आपके उपयोगकर्ता सीधे PowerShell में मैलवेयर क्यों पेस्ट कर रहे हैं

एक मध्यम आकार की फर्म में एक मार्केटिंग मैनेजर के लिए मंगलवार का दिन निराशाजनक है। एक महत्वपूर्ण क्लाइंट मीटिंग के लिए ज़ूम लिंक ठीक से लोड नहीं हो पा रहा है, जिसमें गायब कोडेक के बारे में ब्राउज़र त्रुटि दिखाई दे रही है। 'Fix' बटन के साथ एक सहायक पॉप-अप दिखाई देता है। यह मैनेजर से कोड की एक लाइन कॉपी करने, PowerShell खोलने और समस्या को हल करने के लिए कमांड पेस्ट करने के लिए कहता है। कुछ ही सेकंड में, मैनेजर मीटिंग में वापस आ जाता है, इस बात से अनजान कि उसने अभी-अभी कंपनी के आंतरिक नेटवर्क में एक हमलावर को आमंत्रित किया है। यह ClickFix सोशल इंजीनियरिंग रणनीति का मूल है, और इसका नवीनतम विकास एक अभियान है जिसे माइक्रोसॉफ्ट TerminalFix कहता है।

मैंने हाल ही में अपनी लैब में इस अभियान के एक नमूने का विश्लेषण किया। मैलवेयर का तकनीकी परिष्कार उल्लेखनीय है, लेकिन मनोवैज्ञानिक हेरफेर हमले का असली इंजन है। हमलावर तकनीकी कारनामों से हटकर जिसे मैं 'मानव-सहायता प्राप्त निष्पादन' (human-assisted execution) कहता हूं, उसकी ओर बढ़ गए हैं। उन्हें अब ब्राउज़र में ज़ीरो-डे भेद्यता खोजने की आवश्यकता नहीं है जब वे किसी इंसान को अपनी मशीन पर हर सुरक्षा नियंत्रण को बायपास करने के लिए आसानी से मना सकते हैं। जोखिम के दृष्टिकोण से, यह नेटवर्क परिधि की पूरी अवधारणा को बायपास कर देता है।

नकली कैप्चा का मनोवैज्ञानिक जाल

TerminalFix अभियान एक समझौता की गई वेबसाइट या दुर्भावनापूर्ण विज्ञापन के साथ शुरू होता है। जब कोई उपयोगकर्ता पेज पर आता है, तो उन्हें एक वास्तविक दिखने वाला ओवरले दिखाई देता है जो क्लाउडफ्लेयर (Cloudflare) कैप्चा या ब्राउज़र अपडेट अधिसूचना की नकल करता है। यह एक चतुर विकल्प है क्योंकि उपयोगकर्ता इन इंटरफेस पर भरोसा करने के आदी हैं। हमें एक दशक से बताया गया है कि कैप्चा वह तरीका है जिससे हम साबित करते हैं कि हम इंसान हैं और सुरक्षित हैं। हमलावर एक सुरक्षा अनुष्ठान को संक्रमण वेक्टर में बदलकर इस विश्वास को नष्ट कर देता है।

TerminalFix वेरिएंट में, उपयोगकर्ता को अपनी पहचान 'सत्यापित' करने या रेंडरिंग त्रुटि को ठीक करने के लिए मैन्युअल चरणों की एक श्रृंखला करने का निर्देश दिया जाता है। निर्देश उपयोगकर्ता को एक विशिष्ट कुंजी संयोजन दबाने के लिए कहते हैं, जैसे Windows key + R, या सीधे Windows Terminal खोलने के लिए। जब उपयोगकर्ता इन चरणों का पालन करता है, तो वेबसाइट चुपचाप सिस्टम क्लिपबोर्ड पर एक दुर्भावनापूर्ण कमांड कॉपी कर देती है। जब उपयोगकर्ता वह पेस्ट करता है जिसे वह सत्यापन कुंजी समझता है, तो वह वास्तव में एक PowerShell वन-लाइनर पेस्ट कर रहा होता है जो बहु-चरणीय संक्रमण शुरू करता है।

खतरे के परिदृश्य को देखते हुए, यह विधि उल्लेखनीय रूप से प्रभावी है क्योंकि यह कई पारंपरिक ईमेल गेटवे फिल्टर से बचती है। स्कैन करने के लिए कोई दुर्भावनापूर्ण अटैचमेंट नहीं है और इनबॉक्स में कोई संदिग्ध लिंक नहीं है। बातचीत पूरी तरह से ब्राउज़र और उपयोगकर्ता के स्थानीय वातावरण के भीतर होती है। डिज़ाइन के अनुसार, कमांड अक्सर अस्पष्ट होता है या अगले चरण को डाउनलोड करने के लिए 'powershell.exe' या 'msiexec.exe' जैसे वैध सिस्टम टूल का उपयोग करता है, जिससे बुनियादी एंटीवायरस सॉफ़्टवेयर के लिए प्रारंभिक निष्पादन को फ्लैग करना मुश्किल हो जाता है।

