साइबर सुरक्षा विशेषज्ञों ने एक नए तरह के साइबर हमले “GhostLock” का खुलासा किया है, जो पारंपरिक रैनसमवेयर की तरह डेटा को एन्क्रिप्ट नहीं करता, लेकिन फिर भी पूरे सिस्टम को लगभग उसी तरह निष्क्रिय कर देता है। यह तकनीक Windows ऑपरेटिंग सिस्टम के वैध फाइल-हैंडलिंग मैकेनिज्म का दुरुपयोग करके फाइलों को पूरी तरह “अनएक्सेसिबल” बना देती है।
रिपोर्ट के अनुसार, यह तकनीक Offensive Security Team Leader Kim Dvash द्वारा सामने लाई गई है। विशेषज्ञों का कहना है कि यह हमला विशेष रूप से SMB (Server Message Block) आधारित एंटरप्राइज फाइल-शेयरिंग सिस्टम को निशाना बनाता है, जिससे बड़े संगठनों में व्यापक स्तर पर “availability disruption” पैदा हो सकता है।
GhostLock अटैक कैसे काम करता है
GhostLock Windows के CreateFileW API का दुरुपयोग करता है। इसमें हमलावर dwShareMode = 0 सेट करके फाइल को “exclusive lock” स्थिति में डाल देता है।
इसका मतलब यह है कि एक बार फाइल लॉक हो जाने के बाद कोई भी अन्य प्रोसेस या यूजर उसे न तो पढ़ सकता है, न बदल सकता है और न ही डिलीट कर सकता है। सिस्टम में लगातार STATUS_SHARING_VIOLATION (0xC0000043) एरर आने लगती है।
FutureCrime Summit 2026: Registrations to Open Soon for India’s Biggest Cybercrime Conference
सबसे गंभीर बात यह है कि इस तकनीक के लिए एडमिन अधिकारों की जरूरत नहीं होती। एक सामान्य डोमेन यूजर भी SMB नेटवर्क के जरिए इसे अंजाम दे सकता है, जिससे एंटरप्राइज वातावरण में जोखिम और बढ़ जाता है।
एन्क्रिप्शन नहीं, फिर भी रैनसमवेयर जैसा असर
हालांकि GhostLock डेटा को एन्क्रिप्ट नहीं करता, लेकिन इसका प्रभाव रैनसमवेयर अटैक जैसा ही होता है। ERP सिस्टम, फाइल सर्वर और साझा वर्कफ्लो अचानक बंद हो जाते हैं।
ऑपरेशनल स्तर पर यह स्थिति पूरी तरह बिजनेस डिसरप्शन पैदा करती है। फर्क सिर्फ इतना है कि यहां डिक्रिप्शन की मांग नहीं होती, बल्कि सिस्टम को अनलॉक करना ही रिकवरी का तरीका होता है।
तेज और बड़े पैमाने पर नुकसान की क्षमता
रिसर्च में पाया गया है कि GhostLock मल्टी-थ्रेडेड तकनीक का उपयोग करके हजारों फाइलों को कुछ ही मिनटों में लॉक कर सकता है।
एक SMB सेशन में हजारों एक्सक्लूसिव हैंडल बनाए जा सकते हैं, और यदि कई सेशन्स एक साथ चलें तो पूरा NAS (Network Attached Storage) सिस्टम ठप हो सकता है। बड़े संगठनों में यह स्थिति गंभीर बिजनेस डाउनटाइम का कारण बन सकती है।
क्यों फेल हो रहे हैं पारंपरिक सुरक्षा सिस्टम
GhostLock की सबसे बड़ी ताकत इसकी “stealth nature” है:
- यह फाइलों में कोई बदलाव नहीं करता, इसलिए रैनसमवेयर डिटेक्शन ट्रिगर नहीं होता
- कोई एन्क्रिप्शन नहीं होता, इसलिए क्रिप्टोग्राफिक अलर्ट नहीं आता
- नेटवर्क ट्रैफिक सामान्य SMB गतिविधि जैसा दिखता है
- EDR और SIEM सिस्टम में इसके लिए विशेष नियम मौजूद नहीं हैं
इसी वजह से यह हमला कई मामलों में सुरक्षा निगरानी से बच निकलता है।
रिकवरी और ऑपरेशनल चुनौतियां
विशेषज्ञों के अनुसार, इस तरह के हमले से रिकवरी आसान नहीं होती। संक्रमित SMB सेशन को बंद करने के लिए स्टोरेज एडमिनिस्ट्रेशन और सिक्योरिटी टीम के बीच समन्वय जरूरी होता है।
कई संगठनों में दोनों टीमें अलग-अलग काम करती हैं, जिससे प्रतिक्रिया में देरी होती है। औसतन रिकवरी समय 4 से 8 घंटे तक पहुंच सकता है।
साइबर विशेषज्ञ की चेतावनी
इस गंभीर खतरे पर टिप्पणी करते हुए प्रसिद्ध साइबर क्राइम विशेषज्ञ और पूर्व IPS अधिकारी प्रो. त्रिवेणी सिंह ने कहा:
“आज के साइबर हमले केवल डेटा एन्क्रिप्शन तक सीमित नहीं रह गए हैं। GhostLock जैसे अटैक सिस्टम के वैध व्यवहार का ही उपयोग करके उसे बाधित कर देते हैं, जिससे इन्हें पहचानना बेहद मुश्किल हो जाता है। संगठनों को अब केवल सिग्नेचर-बेस्ड सुरक्षा पर निर्भर नहीं रहना चाहिए, बल्कि बिहेवियर एनालिटिक्स और सिस्टम-लेवल टेलीमेट्री पर अधिक ध्यान देना होगा।”
निष्कर्ष
GhostLock यह दर्शाता है कि साइबर हमलों का स्वरूप तेजी से बदल रहा है। अब हमलावर केवल डेटा चोरी या एन्क्रिप्शन तक सीमित नहीं हैं, बल्कि सिस्टम की उपलब्धता (availability) को निशाना बनाकर भी गंभीर नुकसान पहुंचा सकते हैं।
विशेषज्ञों का मानना है कि यह तकनीक भविष्य में एंटरप्राइज सुरक्षा मॉडल को पूरी तरह बदल सकती है, क्योंकि यह पारंपरिक रैनसमवेयर डिफेंस को बायपास करते हुए वैध सिस्टम व्यवहार का ही दुरुपयोग करती है।
