ClickFix अभियानों का नया खतरा: बाबाडेडा, लोरेम इप्सम और पोटेमकिन लोडर्स से सावधान

हाल ही में साइबर सुरक्षा शोधकर्ताओं ने ClickFix नामक सोशल इंजीनियरिंग अभियान के जरिए तीन नए मालवेयर लोडर्स — बाबाडेडा लोडर, लोरेम इप्सम लोडर और पोटेमकिन लोडर — के प्रसार की चेतावनी जारी की है। ये लोडर्स शिक्षा और वित्तीय संगठनों सहित विभिन्न क्षेत्रों को निशाना बना रहे हैं। बाबाडेडा लोडर के मामले अप्रैल 2026 में देखने को मिले हैं, जबकि अन्य लोडर्स के प्रसार के भी प्रमाण मिले हैं। इन अभियानों में उपयोगकर्ताओं को धोखे से मालवेयर इंस्टॉल कराने के लिए वैध दिखने वाले इंस्टॉलर्स और अपडेट लिंक का इस्तेमाल किया जा रहा है।

ClickFix अभियान मूल रूप से उपयोगकर्ताओं को नकली अपडेट या सॉफ्टवेयर पैकेज के रूप में मालवेयर वितरित करता है। एक बार जब उपयोगकर्ता इन लिंक्स पर क्लिक करता है, तो उसके सिस्टम में PowerShell कमांड चलने लगते हैं, जो अंततः लोडर्स को डाउनलोड और इंस्टॉल कर देते हैं। ये लोडर्स अपने आप में मालवेयर नहीं हैं, बल्कि अन्य हानिकारक सॉफ्टवेयर जैसे सूचना चोर (information stealers), रिमोट एक्सेस ट्रोजन (RATs) और रैंसमवेयर को सिस्टम में पहुंचाने का माध्यम बनते हैं। शोधकर्ताओं के अनुसार, बाबाडेडा लोडर पहले से ही क्रिप्टोक्यूरेंसी और Web3 क्षेत्रों में सक्रिय था, लेकिन अब इसका दायरा काफी बढ़ गया है।

बाबाडेडा लोडर: परिष्कृत तकनीकों से लैस खतरा

बाबाडेडा लोडर एक ऐसा मालवेयर लोडर है, जिसे शुरुआत में 2021 में देखा गया था, जब इसका इस्तेमाल क्रिप्टोक्यूरेंसी और Web3 क्षेत्रों में मालवेयर वितरण के लिए किया जा रहा था। हालांकि, अब इसका नया संस्करण और भी खतरनाक हो गया है। इस लोडर का मुख्य उद्देश्य सिस्टम में घुसपैठ करना, सुरक्षा उत्पादों का पता लगाना और मालवेयर को छिपाकर रखना है। बाबाडेडा लोडर सिस्टम की जांच करता है कि क्या वह रूस या बेलारूस में चल रहा है — यदि हां, तो यह लोडर अपने आप को बंद कर देता है, जिससे पता चलता है कि इसके पीछे संचालकों की कुछ भौगोलिक प्रतिबंधित क्षेत्रों में सक्रिय रहने की नीति है।

इस लोडर का सबसे बड़ा खतरा इसकी stealth क्षमता है। बाबाडेडा लोडर वैध दिखने वाले इंस्टॉलर पैकेज के अंदर छिपा रहता है, और एक बार सिस्टम में स्थापित हो जाने के बाद, यह svchost.exe जैसे विश्वसनीय विंडोज प्रक्रिया में अपने मालवेयर पेलोड को इंजेक्ट कर देता है। इससे पारंपरिक एंटीवायरस सॉफ्टवेयर के लिए इसे पहचानना मुश्किल हो जाता है। इसके अलावा, यह लोडर बाहरी स्टोरेज जैसे "List.Control.dat" नामक फाइलों से पेलोड को पढ़ता है, जिससे forensic जांच में भी मुश्किल होती है।

इस लोडर के माध्यम से विभिन्न प्रकार के मालवेयर वितरित किए जा रहे हैं, जिनमें .NET बैकडोर, सूचना चोर और RATs शामिल हैं। ये मालवेयर उपयोगकर्ता के संवेदनशील डेटा को चुराने और उसे कमांड-एंड-कंट्रोल (C2) सर्वर पर भेजने में सक्षम हैं। इसके अलावा, ये मालवेयर सिस्टम में और अधिक खतरनाक हमलों के लिए दरवाजे खोल सकते हैं, जैसे रैंसमवेयर हमले।