विंडोज रन से टर्मिनल की ओर बढ़ना

पहले के ClickFix अभियान अक्सर छोटे कमांड निष्पादित करने के लिए विंडोज रन (Windows Run) डायलॉग पर निर्भर थे। हालांकि सरल डाउनलोडर स्टब्स के लिए प्रभावी है, रन डायलॉग में एक वर्ण सीमा होती है जो प्रारंभिक स्क्रिप्ट की जटिलता को प्रतिबंधित करती है। TerminalFix इसके बजाय विंडोज टर्मिनल या PowerShell को लक्षित करता है। यह बदलाव केवल कॉस्मेटिक पसंद नहीं है। एक टर्मिनल विंडो काफी लंबी, बहु-पंक्ति स्क्रिप्ट स्वीकार कर सकती है जिसमें पर्यावरण जांच और एंटी-एनालिसिस रूटीन के लिए अंतर्निहित तर्क शामिल होते हैं।

माइक्रोसॉफ्ट के शोधकर्ताओं का तर्क है कि उपयोगकर्ताओं को PowerShell में निर्देशित करने से जटिल स्क्रिप्ट के सफलतापूर्वक निष्पादित होने की संभावना बढ़ जाती है। आधुनिक विंडोज संस्करण अक्सर डिफ़ॉल्ट रूप से PowerShell सत्र में टर्मिनल खोलते हैं, जो हमलावर को बॉक्स से बाहर एक शक्तिशाली स्क्रिप्टिंग वातावरण प्रदान करता है। यह जटिलता हमलावर को किसी भी माध्यमिक पेलोड के डिस्क तक पहुंचने से पहले प्रारंभिक टोह लेने की अनुमति देती है। स्क्रिप्ट यह जांच सकती है कि मशीन किसी डोमेन से जुड़ी है या नहीं, विशिष्ट सुरक्षा सॉफ़्टवेयर की तलाश कर सकती है, या यह निर्धारित कर सकती है कि यह मैलवेयर शोधकर्ताओं द्वारा उपयोग की जाने वाली वर्चुअल मशीन के अंदर चल रही है या नहीं।

पर्दे के पीछे, प्रारंभिक PowerShell कमांड एक ZIP आर्काइव डाउनलोड करता है। इस आर्काइव के अंदर एक वैध निष्पादन योग्य (executable) और एक दुर्भावनापूर्ण DLL है। हमलावर DLL साइडलोडिंग नामक तकनीक का उपयोग करता है। जब वैध प्रोग्राम चलता है, तो वह विशिष्ट लाइब्रेरी फ़ाइलों की तलाश करता है जिनकी उसे कार्य करने के लिए आवश्यकता होती है। हमलावर उसी फ़ोल्डर में उसी नाम के साथ एक दुर्भावनापूर्ण फ़ाइल रखता है। सिस्टम असली लाइब्रेरी के बजाय दुर्भावनापूर्ण कोड लोड करता है। यह एक विश्वसनीय एप्लिकेशन के प्रोसेस नाम के तहत दुर्भावनापूर्ण गतिविधि को छिपाने का एक गुप्त तरीका है।

स्टेग्नोग्राफी और रिवर्स टनल इम्प्लांट

हमले की श्रृंखला साधारण फ़ाइल निष्पादन पर नहीं रुकती है। TerminalFix अपनी माध्यमिक पेलोड को प्रतीत होने वाली हानिरहित PNG इमेज फ़ाइलों के अंदर छिपाने के लिए स्टेग्नोग्राफी (steganography) का उपयोग करता है। यह नेटवर्क-आधारित ट्रैफ़िक निरीक्षण के खिलाफ एक प्रतिक्रियात्मक उपाय है। एक फ़ायरवॉल एक निष्पादन योग्य फ़ाइल के सीधे डाउनलोड को ब्लॉक कर सकता है, लेकिन इसके एक वैध दिखने वाले डोमेन से इमेज डाउनलोड की एक श्रृंखला को फ्लैग करने की संभावना कम है। दुर्भावनापूर्ण DLL इन छवियों से छिपे हुए कोड को निकालता है और मेमोरी में अंतिम पेलोड को असेंबल करता है।

