UNG0002: একাধিক এশীয় বিচারব্যবস্থা জুড়ে আঞ্চলিক হুমকি কার্যক্রম ট্র্যাক করা হয়েছে

সংক্ষিপ্ত বিবরণ

Seqrite ল্যাবস এপিটি-টিম UNG0002, যা আননোন গ্রুপ 0002 নামেও পরিচিত, তাকে শনাক্ত ও ট্র্যাক করেছে। এটি গুপ্তচরবৃত্তিমূলক কার্যকলাপের একটি সমষ্টি, যা একই ক্লাস্টারের অধীনে চীন, হংকং এবং পাকিস্তানসহ এশিয়ার একাধিক অধিক্ষেত্রে অভিযান পরিচালনা করছে। এই হুমকি সৃষ্টিকারী সত্তাটি শর্টকাট ফাইল (LNK), VBScript এবং কোবাল্ট স্ট্রাইক ও মেটাসপ্লয়েটের মতো পোস্ট-এক্সপ্লয়টেশন টুল ব্যবহারে বিশেষ আগ্রহ দেখায় এবং শিকারদের প্রলুব্ধ করার জন্য ধারাবাহিকভাবে CV-থিমযুক্ত ডিকয় ডকুমেন্ট মোতায়েন করে।

এই ক্লাস্টারের কার্যক্রম দুটি প্রধান অভিযান জুড়ে বিস্তৃত: অপারেশন কোবাল্ট হুইসপার (মে ২০২৪ – সেপ্টেম্বর ২০২৪) এবং অপারেশন অ্যাম্বারমিস্ট (জানুয়ারি ২০২৫ – মে ২০২৫) । অপারেশন কোবাল্ট হুইসপার চলাকালীন, প্রতিরক্ষা, ইলেকট্রোটেকনিক্যাল ইঞ্জিনিয়ারিং এবং বেসামরিক বিমান চলাচল খাতকে লক্ষ্য করে ২০টি সংক্রমণ শৃঙ্খল পর্যবেক্ষণ করা হয়েছিল। সাম্প্রতিক অপারেশন অ্যাম্বারমিস্ট অভিযানটি এখন গেমিং, সফটওয়্যার ডেভেলপমেন্ট এবং শিক্ষা প্রতিষ্ঠানগুলোকে লক্ষ্য করে বিকশিত হয়েছে এবং এতে শ্যাডো র‍্যাট, ব্লিস্টার ডিএলএল ইমপ্লান্ট এবং আইএনইটি র‍্যাট-এর মতো উন্নত লাইটওয়েট ইমপ্লান্ট ব্যবহার করা হচ্ছে।

সাম্প্রতিক অপারেশন অ্যাম্বারমিস্টে, হুমকি সত্তাটি ক্লিকফিক্স টেকনিকেরও অপব্যবহার করেছে - একটি সামাজিক প্রকৌশল পদ্ধতি যা ভুয়া ক্যাপচা যাচাইকরণ পৃষ্ঠাগুলির মাধ্যমে ক্ষতিকারক পাওয়ারশেল স্ক্রিপ্টগুলি কার্যকর করতে ভুক্তভোগীদের প্রতারণা করে। অতিরিক্তভাবে, UNG0002 DLL সাইডলোডিং কৌশলগুলি ব্যবহার করে, বিশেষ করে রাসফোন এবং নোড-ওয়েবকিট বাইনারিগুলির মতো বৈধ উইন্ডোজ অ্যাপ্লিকেশনগুলিকে অপব্যবহার করে ক্ষতিকারক পেলোডগুলি কার্যকর করে।

কী অনুসন্ধান

• বহু-পর্যায়ের আক্রমণ: UNG0002 শ্যাডো RAT, INET RAT, এবং ব্লিস্টার DLL সহ কাস্টম RAT ইমপ্লান্ট স্থাপনের জন্য ক্ষতিকারক LNK ফাইল, VBScript, ব্যাচ স্ক্রিপ্ট এবং পাওয়ারশেল ব্যবহার করে অত্যাধুনিক সংক্রমণ চেইন ব্যবহার করে।
• ক্লিকফিক্স সোশ্যাল ইঞ্জিনিয়ারিং: এই দলটি ভুয়া ক্যাপচা যাচাইকরণ পৃষ্ঠা ব্যবহার করে ক্ষতিগ্রস্তদের প্রতারণা করে ক্ষতিকারক পাওয়ারশেল স্ক্রিপ্ট কার্যকর করার জন্য, বিশেষ করে পাকিস্তানের সমুদ্র বিষয়ক মন্ত্রণালয়ের ওয়েবসাইটকে নকল করে।
  