लोरेम इप्सम लोडर: सरल लेकिन प्रभावी हमला विधि

लोरेम इप्सम लोडर एक और ऐसा मालवेयर लोडर है, जिसका इस्तेमाल ClickFix अभियान के जरिए किया जा रहा है। इसका नाम "लोरेम इप्सम" इसलिए रखा गया है, क्योंकि यह अक्सर वैध दिखने वाले टेक्स्ट या दस्तावेजों के अंदर छिपा रहता है। यह लोडर अपने आप में काफी सरल है, लेकिन इसकी प्रभावशीलता इसे खतरनाक बनाती है। लोरेम इप्सम लोडर का मुख्य उद्देश्य सिस्टम में अन्य मालवेयर को पहुंचाना है, जैसे कि DanaBot और SectopRAT (जिसे ArechClient भी कहा जाता है)।

इस लोडर का इस्तेमाल करने वाले हमलावर ZIP संग्रह के रूप में मालवेयर वितरित करते हैं, जिसमें DLL side-loading तकनीक का इस्तेमाल किया जाता है। DLL side-loading एक ऐसी तकनीक है, जिसमें एक वैध DLL फाइल के जरिए मालवेयर को लोड किया जाता है, जिससे ऑपरेटिंग सिस्टम इसे वैध सॉफ्टवेयर का हिस्सा समझता है। लोरेम इप्सम लोडर के मामले में, "Storage Crypter" नामक एक स्टेज्ड लोडर घटक का इस्तेमाल किया जाता है, जो बाहरी स्टोरेज से पेलोड को पढ़ता है और उसे केवल निष्पादन से ठीक पहले डीकोड करता है।

इस तकनीक का मुख्य लाभ यह है कि इससे मालवेयर का पता लगाना और भी मुश्किल हो जाता है। पारंपरिक सुरक्षा उपकरण अक्सर बाहरी स्टोरेज से पेलोड को पढ़ने में असमर्थ होते हैं, जिससे मालवेयर लंबे समय तक छिपा रह सकता है। इसके अलावा, यह तकनीक forensic विश्लेषण को भी जटिल बना देती है, क्योंकि मालवेयर का अधिकांश हिस्सा बाहरी फाइलों में छिपा रहता है।

पोटेमकिन लोडर: छिपाव और धोखे का नया आयाम

पोटेमकिन लोडर ClickFix अभियानों में शामिल तीसरा प्रमुख मालवेयर लोडर है। इसका नाम प्रसिद्ध "पोटेमकिन गांव" से लिया गया है, जो दिखने में तो वैध और सुंदर लगता है, लेकिन असल में खाली होता है — इसी तरह पोटेमकिन लोडर भी दिखने में वैध लगता है, लेकिन इसके पीछे खतरनाक मालवेयर छिपा होता है। यह लोडर मुख्य रूप से उन उपयोगकर्ताओं को निशाना बनाता है, जो नियमित रूप से सॉफ्टवेयर अपडेट करते रहते हैं।

पोटेमकिन लोडर का इस्तेमाल करने वाले हमलावर वैध दिखने वाले अपडेट लिंक या सॉफ्टवेयर पैकेज के जरिए मालवेयर वितरित करते हैं। एक बार जब उपयोगकर्ता इन लिंक्स पर क्लिक करता है, तो लोडर सक्रिय हो जाता है और सिस्टम में अन्य मालवेयर को स्थापित कर देता है। इस लोडर की विशेषता यह है कि यह अपने आप को वैध विंडोज प्रक्रियाओं के अंदर छिपा लेता है, जिससे एंटीवायरस सॉफ्टवेयर के लिए इसे पहचानना मुश्किल हो जाता है।

पोटेमकिन लोडर का इस्तेमाल मुख्य रूप से सूचना चोर और RATs जैसे मालवेयर को वितरित करने के लिए किया जा रहा है। ये मालवेयर उपयोगकर्ता के डेटा को चुराने, कीस्ट्रोक्स लॉग करने और सिस्टम पर नियंत्रण स्थापित करने में सक्षम हैं। इसके अलावा, पोटेमकिन लोडर का इस्तेमाल अन्य प्रकार के मालवेयर, जैसे रैंसमवेयर, को सिस्टम में पहुंचाने के लिए भी किया जा सकता है।