इस अभियान के सबसे खतरनाक घटकों में से एक पायथन-आधारित रिवर्स-टनल C2 इम्प्लांट है। यह इम्प्लांट एन्क्रिप्टेड वेबसॉकेट (WebSocket) चैनल का उपयोग करके हमलावर के बुनियादी ढांचे के लिए एक स्थायी कनेक्शन स्थापित करता है। यह इस चैनल के माध्यम से मनमाने TCP ट्रैफ़िक को वापस टनल करता है। सक्रिय रूप से कहें तो, यह घटना प्रतिक्रियाकर्ताओं (incident responders) के लिए एक दुःस्वप्न है। यह प्रभावी रूप से हमलावर को आंतरिक नेटवर्क के अंदर रख देता है जैसे कि वे कार्यालय में ईथरनेट पोर्ट में भौतिक रूप से प्लग किए गए हों।

इस रिवर्स टनल से जुड़े उल्लंघन की स्थिति में, हमलावर के पास संगठन के डोमेन कंट्रोलर, फ़ाइल शेयर और आंतरिक अनुप्रयोगों में सीधी पहुंच होती है। वे कई बाहरी सुरक्षा नियंत्रणों को बायपास कर सकते हैं क्योंकि उनका ट्रैफ़िक एक विश्वसनीय आंतरिक होस्ट से उत्पन्न होता है। माइक्रोसॉफ्ट के शोधकर्ताओं ने हमलावरों को विशेषाधिकारों को बढ़ाने और संवेदनशील डेटा निकालने के लिए इस पहुंच का उपयोग करते हुए देखा है। कुछ मामलों में, यह पहुंच सीधे पूरे उद्यम में रैनसमवेयर की तैनाती की ओर ले जाती है।

TerminalFix नामकरण की नवीनता पर बहस

सुरक्षा समुदाय में इस बारे में एक स्वस्थ बहस चल रही है कि क्या TerminalFix वास्तव में एक अलग खतरा है। प्रूफपॉइंट (Proofpoint) के टॉमी मडजर सहित कुछ शोधकर्ताओं का तर्क है कि टर्मिनल विंडो का उपयोग कोई नया विकास नहीं है। वे बताते हैं कि 2024 की शुरुआत से शुरुआती ClickFix गतिविधि ने पेलोड निष्पादित करने के लिए पहले से ही टर्मिनल विंडो का उपयोग किया था। इस दृष्टिकोण से, TerminalFix ClearFake या ErrTraffic जैसे स्थापित समूहों का सिर्फ एक और पुनरावृत्ति है।

मैं सिग्नल (Signal) के माध्यम से कई खतरे वाली खुफिया विश्लेषकों के साथ संवाद करता हूं जो इस संदेह को साझा करते हैं। वे इन अभियानों को अलग, ब्रांडेड खतरों के बजाय सोशल इंजीनियरिंग प्रलोभनों के निरंतर विकास के रूप में देखते हैं। चाहे हम इसे TerminalFix कहें या ClearFake का एक प्रकार, तकनीकी वास्तविकता रहती है। हमलावर उपयोगकर्ता व्यवहार में हेरफेर करने के पक्ष में स्वचालित कारनामों से सफलतापूर्वक दूर जा रहे हैं। यह बदलाव हमें यह पुनर्विचार करने की आवश्यकता है कि हम एंडपॉइंट की रक्षा कैसे करते हैं।

आर्किटेक्चरल स्तर पर, समस्या यह है कि हमने ऐसे सिस्टम बनाए हैं जो कमांड लाइन के माध्यम से एक मानक उपयोगकर्ता को भारी मात्रा में शक्ति प्रदान करते हैं। जबकि डेवलपर्स और सिस्टम प्रशासकों को इन उपकरणों की आवश्यकता होती है, एक सामान्य कार्यालय कर्मचारी को शायद ही कभी PowerShell को छूने की आवश्यकता होती है। TerminalFix अभियान क्षमताओं के इस अत्यधिक प्रावधान का फायदा उठाता है। यदि उपयोगकर्ता के पास एक स्क्रिप्ट चलाने की शक्ति है जो एक स्थायी नेटवर्क टनल बनाती है, तो पूरे संगठन की सुरक्षा उस एकल उपयोगकर्ता के धोखा न खाने पर निर्भर करती है।

व्यावहारिक रक्षा और मानव फ़ायरवॉल

TerminalFix के खिलाफ बचाव के लिए तकनीकी प्रतिबंधों और उपयोगकर्ता शिक्षा के संयोजन की आवश्यकता होती है। पैचिंग के अलावा, सबसे प्रभावी तकनीकी उपाय उन उपयोगकर्ताओं के लिए PowerShell और Windows Run डायलॉग का प्रतिबंध है जिन्हें उनकी आवश्यकता नहीं है। संगठन इन उपकरणों के लिए 'डिफ़ॉल्ट रूप से अस्वीकार' (deny by default) स्थिति बनाने के लिए ग्रुप पॉलिसी या ऐपलॉकर (AppLocker) का उपयोग कर सकते हैं। यदि मेरे पिछले उदाहरण के मार्केटिंग मैनेजर ने PowerShell खोलने की कोशिश की होती और उसे 'यह क्रिया आपके व्यवस्थापक द्वारा प्रतिबंधित है' संदेश प्राप्त होता, तो हमला तुरंत विफल हो जाता।

