KONNI হল একটি রিমোট অ্যাক্সেস ট্রোজান (RAT) যা উত্তর কোরিয়ান গুপ্তচর সংস্থাগুলোর সাথে ঘনিষ্ঠভাবে জড়িত। ২০১৭ সালে উত্তর কোরিয়ার সফল আন্তঃমহাদেশীয় ব্যালিস্টিক মিসাইল পরীক্ষার পরে, 북한র অর্জিত ক্ষমতা রেফারেন্স করে স্পিয়ার ফিশিং ক্যাম্পেইনের আকস্মিক বৃদ্ধি পর্যবেক্ষণ করা হয়েছিল। ২০১৪ সালে অনুরূপ KONNI ক্যাম্পেইন ঘটেছিল এবং সেগুলোই এই നিষ্কর্ষে পৌঁছেছিল যে KONNI হল একটি গুপ্তচর হথিয়ার যা 북한র বিষয়ে, বিশেষ করে এর নিউক্লিয়ার ও ব্যালিস্টিক মিসাইল প্রোগ্রামে আগ্রহী যেকোনো লোকের জন্য তৈরি। যদিও ম্যালওয়্যারটির লক্ষ্য স্পষ্ট নয়, তবে বলা যায় এটি মূলত সংক্রমিত শিকারদের কম্পিউটার প্রোফাইলিং করে যাতে আরও 지속적인 আক্রমণের লক্ষ্য চিহ্নিত করা যায়। KONNI-এর অধিকাংশ লক্ষ্য এশিয়া-প্রশান্ত অঞ্চলে অবস্থিত।
KONNI ট্রোজান কী করে?
KONNI ম্যালওয়্যার প্রধানত একটি দূষিত ওয়ার্ড ডকুমেন্টের মাধ্যমে কম্পিউটারকে সংক্রমিত করে যা অধিকাংশ শিকারদের কাছে ইমেইল আট্যাচমেন্ট হিসেবে পৌঁছায়।
শিকাররা ফাইলটি ডাউনলোড করাকালীন পটভূমিতে ম্যালওয়্যারটি লোড হয় এবং এর পেলোড এক্সিকিউট হয়। তারপর KONNI তার মূল লক্ষ্য—রিকনেসাঁস (গভীর পর্যবেক্ষণ) এবং তথ্য সংগ্রহ—শুরু করে। এটি একটি সংস্থার কম্পিউটার নেটওয়ার্ক প্রোফাইল করে, স্ক্রিনশট ক্যাপচার করে, পাসওয়ার্ড, ওয়েব ব্রাউজিং ইতিহাস চুরি করে, এবং সাধারণত যেকোনো পাওয়া তথ্য সংগ্রহ করে। সংগ্রহিত তথ্য একটি কমান্ড এবং কন্ট্রোল সেন্টারে পাঠানো হয়।
ম্যালওয়্যারটি এটি করতে পারে বর্তমান ইউজারের লোকাল সেটিংস ফোল্ডারের অধীনে MFAData\\event পাথ সহ একটি উইন্ডোজ ডিরেক্টরি তৈরি করে। এটি দুটি ম্যালিশিয়াস DLL ফাইল এক্সট্রাক্ট করে—৬৪-বিট OS-এর জন্য একটি এবং ৩২-বিট OS-এর জন্য অন্যটি। এরপর এটি নিচের রেজিস্ট্রি পাথে RTHDVCP বা RTHDVCPE নামে একটি কী ভ্যালু তৈরি করে: HKCU\\Software\\Microsoft\\Windows\\CurrentVersion\\Run।
সফল লগইনের পর এই রেজিস্ট্রি পাথ একটি প্রসেস অটোস্টার্ট করতে ব্যবহৃত হয়, যা অটো-পার্সিস্টেন্স নিশ্চিত করে। এইভাবে তৈরি DLL ফাইলগুলোর বেশ কিছু মূল ক্ষমতা রয়েছে: কিলগিং, হোস্ট এনুমেরেশন, গুপ্তচর তথ্য সংগ্রহ, ডেটা এক্সফিলট্রেশন, এবং হোস্ট প্রোফাইলিং।
সংগ্রহিত তথ্য ব্যবহার করে শিকারদের প্রোফাইলে উপযুক্ত আক্রমণ গড়ে তোলা হয়। যদি KONNI দক্ষিণ কোরিয়ান সেনাবাহিনীর কম্পিউটার বা কোনো আর্থিক সংস্থাকে সংক্রমিত করতে পারে, তবে এর পিছনে থাকা লোকরা জাসুসি বা র্যানসমওয়্যার আক্রমণ সহ নির্দিষ্ট আক্রমণ কাস্টমাইজ করতে পারেন।
KONNI ট্রোজান কীভাবে সরাবেন
মান লیں আপনার কম্পিউটার সংক্রমিত হয়েছে, তবে আপনি কি জানেন KONNI ট্রোজান নিয়ে কী করতে হবে?