ClickFix अभियान: सोशल इंजीनियरिंग का नया हथियार

ClickFix अभियान सोशल इंजीनियरिंग का एक उन्नत रूप है, जिसमें उपयोगकर्ताओं को धोखे से मालवेयर इंस्टॉल कराने के लिए वैध दिखने वाले लिंक्स, अपडेट और सॉफ्टवेयर पैकेज का इस्तेमाल किया जाता है। इस अभियान का मुख्य उद्देश्य उपयोगकर्ताओं को यह विश्वास दिलाना है कि वे वास्तव में एक वैध अपडेट या सॉफ्टवेयर इंस्टॉल कर रहे हैं, जबकि वास्तव में उनके सिस्टम में मालवेयर स्थापित हो रहा है।

ClickFix अभियान के जरिए बाबाडेडा, लोरेम इप्सम और पोटेमकिन लोडर्स का प्रसार किया जा रहा है। इन लोडर्स का इस्तेमाल विभिन्न प्रकार के मालवेयर को सिस्टम में पहुंचाने के लिए किया जाता है, जिनमें सूचना चोर, RATs और रैंसमवेयर शामिल हैं। इस अभियान की खासियत यह है कि यह विभिन्न तकनीकों का इस्तेमाल करता है, जैसे PowerShell कमांड, इन-मेमोरी शेलकोड, DLL side-loading और बाहरी स्टोरेज से पेलोड पढ़ना, जिससे मालवेयर का पता लगाना और भी मुश्किल हो जाता है।

ClickFix अभियान का मुख्य लक्ष्य शिक्षा और वित्तीय संगठनों सहित विभिन्न क्षेत्रों के संगठन और व्यक्ति हैं। शिक्षा क्षेत्र में, जहां उपयोगकर्ता अक्सर अपडेट और नए सॉफ्टवेयर तक पहुंचने के लिए लिंक्स पर क्लिक करते हैं, वहां इस अभियान का खतरा और भी अधिक है। इसी तरह, वित्तीय संगठनों में भी कर्मचारी नियमित रूप से अपडेट और नए टूल्स का इस्तेमाल करते हैं, जिससे वे इस अभियान के निशाने पर आ सकते हैं।

सुरक्षा उत्पादों को चकमा देने की तकनीकें

बाबाडेडा, लोरेम इप्सम और पोटेमकिन लोडर्स की सबसे बड़ी विशेषता यह है कि ये पारंपरिक सुरक्षा उत्पादों को चकमा देने में सक्षम हैं। इन लोडर्स का इस्तेमाल करने वाले हमलावर विभिन्न तकनीकों का इस्तेमाल करते हैं, जैसे वैध दिखने वाले इंस्टॉलर पैकेज, बाहरी स्टोरेज से पेलोड पढ़ना, इन-मेमोरी शेलकोड और DLL side-loading, जिससे मालवेयर का पता लगाना मुश्किल हो जाता है।

इन लोडर्स का इस्तेमाल करने वाले हमलावर सिस्टम की जांच करते हैं कि क्या कोई सुरक्षा उत्पाद सक्रिय है, और यदि हां, तो वे अपने मालवेयर को वैध प्रक्रियाओं के अंदर छिपा लेते हैं। उदाहरण के लिए, बाबाडेडा लोडर svchost.exe जैसे विश्वसनीय विंडोज प्रक्रिया में अपने पेलोड को इंजेक्ट कर देता है, जिससे एंटीवायरस सॉफ्टवेयर के लिए इसे पहचानना मुश्किल हो जाता है। इसी तरह, लोरेम इप्सम लोडर बाहरी स्टोरेज से पेलोड पढ़ता है, जिससे पारंपरिक सुरक्षा उपकरण इसे पहचान नहीं पाते।

इसके अलावा, इन लोडर्स का इस्तेमाल करने वाले हमलावर भौगोलिक प्रतिबंधों का भी ध्यान रखते हैं। बाबाडेडा लोडर केवल उन्हीं सिस्टमों को निशाना बनाता है, जो रूस या बेलारूस में स्थित नहीं हैं, जिससे पता चलता है कि इसके पीछे संचालकों की कुछ क्षेत्रीय प्रतिबंधित नीतियां हैं। इससे यह भी संकेत मिलता है कि ये हमलावर वैश्विक स्तर पर सक्रिय हैं, लेकिन कुछ क्षेत्रों में अपनी गतिविधियों को सीमित रखना चाहते हैं।

