उत्तर कोरिया के कोन्नी समूह ने दक्षिण कोरिया में फोन रीसेट करने और मैलवेयर फैलाने के लिए गूगल फाइंड हब और काकाओटॉक का दुरुपयोग किया

उत्तर कोरियाई ऑपरेटरों ने दक्षिण कोरियाई लोगों के खिलाफ भरोसेमंद ऐप्स का इस्तेमाल कैसे किया

दक्षिण कोरिया के फॉरेंसिक जांचकर्ताओं के अनुसार, उत्तर कोरियाई राज्य-समर्थित साइबर ऑपरेटरों ने एक समन्वित अभियान चलाया, जिसमें रोजमर्रा के टूल को हमले के माध्यम में बदल दिया गया। प्योंगयांग से जुड़े ऑपरेटरों के कोन्नी समूह से संबद्ध इस समूह ने गूगल अकाउंट के क्रेडेंशियल चुराए, गूगल की फाइंड हब सेवा के जरिए एंड्रॉइड फोन और टैबलेट का दूर से नियंत्रण हासिल किया, फिर काकाओटॉक अकाउंट हाइजैक करके वास्तविक संपर्क नेटवर्क में मैलवेयर फैलाया। शोधकर्ताओं के मुताबिक, यह पहला पुष्ट मामला है जिसमें उत्तर कोरिया से जुड़ी किसी कार्रवाई में गूगल अकाउंट से छेड़छाड़ कर, डिवाइस के अंतर्निहित प्रबंधन कार्यों के जरिए स्मार्ट उपकरणों को दूर से नियंत्रित किया गया।

जीनियंस सिक्योरिटी सेंटर के सुरक्षा विश्लेषकों का कहना है कि हमलावरों ने पहले कर अधिकारियों का रूप धरकर मैलवेयर पहुंचाया। कुछ समय तक चुपचाप निगरानी करने के बाद घुसपैठियों ने चुराए गए गूगल अकाउंट में लॉग इन किया। फाइंड हब के जरिए उन्होंने फोन की लोकेशन ट्रैक की और दूर से फैक्टरी रीसेट करने के आदेश दिए। ये रीसेट व्यक्तिगत डेटा मिटा देते थे और कुछ समय के लिए अलर्ट भी रोक देते थे, जिससे हमले का अगला चरण सफल हो सका।

लक्ष्य फोन कॉल और सूचनाएं प्राप्त नहीं कर पा रहे थे, इसलिए अभियान का अगला चरण काकाओटॉक के डेस्कटॉप क्लाइंट पर केंद्रित हुआ, जिसमें उनका अकाउंट लॉग इन था। पीड़ितों के नाम और भरोसेमंद चैट इतिहास का इस्तेमाल करते हुए हमलावरों ने संपर्क सूची में तनाव कम करने वाले कार्यक्रमों के रूप में छिपाई गई दुर्भावनापूर्ण फाइलें भेजीं। इस तरीके से मैलवेयर सामाजिक भरोसे का फायदा उठाकर फैला। इसकी भनक भी देर से लगी, क्योंकि कई पीड़ित अपने फोन से लॉक आउट थे या उन्हें रिकवर करने में व्यस्त थे।

गूगल ने कहा है कि इस गतिविधि में वैध अकाउंट एक्सेस और वैध सुविधाओं का दुरुपयोग किया गया, न कि एंड्रॉइड या फाइंड हब की किसी खामी का। कंपनी ने उपयोगकर्ताओं से टू-स्टेप वेरिफिकेशन या पासकी चालू करने और अधिक जोखिम वाले लोगों को एडवांस्ड प्रोटेक्शन में नामांकन कराने की अपील की है।

हमलों में क्या हुआ

यह अभियान कई चरणों में चला, जिनमें ईमेल के जरिए जाल, अकाउंट चोरी, क्लाउड-आधारित डिवाइस नियंत्रण और मैसेंजर का दुरुपयोग शामिल था। यह उस तरीके का उदाहरण है जिसमें हमलावर सिस्टम में पहले से मौजूद सेवाओं और भरोसेमंद ऐप्स को अपने औजार बना लेते हैं। जांचकर्ताओं ने 5 सितंबर और 15 सितंबर की घटनाओं समेत दो मामलों का ब्योरा दिया है। इनसे पता चलता है कि एक अकाउंट से छेड़छाड़ होने के बाद निजी और पेशेवर संपर्कों में मैलवेयर कितनी तेजी से फैल सकता है।