KONNI ট্রোজান সরানোর সবচেয়ে সহজ উপায় হল একটি വിശ্বস্ত অ্যান্টি-ম্যালওয়্যার সমাধান যেমন Outbyte Antivirus ব্যবহার করা। অ্যান্টি-ম্যালওয়্যার ব্যবহার করতে হলে আপনার PC-কে সেফ মোডে চালাতে হবে, কারণ পূর্বে উল্লেখ করা মতে, KONNI কিছু অটো-পার্সিস্টেন্স কৌশল ব্যবহার করে, যার মধ্যে অটোস্টার্ট আইটেম ম্যানিপুলেট করে নিজেকে সেটি অন্তর্ভুক্ত করা থাকে।
উইন্ডোজ ১০/১১ এবং ৭ ব্যবহারকারীদের জন্য, নেটওয়ার্কিংসহ সেফ মোডে যাওয়ার ধাপগুলো নিচে দেওয়া হলো:
- Windows + R কী চাপে Run ইউটিলিটি খুলুন।
- msconfig টাইপ করে কমান্ডটি রান করুন।
- Boot ট্যাবে যান এবং Safe boot এবং Network অপশনগুলো নির্বাচন করুন।
- আপনার ডিভাইস রিস্টার্ট করুন।
ডিভাইস রিস্টার্ট হলে, অ্যান্টি-ম্যালওয়্যার চালু করুন এবং এটিকে ভাইরাস মুছে ফেলার জন্য পর্যাপ্ত সময় দিন।
আপনার যদি অ্যান্টি-ম্যালওয়্যার না থাকে, তবে ম্যানুয়ালি ভাইরাসের আশ্রয়স্থল ফাইল ও ফোল্ডার খুঁজে বের করার বিকল্প থাকে। এর জন্য Ctrl, Alt এবং Delete কী চেপে Task Manager খুলুন। Task Manager অ্যাপে Startup ট্যাবে যান এবং কোনো সন্দেহজনক স্টার্টআপ আইটেম খুঁজুন। সেগুলোর ওপর রাইট-ক্লিক করে Open file location নির্বাচন করুন। এখন ফাইল লোকেশনে যান এবং ফাইল ও ফোল্ডারগুলো রিসাইকেল বিনে সরিয়ে দিন। আপনাকে MFAData\\event ফোল্ডারটি খুঁজে বের করতে হবে।
আপনাকে আর একটি কাজ করতে হবে—ভাঙা রেজিস্ট্রি এন্ট্রি মেরামত করা এবং KONNI ম্যালওয়্যারের সাথে জড়িত এন্ট্রিগুলো মুছে ফেলা। এটি করার সবচেয়ে সহজ উপায় হল একটি PC ক্লিনার ডিপ্লয় করা, কারণ PC রিপেয়ার টুলের মূল লক্ষ্যগুলোর মধ্যে একটি হল ভাঙা রেজিস্ট্রি এন্ট্রি মেরামত করা।
PC রিপেয়ার টুল অন্য একটি কাজ করবে—যেকোনো জাঙ্ক ফাইল, কুকিজ, ব্রাউজিং ইতিহাস, ডাউনলোড এবং কোন্নি র্যানসমওয়্যার: শিল্প संস্থা ও কৌশলগত প্রতিরক্ষা
Lockergoga হল একটি ভয়াবহ র্যানসমওয়্যার যা শিল্প প্রতিষ্ঠানগুলকে পক্ষাঘাত করতে পারে। এর প্রাথমিক লক্ষ্যগুলোর মধ্যে ছিল নরওয়ের অ্যালুমিনিয়াম নির্মাতা Norsk Hydro। এর আক্রমণে কোম্পানিকে তার অনেক অপারেশন ম্যানুয়ালে পরিবর্তন করতে বাধ্য হয়েছিল। ম্যালওয়্যার এন্টিটির অন্যান্য শিকাররা হল ফ্রেনচ ইঞ্জিনিয়ারিং কনসাল্টিং ফার্ম Altran