্ষতিকারক C2 ডোমেইনটি অ্যাক্সেসযোগ্য ছিল না। অন্য কোনো ম্যালওয়্যার ডাউনলোড হওয়ার সম্ভাবনা রয়েছে।
আইওসিএস:
0535262fe0f5413494a58aca9ce939b2
ee0fd4d6a722a848f31c55beaf0d0385
05ef958a79150795d43e84277c455f5d
4868a5a4c8e0ab56fa3be8469dd4bc75
/svcstealer/get[.]php
185[।]81[।]68[।]156
176[।]113[।]115[।]149
সনাক্তকরণ:
TrojanSpy.SvcStealer.S35070558, TjnSpy.SvcStealer.S35070557
ইয়ারা নিয়ম:
"pe" আমদানি করুন
নিয়ম SvcStealer
{
স্ট্রিং:
$svc1={88 44 24 5A 69 C0 CF 1C 13 00 2D D1 DE A9 68 88 44 24 5B 69 C0 CF 1C 13 00 2D D1 DE A9 68 88 44 24 5C C D69 DE A0 1 13 00 2 1D}
$svc2={2f737663737465616c65722f6765742e706870}
$svc3="SvcStealer" ওয়াইড ascii
$svc4={৫৩ ৬৩ ৭২ ৬৫ ৬৫ ৬ই ৭৩ ৬৮ ৬এফ ৭৪ ২ই ৬এ ৭০ ৬৭}
শর্ত:
তাদের সবাই
}
মাইটার অ্যাটাক টিটিপি:
| যুদ্ধকৌশল | কৌশল / পদ্ধতি |
| প্রাথমিক অ্যাক্সেস | T1566.001 এর:ফিশিং: স্পিয়ারফিশিং সংযুক্তি |
| প্রতিরক্ষা ফাঁকি | T1070.004 এর:সূচক অপসারণ: ফাইল মুছে ফেলা |
| শংসাপত্র অ্যাক্সেস | T1056.001 এর:ইনপুট ক্যাপচার: কীলগিং |
| T1552.001 এর:অনিরাপদ শংসাপত্র: ফাইলগুলিতে শংসাপত্র | |
| আবিষ্কার | T1012 এর:প্রশ্ন রেজিস্ট্রি |
| T1518 এর:সফটওয়্যার আবিষ্কার | |
| T1057 এর:প্রক্রিয়া আবিষ্কার | |
| T1082 এর:সিস্টেম তথ্য আবিষ্কার | |
| T1083 এর:ফাইল এবং ডিরেক্টরি আবিষ্কার | |
| সংগ্রহ | T1560 এর:সংগৃহীত তথ্য সংরক্ষণাগার |
| T1056.001 এর:ইনপুট ক্যাপচার: কীলগিং | |
| T1113 এর:স্ক্রিন ক্যাপচার | |
| কমান্ড এবং কন্ট্রোল | T1071 এর:অ্যাপ্লিকেশন লেয়ার প্রোটোকল |
উপসংহার:
হুমকিদাতারা স্পিয়ার ফিশিংয়ের মাধ্যমে এই ম্যালওয়্যারটি ছড়ায় , যেখানে ক্ষতিকারক ডকুমেন্ট/এক্সেল ও এক্সিকিউটেবল বাইনারি সংযুক্ত থাকে। ব্যবহারকারীদের এই ধরনের সন্দেহজনক ইমেল খোলা থেকে বিরত থাকা উচিত। SvcStealer ম্যালওয়্যারের ডেভেলপার একটি ইনিশিয়াল অ্যাক্সেস ব্রোকার [IAB] হিসেবে কাজ করতে পারে। এই ম্যালওয়্যারটি তার তৈরি করা ফাইল ও ফোল্ডারের চিহ্ন মুছে ফেলে এবং প্রসেসগুলো বন্ধ করে দিয়ে এড়ানোর কৌশল প্রয়োগ করে। এই ম্যালওয়্যারটি বটনেট ইত্যাদির মতো অতিরিক্ত পেলোডও ডাউনলোড করতে পারে। এটি [ভলিউম সিরিয়াল নম্বরের মাধ্যমে] ফোল্ডারের নাম তৈরি করে ভুক্তভোগীর মেশিনে শুধুমাত্র একটি ইনস্ট্যান্স চালু রাখা নিশ্চিত করে।