चरण 1: लक्षित फिशिंग और शुरुआती सेंध

घुसपैठ की शुरुआत दक्षिण कोरिया की राष्ट्रीय कर सेवा के नाम से भेजे गए लक्षित संदेशों से हुई। पीड़ितों को ऐसे अटैचमेंट या इंस्टॉलर खोलने के लिए राजी किया गया जो असली लगते थे। इनमें डिजिटल हस्ताक्षर वाले MSI इंस्टॉलर के रूप में पैक की गई फाइलें भी शामिल थीं। पर्दे के पीछे ये फाइलें ऐसी स्क्रिप्ट चलाती थीं जो सिस्टम में टिके रहने का रास्ता बनातीं और रिमोट एक्सेस टूल डाउनलोड करतीं। विश्लेषकों ने ऐसे मैलवेयर परिवारों को देखा जो विंडोज सिस्टम का पूरा नियंत्रण देते हैं। इनमें Lilith RAT, Remcos RAT, Quasar RAT और RftRAT के साथ AutoIt-आधारित लोडर शामिल थे। मैलवेयर ने शुरुआती जानकारी जुटाई, ब्राउजर में सहेजे गए क्रेडेंशियल चुराए और गतिविधियों पर नजर रखी, जिससे अकाउंट चोरी का रास्ता तैयार हुआ।

लक्षित लोगों में उत्तर कोरियाई दलबदलुओं और मानवाधिकार कार्यकर्ताओं के साथ काम करने वाले लोग शामिल थे। कुछ जाल को तनाव कम करने वाले उपयोगी कार्यक्रमों के रूप में पेश किया गया। संदेश को प्राप्तकर्ता की भूमिका और चिंताओं के अनुरूप ढालकर हमलावरों ने फाइल खुलवाने की संभावना बढ़ाई, जिससे उन्हें निजी कंप्यूटर में पैर जमाने का मौका मिला।

चरण 2: अकाउंट पर कब्जा और फाइंड हब का दुरुपयोग

मैलवेयर डालने के बाद ऑपरेटरों ने गूगल और नेवर जैसी सेवाओं के अकाउंट क्रेडेंशियल चुराए। चुराए गए गूगल लॉगिन के जरिए उन्होंने फाइंड हब तक पहुंच बनाई। यह सेवा डिवाइस के मालिकों को फोन की आखिरी ज्ञात लोकेशन देखने और आवाज बजाने या डिवाइस को फैक्टरी सेटिंग पर रीसेट करने जैसे आदेश देने की सुविधा देती है। घुसपैठियों ने लोकेशन जांचकर पता लगाया कि लक्ष्य उस समय फोन सक्रिय रूप से इस्तेमाल नहीं कर रहा है, फिर दूर से रीसेट शुरू कर दिया। जांचकर्ताओं को यह संकेत भी मिले कि कुछ मामलों में हमलावरों ने अपनी गतिविधि छिपाने के लिए सुरक्षा अलर्ट वाले ईमेल मिटाए और मेलबॉक्स का ट्रैश खाली किया। रिकवरी में बाधा डालने और फोन में मौजूद सबूत कम करने के लिए कई बार रीसेट के आदेश दिए गए।

डिवाइस रीसेट होने के बाद मालिक नई सूचनाएं नहीं देख सकता था। इनमें संपर्कों के वे जरूरी संदेश भी शामिल थे जिनमें अजीब फाइलों के बारे में पूछा जा रहा था। रीसेट ने घुसपैठ का पता लगाने वाले संकेत भी मिटा दिए, जिससे हमलावरों को पीड़ित के अकाउंट में लॉग इन दूसरे डिवाइस से अगला कदम उठाने का समय मिल गया।