• ডিএলএল সাইডলোডিং অপব্যবহার: সাম্প্রতিক প্রচারণায়, সনাক্তকরণ এড়িয়ে ক্ষতিকারক পেলোড চালানোর জন্য DLL সাইডলোডিংয়ের জন্য বৈধ উইন্ডোজ অ্যাপ্লিকেশনগুলির (রাসফোন, নোড-ওয়েবকিট) ধারাবাহিকভাবে অপব্যবহার করা হচ্ছে।
• সিভি-থিমযুক্ত ডিকয় ডকুমেন্টস: নির্দিষ্ট শিল্পকে লক্ষ্য করে বাস্তবসম্মত জীবনবৃত্তান্ত নথির ব্যবহার, যার মধ্যে রয়েছে গেম ইউআই ডিজাইনার এবং নামী প্রতিষ্ঠানের কম্পিউটার বিজ্ঞানের শিক্ষার্থীদের ভুয়া প্রোফাইল।
• স্থায়ী অবকাঠামো: এক বছর ধরে একাধিক অভিযানে ধারাবাহিক নামকরণের ধরণ এবং কর্মক্ষম নিরাপত্তা সহ কমান্ড এবং নিয়ন্ত্রণ পরিকাঠামো বজায় রাখা।

• লক্ষ্যবস্তু শিল্প ফোকাস: প্রতিরক্ষা, ইলেকট্রোটেকনিক্যাল ইঞ্জিনিয়ারিং, জ্বালানি, বেসামরিক বিমান চলাচল, শিক্ষা, চিকিৎসা প্রতিষ্ঠান, সাইবার নিরাপত্তা গবেষক, গেমিং এবং সফটওয়্যার উন্নয়ন খাতের পদ্ধতিগত লক্ষ্যবস্তু।
• অ্যাট্রিবিউশন চ্যালেঞ্জUNG0002 হলো একটি ক্রমবিকাশমান হুমকি গুচ্ছ, যা অন্যান্য হুমকি সৃষ্টিকারীদের কৌশল অনুকরণ করে এর উৎস শনাক্ত করার প্রচেষ্টাকে জটিল করে তোলার মাধ্যমে উচ্চ অভিযোজন ক্ষমতা প্রদর্শন করে। Seqrite গবেষণাগারগুলো অত্যন্ত আত্মবিশ্বাসের সাথে মূল্যায়ন করছে যে, গোষ্ঠীটির উৎস দক্ষিণ-পূর্ব এশিয়া এবং এটি গুপ্তচরবৃত্তিতে মনোনিবেশ করে। আরও গোয়েন্দা তথ্য পাওয়া গেলে ভবিষ্যতে সংশ্লিষ্ট অভিযানগুলো সম্প্রসারিত বা পরিমার্জিত হতে পারে।

সারাংশ

UNG0002 দক্ষিণ এশিয়ার একটি পরিশীলিত এবং স্থায়ী হুমকি সত্তার প্রতিনিধিত্ব করে যা কমপক্ষে মে ২০২৪ সাল থেকে একাধিক এশীয় বিচারব্যবস্থাকে লক্ষ্য করে ধারাবাহিকভাবে অভিযান পরিচালনা করে আসছে। এই দলটি উচ্চ অভিযোজনযোগ্যতা এবং প্রযুক্তিগত দক্ষতা প্রদর্শন করে, ধারাবাহিক কৌশল, কৌশল এবং পদ্ধতি বজায় রেখে তাদের সরঞ্জাম সেটটি ক্রমাগত বিকশিত করে।

নির্দিষ্ট ভৌগোলিক অঞ্চল (চীন, হংকং, পাকিস্তান) এবং লক্ষ্যবস্তু শিল্পের উপর হুমকি অভিনেতার মনোযোগ গোয়েন্দা তথ্য সংগ্রহের জন্য একটি কৌশলগত পদ্ধতির ইঙ্গিত দেয় যা ক্লাসিক গুপ্তচরবৃত্তি সম্পর্কিত কার্যকলাপ নামে পরিচিত। বৈধ-সুদর্শন নথি, সামাজিক প্রকৌশল কৌশল এবং ছদ্ম-উন্নত ফাঁকি পদ্ধতির তাদের ব্যবহার একটি সুসম্পর্কিত এবং অভিজ্ঞ অপারেশন নির্দেশ করে।