उपयोगकर्ताओं और संगठनों के लिए व्यावहारिक सुझाव

ClickFix अभियानों और बाबाडेडा, लोरेम इप्सम तथा पोटेमकिन लोडर्स के बढ़ते खतरे को देखते हुए, उपयोगकर्ताओं और संगठनों को सतर्क रहने की आवश्यकता है। सबसे पहले, उपयोगकर्ताओं को किसी भी अपडेट या सॉफ्टवेयर पैकेज को डाउनलोड करने से पहले उसकी प्रामाणिकता की जांच करनी चाहिए। केवल आधिकारिक वेबसाइटों या विश्वसनीय स्रोतों से ही सॉफ्टवेयर अपडेट डाउनलोड करें।

इसके अलावा, PowerShell और अन्य स्क्रिप्टिंग टूल्स के इस्तेमाल को सीमित करें। यदि संभव हो, तो PowerShell को प्रतिबंधित मोड में चलाएं, जिससे अनधिकृत स्क्रिप्ट्स को निष्पादित होने से रोका जा सके। संगठनों को अपने कर्मचारियों को नियमित रूप से साइबर सुरक्षा जागरूकता प्रशिक्षण देना चाहिए, ताकि वे सोशल इंजीनियरिंग हमलों के प्रति सतर्क रह सकें।

संगठनों को अपने सुरक्षा उपकरणों को अपडेट रखना चाहिए और उन्हें नियमित रूप से टेस्ट करना चाहिए। एंटीवायरस सॉफ्टवेयर, ईडीआर (एंडपॉइंट डिटेक्शन एंड रिस्पांस) और अन्य सुरक्षा उपकरणों को नवीनतम खतरों के खिलाफ अपडेट किया जाना चाहिए। इसके अलावा, संगठनों को अपने नेटवर्क ट्रैफिक की निगरानी करनी चाहिए और किसी भी संदिग्ध गतिविधि की तुरंत जांच करनी चाहिए।

भविष्य के खतरों और निगरानी योग्य संकेत

ClickFix अभियानों और इन नए मालवेयर लोडर्स के बढ़ते खतरों को देखते हुए, साइबर सुरक्षा विशेषज्ञों का मानना है कि आने वाले समय में ऐसे हमलों में और वृद्धि हो सकती है। हमलावर लगातार नए तरीके खोज रहे हैं, जिनसे वे पारंपरिक सुरक्षा उपायों को चकमा दे सकें। इसलिए, संगठनों और उपयोगकर्ताओं को भविष्य के खतरों के प्रति सतर्क रहना होगा।

साइबर सुरक्षा शोधकर्ताओं का मानना है कि आने वाले समय में मालवेयर लोडर्स और भी अधिक परिष्कृत हो सकते हैं, जिनमें मशीन लर्निंग और एआई तकनीकों का इस्तेमाल किया जा सकता है। इससे मालवेयर का पता लगाना और भी मुश्किल हो जाएगा, और हमलावर अधिक प्रभावी तरीके से सिस्टम में घुसपैठ कर सकेंगे।

इसके अलावा, संगठनों को अपने सुरक्षा उपकरणों को नियमित रूप से अपडेट और टेस्ट करते रहना चाहिए। नए खतरों के प्रति जागरूक रहना और समय-समय पर सुरक्षा ऑडिट कराना भी महत्वपूर्ण है। उपयोगकर्ताओं को भी अपने सिस्टम को अपडेट रखना चाहिए और किसी भी संदिग्ध गतिविधि की तुरंत रिपोर्ट करनी चाहिए।

निष्कर्ष

ClickFix अभियानों के जरिए बाबाडेडा, लोरेम इप्सम और पोटेमकिन लोडर्स का प्रसार एक गंभीर साइबर सुरक्षा खतरा है, जिसे नजरअंदाज नहीं किया जा सकता। ये लोडर्स पारंपरिक सुरक्षा उपायों को चकमा देने में सक्षम हैं और विभिन्न प्रकार के मालवेयर को सिस्टम में पहुंचा सकते हैं। उपयोगकर्ताओं और संगठनों को सतर्क रहने, सुरक्षा उपकरणों को अपडेट रखने और सोशल इंजीनियरिंग हमलों के प्रति जागरूक रहने की आवश्यकता है।

यदि आपने अभी तक अपने सिस्टम की सुरक्षा को लेकर कोई कदम नहीं उठाया है, तो अब समय आ गया है कि आप सक्रिय हो जाएं। नियमित रूप से अपने सिस्टम और सुरक्षा उपकरणों की जांच करें, अपडेट इंस्टॉल करें और संदिग्ध गतिविधियों पर नजर रखें। केवल सतर्कता और तैयारी के माध्यम से ही आप इन नए खतरों से अपने आप को और अपने संगठन को सुरक्षित रख सकते हैं।