चरण 3: मैलवेयर फैलाने का माध्यम बना काकाओटॉक

दक्षिण कोरिया में काकाओटॉक का इस्तेमाल लगभग हर कोई करता है और कई उपयोगकर्ता डेस्कटॉप पर भी लॉग इन रहते हैं। मोबाइल फोन रीसेट होने के बाद हमलावरों ने तेजी से दुर्भावनापूर्ण फाइलें फैलाने के लिए पीड़ितों के काकाओटॉक पीसी क्लाइंट का रुख किया। संदेश पीड़ित के असली नाम और प्रोफाइल फोटो से भेजे गए, अक्सर एक छोटे नोट और अटैचमेंट के साथ। भेजने वाले पर भरोसा करने वाले प्राप्तकर्ताओं ने फाइल खोली, जिससे मैलवेयर इंस्टॉल हुआ और संक्रमित मशीनों की संख्या बढ़ी। एक मामले में कुछ ही मिनटों में 30 से अधिक संपर्कों को संदेश भेजे गए। दस दिन बाद एक अन्य मामले में दूसरे संक्रमित अकाउंट से बड़े पैमाने पर एक साथ फाइलें भेजी गईं।

इस अभियान के पीछे कौन है

यह गतिविधि कोन्नी समूह से जुड़ी है। यह उत्तर कोरिया से जुड़ा साइबर जासूसी नेटवर्क है, जिसका संबंध उन समूहों से है जिन्हें व्यापक रूप से किमसुकी और APT37 के नाम से ट्रैक किया जाता है। अलग-अलग सुरक्षा कंपनियां इन्हीं ऑपरेटरों या उनसे करीबी संबंध रखने वाले समूहों के लिए अलग नाम इस्तेमाल करती हैं, जिनमें Earth Imp, Opal Sleet, Osmium, TA406 और Vedalia शामिल हैं। ये टीमें दक्षिण कोरियाई सरकारी निकायों, शिक्षा जगत, मीडिया, नागरिक समाज और क्रिप्टोकरेंसी समुदायों को निशाना बनाने वाले अभियानों में साझा ढांचे और टूल का इस्तेमाल करती हैं।

उत्तर कोरियाई ऑपरेटर पहले भी मोबाइल उपकरणों को निशाना बनाते रहे हैं। उदाहरण के लिए, शोधकर्ताओं ने ऐसे एंड्रॉइड स्पाइवेयर का दस्तावेजीकरण किया है जो उपयोगिता या सुरक्षा ऐप होने का दिखावा करते हैं और ऑडियो रिकॉर्ड करने, स्क्रीन कैप्चर करने तथा फाइलें बाहर भेजने में सक्षम होते हैं। मौजूदा अभियान की खास बात यह है कि इसमें अकाउंट-आधारित डिवाइस प्रबंधन का दुरुपयोग कर फोन मिटाए गए और फिर तुरंत डेस्कटॉप मैसेंजर से आगे मैलवेयर फैलाया गया। यह मेल बताता है कि कई प्लेटफॉर्म पर परिपक्व समन्वय किया गया था, न कि कोई अकेला मैलवेयर अपने दम पर काम कर रहा था।

फाइंड हब का दुरुपयोग अहम मोड़ क्यों है

उत्तर कोरिया से जुड़े समूह वर्षों से कस्टम मैलवेयर को चुराए गए क्रेडेंशियल और वैध टूल के साथ इस्तेमाल करते आए हैं। फाइंड हब का दुरुपयोग खतरा बढ़ाता है, क्योंकि इससे उपभोक्ताओं की सुरक्षा के लिए बनी सुविधा दूर से फोन मिटाने और ध्यान भटकाने का साधन बन जाती है। रीसेट फोन को निष्क्रिय करता है, जासूसी से जुड़े डेटा के निशान मिटाता है और ठीक उस वक्त बाहरी माध्यम से आने वाली चेतावनियां रोक देता है जब वे सबसे ज्यादा जरूरी होती हैं। इससे लॉग इन डेस्कटॉप सत्र के जरिए तेजी से फाइलें फैलाने का रास्ता खुल जाता है।