UNG0002 অপারেশন কোবাল্ট হুইস্পার এবং অপারেশন অ্যাম্বারমিস্ট উভয় ক্ষেত্রেই ধারাবাহিক কর্মক্ষমতা প্রদর্শন করে, একই রকম অবকাঠামোগত নামকরণের নিয়ম, পেলোড ডেলিভারি প্রক্রিয়া এবং লক্ষ্য নির্বাচনের মানদণ্ড বজায় রাখে। প্রাথমিকভাবে কোবাল্ট স্ট্রাইক এবং মেটাসপ্লয়েট ফ্রেমওয়ার্ক ব্যবহার থেকে শ্যাডো RAT, INET RAT এবং ব্লিস্টার DLL এর মতো কাস্টম ইমপ্লান্ট তৈরিতে এই গ্রুপের বিবর্তন তাদের অবিচল প্রকৃতির ইঙ্গিত দেয়।

উল্লেখযোগ্য প্রযুক্তিগত নিদর্শনগুলোর মধ্যে রয়েছে পিডিবি পাথ, যা ডেভেলপমেন্ট এনভায়রনমেন্ট প্রকাশ করে; যেমন শ্যাডো র‍্যাট (Shadow RAT)-এর জন্য C:\Users\The Freelancer\source\repos\JAN25\mustang\x64\Release\mustang.pdb এবং আইনেট র‍্যাট (INET RAT)-এর জন্য C:\Users\Shockwave\source\repos\memcom\x64\Release\memcom.pdb। এগুলো “Mustang” এবং “ShockWave” নামক সম্ভাব্য কোডনেমগুলোর ইঙ্গিত দেয়, যা আগে থেকে বিদ্যমান থ্রেট গ্রুপগুলোর অনুকরণকে নির্দেশ করে। সম্পূর্ণ ইনফেকশন চেইনগুলোর একটি বিশদ প্রযুক্তিগত বিশ্লেষণ এবং ক্যাম্পেইনের বিস্তারিত বিবরণ আমাদের বিশদ হোয়াইটপেপারে পাওয়া যাবে ।

উপসংহার

হুমকিমূলক কার্যকলাপের জন্য কোনো নির্দিষ্ট গোষ্ঠীকে দায়ী করা সর্বদা একটি জটিল কাজ। এর জন্য লক্ষ্যবস্তু নির্ধারণের ধরণ, কৌশল ও পদ্ধতি (টিটিপি), ভৌগোলিক কেন্দ্রবিন্দু এবং অভিযানগত নিরাপত্তায় যেকোনো সম্ভাব্য ত্রুটিসহ বিভিন্ন ক্ষেত্রে বিশদ বিশ্লেষণ প্রয়োজন। UNG0002 হলো একটি ক্রমবিকাশমান ক্লাস্টার যা Seqrite ল্যাব সক্রিয়ভাবে পর্যবেক্ষণ করছে। আরও গোয়েন্দা তথ্য পাওয়ার সাথে সাথে, আমরা সংশ্লিষ্ট প্রচারণাগুলিকে সম্প্রসারিত বা পরিমার্জিত করতে পারি। আমাদের বর্তমান অনুসন্ধানের উপর ভিত্তি করে, আমরা অত্যন্ত আত্মবিশ্বাসের সাথে মূল্যায়ন করছি যে এই গোষ্ঠীটি দক্ষিণ-পূর্ব এশিয়া থেকে উদ্ভূত এবং উচ্চ স্তরের অভিযোজনযোগ্যতা প্রদর্শন করে - প্রায়শই অন্যান্য হুমকি অভিনেতার প্লেবুকগুলিতে দেখা কৌশলগুলি অনুকরণ করে গুপ্তচরবৃত্তির উপর দৃষ্টি নিবদ্ধ করে অ্যাট্রিবিউশনকে জটিল করে তোলে। আমরা এই প্রচারণাগুলি অনুসন্ধান করার জন্য সম্প্রদায়ের অন্যান্য গবেষকদের, যেমন malwarehunterteam-এর প্রশংসা করি।

IOCs

• নন-পিই [স্ক্রিপ্ট-ভিত্তিক ফাইল, শর্টকাট, সি২-কনফিগ, এনক্রিপ্টেড শেলকোড ব্লব]

• পিই - ইমপ্লান্ট

মিটার এটিটি এবং সিকে

লেখক

সাত্বিক রাম প্রাক্কি

শুভজিৎ সিংহ