2026 में उत्तर कोरियाई हैकिंग समूह की लक्षित फ़िशिंग और स्थायित्व रणनीतियों का विश्लेषण

2026 के दक्षिण कोरियाई साइबर सुरक्षा सम्मेलन में एक शोधकर्ता ने उत्तर कोरियाई हैकिंग समूह की हालिया गतिविधियों का विश्लेषण प्रस्तुत किया। इस सम्मेलन में लगभग एक हजार प्रतिभागियों ने भाग लिया, जिनमें सरकारी एजेंसियों, बैंकों, अस्पतालों और कंपनियों के सुरक्षा विशेषज्ञ शामिल थे।

उत्तर कोरियाई समूह अब केवल प्रारंभिक प्रवेश के लिए लक्षित फ़िशिंग का उपयोग नहीं करता, बल्कि प्रणाली में दीर्घकालिक पहुंच बनाए रखने पर भी ध्यान केंद्रित करता है। शोधकर्ता ने बताया कि यह समूह 2014 से सक्रिय है और मुख्य रूप से सैन्य, सरकारी और सार्वजनिक संस्थानों को लक्ष्य बनाता है। हाल के हमलों में सामान्य व्यावसायिक प्रवाह का उपयोग करके भ्रम पैदा किया जाता है, जिससे शिकार हमला पहचानने में असमर्थ रहते हैं।

हमलेदार पहले लक्षित व्यक्ति को फ़िशिंग ईमेल भेजते हैं और फिर सामान्य संवाद के माध्यम से विश्वास जीतते हैं। इसके बाद वे सामान्य दस्तावेज़ जैसे दिखने वाले बुरे प्रभाव वाले फ़ाइलें भेजते हैं। इसके अलावा, वे सुरक्षा सॉफ्टवेयर डाउनलोड साइटों के नक़ल बनाने और वीडियो कॉन्फ़्रेंसिंग सेवाओं के नक़ल पेज बनाने के माध्यम से उपयोगकर्ताओं को बुरे प्रभाव वाले स्क्रिप्ट इंस्टॉल करने के लिए प्रलोभित करते हैं। वीडियो कॉल के दौरान कैमरा त्रुटि दिखाकर उपयोगकर्ता को 'पैच स्क्रिप्ट' इंस्टॉल करने के लिए कहा जाता है, जिससे वे संक्रमण की पहचान नहीं कर पाते।

प्रारंभिक प्रवेश के बाद, हमलेदार प्रणाली में स्थायित्व सुनिश्चित करने के लिए विंडोस टास्क शेड्यूलर और ऑटोरन रजिस्ट्री की एंट्री का उपयोग करते हैं। वे क्रोम रिमोट डेस्कटॉप और एनीडेस्क जैसे वैध रिमोट कंट्रोल टूल्स का दुरुपयोग करते हैं, जिन्हें सुरक्षा उत्पाद आसानी से खतरनाक नहीं मानते। एनीडेस्क के मामले में, वे सिस्टम ट्रे से अपने संकेत छिपाते हैं। वे रिमोट डेस्कटॉप प्रोटोकॉल के लिए छिपे एडमिन अकाउंट बनाते हैं और फायरवॉल में 3389 पोर्ट खोलते हैं। प्रॉक्सी टूल्स का उपयोग करके वे बाहरी से सीधे कनेक्शन के बिना भी आंतरिक प्रणाली तक पहुंच बनाते हैं।

ब्राउज़र भी हमले का लक्ष्य बनते हैं। क्रोम एक्सटेंशन के रूप में बुरे प्रभाव वाले कोड इंस्टॉल करके ज़ीमेल की जानकारी चोरी की जाती है। इस कोड में जनरेटिव एआई का उपयोग करने के संकेत मिले हैं, जिससे हमलेदारों को कोड बनाने में तेजी मिलती है। वे गिटहब, गिटलैब और कोडबर्ग जैसे कोड होस्टिंग सेवाओं पर बुरे प्रभाव वाले स्क्रिप्ट और चोरी की गई जानकारी अपलोड करते हैं। कुछ रिपॉज़िटरी में कोरियाई भाषा में फ़ाइल नाम और रिकॉर्ड भी मिले हैं।

हमलों की सीमा दक्षिण कोरिया तक सीमित नहीं है। इस वर्ष जापान और यूक्रेन के खिलाफ भी हमले देखे गए हैं, हालांकि दक्षिण कोरिया पर हमले जारी हैं। सुरक्षा विशेषज्ञों को सिर्फ बुरे प्रभाव वाली फ़ाइलों की खोज पर निर्भर न रहकर, ईमेल के प्रेषक, लिंक और एटैचमेंट की जांच करनी चाहिए। उन्हें यह भी सुनिश्चित करना चाहिए कि प्रणाली में अनजाने में इंस्टॉल किए गए रिमोट टूल्स, ब्राउज़र एक्सटेंशन या छिपे एडमिन अकाउंट मौजूद न हों।