इस तरीके से घटना की जांच करना भी मुश्किल हो जाता है। फोन में मौजूद कुछ टेलीमेट्री और सबूत रीसेट के साथ मिट जाते हैं। गतिविधि के निशान फोन, क्लाउड अकाउंट और डेस्कटॉप क्लाइंट में बंटे होते हैं। घटनाक्रम को पूरी तरह समझने के लिए बचाव दलों को तीनों से डेटा जुटाना पड़ता है। जीनियंस के विश्लेषकों ने इस तरीके को उत्तर कोरिया से जुड़े उन्नत अभियानों के लिए एक बड़ा मोड़ बताया।

इस मामले पर अपनी रिपोर्ट में जीनियंस सिक्योरिटी सेंटर ने लिखा:

डिवाइस को निष्क्रिय करने और अकाउंट के जरिए मैलवेयर फैलाने का यह मेल, पहले से ज्ञात राज्य-प्रायोजित APT अभियानों में अभूतपूर्व है।

पीड़ितों पर असर और मानवीय कीमत

घुसपैठियों ने बेतरतीब लोगों को निशाना नहीं बनाया। जांचकर्ताओं के मुताबिक, उत्तर कोरियाई दलबदलू छात्रों की मदद करने वाले एक मनोवैज्ञानिक परामर्शदाता का फोन 5 सितंबर को रीसेट किया गया। कुछ ही समय बाद परामर्शदाता के काकाओटॉक अकाउंट से ग्राहकों को तनाव कम करने वाले कार्यक्रम के नाम से एक फाइल भेजी गई। कई लोगों ने उसे खोला तो उनकी मशीनें संक्रमित हो गईं। मैसेंजर और संदेश, दोनों का चुनाव प्राप्तकर्ताओं के भरोसे और उनकी जरूरतों से जुड़ा था।

दस दिन बाद उत्तर कोरिया पर काम करने वाले एक मानवाधिकार कार्यकर्ता के साथ भी ऐसा ही हुआ। उनके एंड्रॉइड डिवाइस को फाइंड हब के जरिए दूर से रीसेट किया गया, फिर कार्यकर्ता के काकाओटॉक अकाउंट से 36 परिचितों को दुर्भावनापूर्ण फाइलें भेजी गईं। दोनों मामलों में शुरुआती अहम घंटों के दौरान पीड़ितों के फोन कॉल या अलर्ट नहीं ले पा रहे थे। इस वजह से कुछ गड़बड़ होने का संदेह करने वाले संपर्क चेतावनी नहीं दे सके।

कुछ पीड़ितों के फोन से तस्वीरें, दस्तावेज, संपर्क और काम से जुड़ी फाइलें मिट गईं। जांचकर्ताओं को संक्रमित पीसी में ऐसे मैलवेयर मॉड्यूल भी मिले जिनमें वेबकैम और माइक्रोफोन नियंत्रित करने की क्षमता थी। इससे चिंता पैदा हुई कि रीसेट के आदेश देने से पहले यह जांचने के लिए कैमरों का इस्तेमाल किया गया होगा कि पीड़ित वहां मौजूद हैं या नहीं। दक्षिण कोरिया में दलबदलुओं और नागरिक समाज समूहों के साथ काम करने वाले लोग पहले से ही विशेष जोखिमों का सामना करते हैं। यह अभियान दिखाता है कि रोजमर्रा की डिजिटल जिंदगी को उनके खिलाफ कैसे इस्तेमाल किया जा सकता है और इसकी निजी तथा पेशेवर कीमत क्या हो सकती है।

विशेषज्ञों और अधिकारियों की प्रतिक्रिया

दक्षिण कोरियाई पुलिस ने सितंबर की दोनों घटनाओं की जांच शुरू कर दी है। विश्लेषकों ने कहा कि कोड और तकनीकें उत्तर कोरिया से जुड़े समूहों के पुराने तरीकों से मेल खाती हैं। जांचकर्ताओं ने संभावित लक्ष्यों, जिनमें परामर्शदाता और कार्यकर्ता शामिल हैं, से अकाउंट से छेड़छाड़ का पता लगाने के लिए डेस्कटॉप और मोबाइल, दोनों वातावरणों की गहन जांच करने की अपील की।