हालांकि, व्यापक प्रतिबंध हमेशा व्यवहार्य नहीं होते हैं। कई आधुनिक सॉफ़्टवेयर टूल इंस्टॉलेशन और अपडेट के लिए टर्मिनल निष्पादन पर निर्भर करते हैं। जैसा कि टॉमी मडजर ने उल्लेख किया है, क्लॉड कोड (Claude Code) जैसे वैध डेवलपर टूल भी इंस्टॉलेशन विधियों का सुझाव देते हैं जिनमें टर्मिनल में कमांड पेस्ट करना शामिल है। यह उपयोगकर्ताओं के लिए एक भ्रमित करने वाला वातावरण बनाता है। उन्हें बताया जाता है कि कभी भी वेबसाइट से कमांड पेस्ट न करें, लेकिन फिर उनके आधिकारिक कॉर्पोरेट टूल उनसे ठीक वही करने के लिए कहते हैं। यही कारण है कि शिक्षा मानव फ़ायरवॉल का मिशन-महत्वपूर्ण घटक है।

प्रशिक्षण को साधारण 'क्लिक न करें' सलाह से आगे जाना चाहिए। उपयोगकर्ताओं को एक विश्वसनीय स्रोत की अवधारणा और क्लिपबोर्ड के विशिष्ट खतरे को समझने की आवश्यकता है। मेरा सुझाव है कि संगठन फ़िशिंग सिमुलेशन आयोजित करें जो विशेष रूप से ClickFix तकनीक की नकल करते हैं। यह देखना कि कितनी आसानी से एक नकली कैप्चा टर्मिनल प्रॉम्प्ट की ओर ले जा सकता है, अधिकांश कर्मचारियों के लिए आंखें खोलने वाला अनुभव है। जब उपयोगकर्ता हमले के पीछे के 'कैसे' को समझते हैं, तो उनके वास्तविक चीज़ का सामना करने पर लचीला होने की अधिक संभावना होती है।

फोरेंसिक दृष्टिकोण से, सुरक्षा टीमों को असामान्य पैरेंट-चाइल्ड प्रोसेस संबंधों की निगरानी करनी चाहिए। क्रोम या एज जैसे वेब ब्राउज़र के लिए PowerShell सत्र के लिए पैरेंट प्रोसेस होना दुर्लभ है जो फिर नेटवर्क-सक्रिय पायथन दुभाषिया (interpreter) उत्पन्न करता है। ये सिग्नल TerminalFix घुसपैठ के बारीक संकेतक हैं। सामान्य टर्मिनल उपयोग का आधारभूत स्तर स्थापित करना SOC को हमलावर द्वारा नेटवर्क के माध्यम से पार्श्व रूप से आगे बढ़ने से पहले इन विसंगतियों की पहचान करने की अनुमति देता है।

उद्यम सुरक्षा के लिए मुख्य निष्कर्ष

• संगठन भर में PowerShell और Windows Terminal के उपयोग का ऑडिट करें और GPO या AppLocker के माध्यम से मानक उपयोगकर्ताओं के लिए पहुंच प्रतिबंधित करें।
• DLL साइडलोडिंग संकेतकों की निगरानी करें, विशेष रूप से असामान्य निर्देशिकाओं से चलने वाले वैध निष्पादन योग्य या अहस्ताक्षरित DLL लोड करने वाले।
• अज्ञात बाहरी आईपी के लिए लगातार, उच्च-मात्रा वाले वेबसॉकेट (WebSocket) ट्रैफ़िक का पता लगाने के लिए नेटवर्क निगरानी लागू करें, जो रिवर्स टनल का संकेत दे सकता है।
• 'ClickFix' शैली के प्रलोभनों और क्लिपबोर्ड से टर्मिनल विंडो में कमांड पेस्ट करने के खतरों को शामिल करने के लिए सुरक्षा जागरूकता प्रशिक्षण अपडेट करें।
• एप्लिकेशन नियंत्रण समाधानों के उपयोग का मूल्यांकन करें जो अनधिकृत स्क्रिप्ट को निष्पादित होने से रोक सकते हैं भले ही वे एक वैध शेल में पेस्ट किए गए हों।

स्रोत: Microsoft Threat Intelligence, MITRE ATT&CK (Techniques T1547.001, T1574.002, T1027.003), Proofpoint Threat Research.

यह लेख केवल सूचनात्मक और शैक्षिक उद्देश्यों के लिए है और पेशेवर साइबर सुरक्षा ऑडिट या घटना प्रतिक्रिया सेवा की जगह नहीं लेता है।