कार्रवाई: कैलेंडर एप में पहुंच गया था चाइनीज मैलवेयर, चोरी कर रहा था यूजर्स का डाटा, गूगल ने खत्म किया

गूगल की साइबर सुरक्षा इकाई गूगल थ्रेट इंटेलिजेंस ग्रुप (GTIG) ने एक बड़े साइबर हमले का खुलासा किया है, जिसमें Google Calendar को डेटा चुराने के लिए कम्युनिकेशन चैनल के रूप में इस्तेमाल किया जा रहा था। इस हमले के पीछे एक चीन-समर्थित हैकर समूह APT41 (HOODOO) का हाथ माना जा रहा है।

GTIG की जांच के मुताबिक, अक्टूबर 2024 में एक सरकारी वेबसाइट के जरिए मैलवेयर फैलाया गया। APT41 ने spear phishing तकनीक से टारगेट को फर्जी ईमेल भेजे। इन ईमेल्स में एक ZIP फाइल का लिंक था, जो संक्रमित वेबसाइट पर होस्ट किया गया था। ZIP फाइल में एक .lnk फाइल (शॉर्टकट) और कुछ JPG इमेजेस थीं। छठी और सातवीं इमेज में असल में एन्क्रिप्टेड पेलोड और DLL फाइल छिपे थे। जब उपयोगकर्ता .lnk फाइल खोलता, यह दोनों फाइलें सक्रिय हो जातीं और .lnk फाइल खुद को हटा लेती, फिर एक फर्जी PDF यूजर को दिखाती जिसमें कीड़े-मकोड़ों की एक्सपोर्ट डिक्लेरेशन की बात होती, ताकि किसी को शक न हो।

मैलवेयर तीन चरणों में काम करता था। पहला चरण- DLL को मेमोरी में रन करता। दूसरा चरण- वैध विंडोज प्रक्रिया को हॉलो करता और उसमें मालिशियस कोड डालता। तीसरा चरण- TOUGHPROGRESS नामक पेलोड डिवाइस पर एक्टिव हो जाता और Google Calendar से हैकर से संवाद करता। Google Calendar को C2 चैनल की तरह इस्तेमाल किया गया, एक "zero-minute" इवेंट में संक्रमित डिवाइस का डाटा एन्क्रिप्टेड रूप में सेव होता। 30 और 31 जुलाई 2023 के दो इवेंट्स से हैकर मैलवेयर को कमांड भेजते। जवाब में मैलवेयर एक और इवेंट बनाता, जिसमें आउटपुट एन्क्रिप्टेड रूप में भेजा जाता।