এবং নিম্নলিখিত প্রোডাকশন কোম্পানিগুলো—Hexion এবং Momentive। সাইবার নিরাপত্তা গবেষকরা মন্তব্য করেছেন যে Lockergoga র্যানসমওয়্যার অত্যন্ত বिघ্নকর এবং এর উদ্দেশ্য অপরাধীদের জন্য টাকা আয় করার চেয়ে আহত-ব করতে হয়। অর্থাৎ এর মূল লক্ষ্য হতে পারে শিল্প প্রতিষ্ঠানগুলোর সাবোটেজ (তোড়ফোড়)। আক্রমণের সময়, Lockergoga অন্যান্য ম্যালওয়্যার এন্টিটিগুলোর মত কোনো অবফাসকেশন বা ইভেজন ট্যাক্টিক ব্যবহার করে না। একমাত্র এনকোড করা থাকে আক্রমণের চূড়ান্ত ধাপে ব্যবহৃত RSA কী। এটাই ইঙ্গিত দেয় যে ম্যালওয়্যারটির পেছনে থাকা সাইবার অপরাধীদের লক্ষ্য প্রতিষ্ঠানগুলোর নিরাপত্তা ব্যবস্থা সম্পর্কে ইনসাইডার জ্ঞান থাকতে পারে। ইহা থেকে সাইবার অপরাধীদের আত্মবিশ্বাস পাওয়া যায় যাতে তারা এমন একটি ম্যালওয়্যার ডিপ্লয় করতে পারে যাতে স্টেলথ (গোপনতা) এর ওপর কম ফোকাস থাকে। Lockergoga যাইহোক, বিশ্বস্ত নিরাপত্তা কোম্পানিগুলোর ডিজিটালি সাইনকৃত কোডের ওপর নির্ভর করে যা সিস্টেমকে ভুলে ম্যালওয়্যারকে তার ম্যালিশিয়াস কোড রান করার অনুমতি দেয়। যা ডিজিটাল সার্টিফিকেটগুলো ابتدا এটাকে অনুমতি দিয়েছিল, সেগুলো পরবর্তীতে রিভোক করা হয়েছে। ম্যালওয়্যার এন্টিটি স্যান্ডবক্স এবং ভার্চুয়াল মেশিন থেকে বাঁচতে দীর্ঘ সময় নिष्क্রিয় থাকার মাধ্যমে পারে। Lockergoga-এর কিছু ভার্সন মেশিন লার্নিং-ভিত্তিক ডিটেকশন সিস্টেম থেকেও বাঁচতে পারে, একটি কৌশল যা অন্যান্য র্যানসমওয়্যার স্ট্রেনও ব্যবহার করে। একবার সফলভাবে ডিভাইসে ঘুসপড় করলে, Lockergoga ম্যালওয়্যার বিভিন্ন একাউন্ট হোল্ডারদের পাসওয়ার্ড ও লগইন ডিটেইলস পরিবর্তন করে। এটি সিস্টেমে ইতিমধ্যে লগইন করা ব্যবহারকারীদের লগ আউট করার চেষ্টা ও করে। এরপর, ম্যালওয়্যার নিজেকে temp ফোল্ডারে রিলোকেট করে এবং কমান্ড লাইন ব্যবহার করে নিজের নাম পরিবর্তন করে। Lockergoga তারপর পুরো নেটওয়ার্কে বা কম্পিউটার নেটওয়ার্কের যে অংশটিকে সংক্রমিত করতে পেরেছে সেখানে সংরক্ষিত ফাইলগুলোর এনক্রিপশন শুরু করে, কিন্তু এটি নিজের ফাইল ও ফোল্ডারকে সংক্রমণ থেকে রক্ষা করার কোডও রাখে। প্রতিবার ম্যালওয়্যার কোনো ফাইল সংক্রমিত করলে, এটি নিচের রেজিস্ট্রি কী পরিবর্তন করে: শেষে, র্যানসমওয়্যার একটি Lockergoga অন্যান্য র্যানসমওয়্যার স্ট্রেন থেকে