सुरक्षा टीमों ने जोर दिया कि हमलावरों को एंड्रॉइड या फाइंड हब में प्रोग्रामिंग की खामी की जरूरत नहीं थी। उन्हें वैध क्रेडेंशियल और भरोसेमंद ऐप्स तक पहुंच चाहिए थी। शोधकर्ताओं ने सेवा प्रदाताओं को दूर से रीसेट जैसी संवेदनशील कार्रवाइयों के लिए रियल-टाइम वेरिफिकेशन जोड़ने की सलाह दी। उन्होंने यह भी कहा कि मैसेंजर को ऐसी स्थिति में मजबूत चेतावनी या देरी की सुविधा देनी चाहिए जब डेस्कटॉप क्लाइंट कम समय में कई संपर्कों को एक्जीक्यूटेबल फाइलें भेजने की कोशिश करे।

अपने गूगल और काकाओटॉक अकाउंट को कैसे सुरक्षित रखें

यह अभियान चुराए गए लॉगिन, लंबे समय तक चालू रहने वाले डेस्कटॉप सत्रों और उपयोगकर्ताओं के भरोसे वाली सुविधाओं पर निर्भर था। ये कदम जोखिम कम कर सकते हैं और अकाउंट का दुरुपयोग कठिन बना सकते हैं:

• अपने गूगल अकाउंट के लिए टू-स्टेप वेरिफिकेशन चालू करें। पासकी या सुरक्षा कुंजी को प्राथमिकता दें। कार्यकर्ताओं और पत्रकारों जैसे अधिक जोखिम वाले लोगों को गूगल के एडवांस्ड प्रोटेक्शन प्रोग्राम में नामांकन कराना चाहिए।
• गूगल अकाउंट सेटिंग खोलें और सिक्योरिटी चेकअप चलाएं। अनजान डिवाइस और सत्र हटाएं। जिन थर्ड-पार्टी ऐप्स को नहीं पहचानते, उनकी पहुंच रद्द करें। रिकवरी फोन और ईमेल की जानकारी जांचें।
• फाइंड हब या फाइंड माई डिवाइस सेटिंग में अपने अकाउंट से जुड़े डिवाइस की सूची देखें। सुनिश्चित करें कि आप हर डिवाइस को पहचानते हैं। हर डिवाइस को मजबूत PIN से लॉक रखें और दूर से रीसेट के लिए प्रमाणीकरण जरूरी करें।
• अपने ईमेल की सुरक्षा जांचें। जीमेल में संदिग्ध फिल्टर, फॉरवर्डिंग नियम या अन्य लोगों को दी गई पहुंच देखें। हमलावर कभी-कभी अलर्ट छिपाने के लिए नियम जोड़ते हैं।
• साझा या बिना प्रबंधन वाले पीसी पर ब्राउजर में पासवर्ड सहेजने से बचें। ऐसा प्रतिष्ठित पासवर्ड मैनेजर इस्तेमाल करें जिसे मास्टर पासवर्ड या सुरक्षा कुंजी से लॉक किया जा सके।
• एंड्रॉइड, विंडोज, macOS और काकाओटॉक को अपडेट रखें। काकाओटॉक सेटिंग में देखें कि किन पीसी पर आपका अकाउंट लॉग इन है और जिनकी पहचान नहीं है, उनसे साइन आउट करें।
• अनचाही फाइलों या ऐप इंस्टॉलर को लेकर सतर्क रहें, भले ही वे भरोसेमंद संपर्कों से आए हों। फाइल खोलने से पहले किसी अलग माध्यम से भेजने वाले को फोन करके पुष्टि करें।
• जरूरी तस्वीरों और दस्तावेजों का ऑफलाइन बैकअप रखें। इस्तेमाल में न होने पर डिस्कनेक्ट रखा गया बाहरी बैकअप रीसेट से प्रभावित नहीं होगा।
• लॉगिन अलर्ट चालू करें और उन्हें ध्यान से पढ़ें। संदिग्ध अलर्ट मिलने पर उसमें दिए लिंक पर क्लिक न करें। इसके बजाय नए ब्राउजर सत्र में सीधे अकाउंट सेटिंग खोलें और गतिविधि की जांच करें।

