ब्राजील के बैंक और भुगतान कंपनियां एक ऐसे साइबर हमले का सामना कर रही हैं, जिसमें अपराधियों का निशाना सीधे बैंक ग्राहक नहीं, बल्कि वे प्रणालियां हैं जिनके जरिए पैसा स्थानांतरित किया जाता है। BREEZE COMET नाम से ट्रैक किया जा रहा आर्थिक रूप से प्रेरित साइबर गिरोह, जिसे पहले UNC5669 के नाम से जाना जाता था, वैध वित्तीय प्रणालियों तक भरोसेमंद पहुंच हासिल कर फर्जी धन हस्तांतरण करने की कोशिश कर रहा है। इसकी गतिविधियां 2024 से वित्तीय सेवाओं, खुदरा कारोबार और ई-कॉमर्स क्षेत्र से जुड़ी संस्थाओं को प्रभावित कर रही हैं।
विश्लेषकों के मुताबिक गिरोह पासवर्ड स्प्रेइंग, आईटी सहायता कर्मी बनकर फोन करने, सार्वजनिक वेबसाइटों में सेंध लगाने और खुदरा नेटवर्क से संदिग्ध उपकरण जोड़ने जैसे तरीकों का इस्तेमाल करता है। गूगल क्लाउड के शोधकर्ताओं ने इसके अभियान में विशेष रूप से तैयार मालवेयर के साथ जनरेटिव एआई के इस्तेमाल की पहचान की है। एआई का उपयोग नेटवर्क की जानकारी जुटाने, चोरी किए गए प्रमाण-पत्रों की जांच, एक प्रणाली से दूसरी प्रणाली में पहुंच बनाने और डेटा निकालने की तैयारी को तेज करने में किया गया।
गूगल क्लाउड की रिपोर्ट के अनुसार, इस गतिविधि में पहले सार्वजनिक रूप से Plump Spider और SHADOW-AETHER-064 नाम से बताई गई कार्रवाइयों से समानताएं मिली हैं। शोधकर्ताओं ने यह भी चेतावनी दी है कि हमले में इस्तेमाल ढांचे के संकेत लैटिन अमेरिका और अफ्रीका के अन्य हिस्सों तक संभावित विस्तार की ओर इशारा करते हैं।
बैंकिंग प्रणालियों और भुगतान ढांचे पर सीधा निशाना
BREEZE COMET उन संस्थाओं को निशाना बनाता है जिन्हें बैंकिंग सॉफ्टवेयर, एपीआई और Pix, STR तथा Boleto जैसी भुगतान प्रणालियों के माध्यम से लेनदेन करने की अनुमति होती है। हमलावरों को इसके लिए वित्तीय प्रणाली नेटवर्क, प्रमाणित mTLS प्रमाण-पत्र, विशेषाधिकार प्राप्त खाते और धन हस्तांतरण की आंतरिक नियंत्रण प्रक्रिया की जानकारी हासिल करनी होती है।
शुरुआती हमलों में पासवर्ड स्प्रेइंग और फोन के जरिए धोखाधड़ी का इस्तेमाल किया गया। हमलावर खुद को तकनीकी सहायता कर्मी बताकर पीड़ितों को दूरस्थ प्रबंधन उपकरण स्थापित करने के लिए तैयार करते थे। बाद के अभियानों में नगर निकायों की वेबसाइटों से छेड़छाड़ कर वहां कर या भुगतान रसीदों के नाम पर संदिग्ध फाइलें रखी गईं।
गिरोह ने कुछ मामलों में खुदरा नेटवर्क से संदिग्ध उपकरण भी जोड़े और वहां से आंतरिक प्रणालियों तक पहुंच बनाई। इसके बाद डेवलपर और क्लाउड वातावरण में पाइपलाइन प्रमाण-पत्र, एपीआई कुंजी, क्लाउड टोकन, प्रमाणपत्र और mTLS से जुड़ी सामग्री खोजी गई। REALBREEZE नामक उपकरण निर्देशिका प्रमाण-पत्रों का अनुमान लगाने के लिए इस्तेमाल किया जाता है।
कई मालवेयर और एआई की मदद से तेज हुई कार्रवाई
हमले में COBALTSPIN नामक Rust आधारित सुरंग उपकरण का भी इस्तेमाल किया गया। यह WebSocket कनेक्शन के जरिए रिवर्स SOCKS5 प्रॉक्सी बनाकर नेटवर्क यातायात को दूसरी दिशा से संचालित कर सकता है। LIGHTPAINT, MILDFROST, KICKPLATE और BOATBEAM जैसे अन्य पिछले दरवाजे वाले मालवेयर भी अलग-अलग स्तर पर पहुंच बनाए रखने में मदद करते हैं।