আলাদা কারণ এটি চূড়ান্ত র্যানসমের পরিমাণ উল্লেখ করে না। নোটে শুধু লেখা থাকে যে যারা দ্রুত যোগাযোগ করবেন তারা আরও অনুকূল শর্ত পাবেন। Lockergoga র্যানসমওয়্যার শিল্প সিস্টেম এবং সাধারণভাবে প্রোডাকশন কোম্পানিগুলোর বিরুদ্ধে একটি অত্যন্ত গুরুতর হুমকি। সেজন্য Lockergoga ম্যালওয়্যারের সাথে জড়িত সকল প্রসেস যত দ্রুত সম্ভব पता चलলে তত দ্রুত বন্ধ করা গুরুত্বপূর্ণ। এর প্রসংসার ক্ষমতার সত্ত্বেও, Lockergoga ম্যালওয়্যার অ্যান্টি-ম্যালওয়্যার সফটওয়্যারের সম্মুখে জয়পরাজয় মানে। এর আংশিক কারণ হল সাইবার নিরাপত্তা গবেষকদের ভাইরাসটি এবং এর মোডাস অপেরান্ডি (আক্রমণের পদ্ধতি) অধ্যয়ন করার জন্য পর্যাপ্ত সময় ছিল, যা এটিকে রিমুভ করার জন্য একটি সহজ লক্ষ্য করে দিয়েছে। আপনি কোথাও পড়ে থাকতে পারেন যে র্যানসম নোট কম্পিউটার বন্ধ না করার সতর্কতা দেয়। হয়তো, আপনাকে এই পরামর্শ মানা উচিত নয়, কারণ কোনো পয়েন্টে আপনাকে আপনার কম্পিউটারকে নেটওয়ার্কিংসহ সেফ মোডে চালাতে হবে, কারণ এটি ম্যালওয়্যার হুমকি সম্মুখীন করার সবচেয়ে কার্যকর উপায়। এছাড়া, আপনাকে আপনার ডিভাইসকে যেকোনো টেম্প ফাইল, ডাউনলোড, ব্রাউজিং ইতিহাস, এবং অন্যান্য সব ধরণের অলাঝল থেকে মুক্ত করতে হবে, কারণ ম্যালওয়্যার এন্টিটিগুলো—Lockergoga সহ (যা টেম্প ফোল্ডারে বাস করে)—এই জায়গাগুলোতে লুকিয়ে থাকে। একটি PC রিপেয়ার টুল এটি আপনার জন্য সহজ করে দেবে। এই Lockergoga রিমুভাল গাইডের অংশ হিসেবে, আমরা একটি টিপ দেবো কিভাবে অনেক সংস্থা Lockergoga ম্যালওয়্যারের আক্রমণ থেকে বাঁচতে পেরেছে। তারা সহজে তাদের সিস্টেম আপডেট করেছে এবং মাইক্রোসফট দ্বারা প্রদত্ত নিরাপত্তা প্যাচের সুবিধা নিয়েছে। অতএব, আপনি যদি র্যানসমওয়্যারকে দূরে রাখতে চান, তবে আপনিও একই কাজ করুন।Lockergoga র্যানসমওয়্যার কী করতে পারে?
Lockergoga ম্যালওয়্যার
HKEY_CURRENT_USER\SOFTWARE\Microsoft\RestartManager\Session00{01-20}।README_LOCKED.txt ফাইল ছেড়ে যায় যাতে র্যানসমের শর্তাবলী থাকে। র্যানсам নোটটি শিকারদের কম্পিউটার বন্ধ না করার, এনক্রিপ্টেড ফাইল রিনেম না করার, বা এনক্রিপ্টেড ফাইল সরানোর জন্য সতর্ক করে, কারণ নোট অনুযায়ী, এসব کار ডকুমেন্ট রিকভারি অসম্ভব করতে পারে।Lockergoga র্যানসমওয়্যার কীভাবে সরাবেন