शोधकर्ताओं को ऐसे संकेत मिले हैं कि बड़े भाषा मॉडल का इस्तेमाल नेटवर्क की खोज, प्रमाण-पत्रों की जांच, बड़े पैमाने पर मालवेयर तैनाती, पीड़ित के अनुसार मार्ग तैयार करने और डेटा निकालने वाली लिपियां तैयार करने में किया गया। हालांकि एआई ने अपराधियों की विशेषज्ञता की जगह नहीं ली, लेकिन इससे अलग-अलग पीड़ितों के लिए हमले के औजारों को तेजी से तैयार करना आसान हुआ।
प्रख्यात साइबर अपराध विशेषज्ञ और पूर्व आईपीएस अधिकारी प्रो. त्रिवेणी सिंह के अनुसार, ऐसे हमलों में एआई का सबसे बड़ा खतरा हमलावरों की गति बढ़ना है। जब चोरी किए गए प्रमाण-पत्र, क्लाउड पहुंच और स्वचालित उपकरण एक साथ काम करते हैं, तो किसी संदिग्ध प्रवेश और वास्तविक वित्तीय नुकसान के बीच सुरक्षा टीम के पास प्रतिक्रिया के लिए बहुत कम समय बच सकता है।
एक मामले में BREEZE COMET ने COBALTSPIN और विशेषाधिकार प्राप्त खातों की मदद से मुख्य वित्तीय अनुप्रयोगों तक पहुंच बनाई। इसके बाद केवल 24 से 48 घंटे के भीतर सैकड़ों फर्जी लेनदेन की दो लहरें अंजाम दी गईं। गतिविधि छिपाने के लिए लॉग मिटाने और निर्देशिकाएं हटाने की कोशिश भी की गई।
कंपनियों को क्लाउड और भुगतान प्रणालियों की सुरक्षा बढ़ाने की जरूरत
सुरक्षा विशेषज्ञों ने संगठनों को अनधिकृत दूरस्थ प्रबंधन उपकरणों को रोकने, उपयोगकर्ता द्वारा लिखे जा सकने वाले फोल्डरों से सॉफ्टवेयर चलने पर रोक लगाने और संदिग्ध तकनीकी सहायता कॉल की स्वतंत्र पुष्टि करने की सलाह दी है। बाहरी पोर्टलों पर मजबूत बहु-कारक प्रमाणीकरण और खाता लॉक करने की व्यवस्था भी जरूरी है।
खुदरा और शाखा नेटवर्क में केवल डिजिटल सुरक्षा पर्याप्त नहीं है। 802.1X नेटवर्क पहुंच नियंत्रण, अनुपयोगी स्विच पोर्ट बंद करना, अधिकृत उपकरणों तक नेटवर्क पहुंच सीमित करना और नेटवर्क कक्षों को सुरक्षित रखना संदिग्ध उपकरणों के जरिए घुसपैठ का खतरा कम कर सकता है।
क्लाउड टीमों को Kubernetes सेवा खातों के लिए न्यूनतम आवश्यक अधिकार लागू करने, विशेषाधिकार प्राप्त कंटेनरों को रोकने और बाहर जाने वाले नेटवर्क यातायात पर नीतियां लागू करने की सलाह दी गई है। स्रोत कोड और पर्यावरण फाइलों में गोपनीय प्रमाण-पत्र रखने से भी बचना चाहिए।
सुरक्षा टीमों को असामान्य PowerShell गतिविधि, नई सेवाओं, स्टार्टअप में बदलाव, DNS सुरंग, दूरस्थ डेस्कटॉप सत्र, भुगतान एपीआई तक असामान्य पहुंच, प्रमाणपत्रों के संदिग्ध इस्तेमाल और अप्रत्याशित प्रॉक्सी यातायात पर नजर रखनी चाहिए। संदिग्ध प्रणालियों को अलग करते समय जांच के लिए लॉग सुरक्षित रखना भी जरूरी है।
विशेषज्ञों के मुताबिक सार्वजनिक क्षेत्र के वैध डोमेन से आने वाले यातायात को केवल इसलिए भरोसेमंद नहीं मानना चाहिए कि डोमेन स्वयं विश्वसनीय है। ऐसे हमलों में वैध वेबसाइटों का इस्तेमाल मालवेयर पहुंचाने के लिए किया जा सकता है, इसलिए डोमेन की प्रतिष्ठा के साथ फाइल, व्यवहार और नेटवर्क गतिविधि की भी जांच आवश्यक है।