अगर आपको लगे कि आपको निशाना बनाया गया है तो तुरंत ये कदम उठाएं

• अपने नियंत्रण वाले साफ डिवाइस से गूगल और काकाओटॉक के पासवर्ड बदलें। फिर टू-स्टेप वेरिफिकेशन या पासकी चालू करें।
• गूगल अकाउंट खोलें, हाल की सुरक्षा घटनाओं की समीक्षा करें और अन्य सभी सत्रों से साइन आउट करें। किसी भी अनजान ऐप टोकन की पहुंच रद्द करें।
• जीमेल में अजीब फिल्टर या फॉरवर्डिंग नियम हटाएं। काकाओटॉक में सभी पीसी से जबरन साइन आउट करें और सिर्फ उन्हीं को फिर से अधिकृत करें जिनका आप इस्तेमाल करते हैं।
• अगर आपका फोन रीसेट हुआ है, तो उसे नए डिवाइस की तरह मानें। डेटा बहाल करने से पहले अकाउंट पासवर्ड बदलें और रिकवरी जानकारी की पुष्टि करें। केवल भरोसेमंद बैकअप से ही डेटा बहाल करें।
• अपने संपर्कों को बताएं कि आपकी ओर से आए संदेश दुर्भावनापूर्ण हो सकते हैं। उनसे कहें कि मिली हुई फाइलें न खोलें और सुरक्षा स्कैन चलाएं।
• जहां संभव हो, सबूत सुरक्षित रखें। अपना पीसी वाइप न करें। संदिग्ध गतिविधि लॉग के स्क्रीनशॉट लें, फिर अपनी स्थानीय साइबर अपराध इकाई या भरोसेमंद सुरक्षा टीम से संपर्क करें।

संगठनों को अब क्या करना चाहिए

दक्षिण कोरिया में कर्मचारी रखने वाले या उत्तर कोरिया से जुड़े कामकाज से संबंध रखने वाले संगठनों को मानकर चलना चाहिए कि वे आकर्षक लक्ष्य हैं। पहचान सुरक्षा और एंडपॉइंट निगरानी को मिलाने वाला केंद्रित कार्यक्रम जोखिम कम करेगा और तेजी से कार्रवाई करने में मदद करेगा।

• सभी गूगल वर्कस्पेस और पहचान प्रदाता अकाउंट पर मल्टी-फैक्टर ऑथेंटिकेशन अनिवार्य करें। पासकी या हार्डवेयर सुरक्षा कुंजी जैसे फिशिंग-रोधी तरीकों को अपनाएं।
• ब्राउजर को अधिक सुरक्षित बनाएं और बिना प्रबंधन वाले वातावरण में पासवर्ड ऑटो-सेव बंद करें। कर्मचारियों को एंटरप्राइज-ग्रेड पासवर्ड मैनेजर उपलब्ध कराएं।
• ऐसे एंडपॉइंट डिटेक्शन और रिस्पॉन्स टूल तैनात करें जिनमें AutoIt लॉन्चर, MSI स्क्रिप्ट के दुरुपयोग और Lilith RAT, Remcos RAT, Quasar RAT तथा RftRAT समेत ज्ञात RAT परिवारों के लिए व्यवहार-आधारित नियम हों।
• जहां संभव हो, ईमेल और मैसेंजर गेटवे पर बाहरी प्रेषकों के एक्जीक्यूटेबल अटैचमेंट और MSI इंस्टॉलर को ब्लॉक या क्वारंटीन करें।
• उपयोगकर्ता अकाउंट से जुड़ी डिवाइस प्रबंधन सेवाओं के जरिए दूर से रीसेट और बार-बार लोकेशन जांचने जैसी संदिग्ध गतिविधियों के लिए क्लाउड ऑडिट लॉग की निगरानी करें।
• कर एजेंसी के नोटिस जैसे स्थानीय जाल को ध्यान में रखकर नियमित फिशिंग अभ्यास करें। दलबदलुओं और कार्यकर्ताओं से जुड़े संवेदनशील काम करने वाले कर्मचारियों को जरूरत के समय प्रशिक्षण दें।
• अकाउंट पर कब्जे की स्थिति के लिए त्वरित कार्रवाई की योजना बनाएं, जिसमें गूगल अकाउंट, काकाओटॉक डेस्कटॉप क्लाइंट और मोबाइल डिवाइस रीसेट शामिल हों। अभ्यास के लिए टेबलटॉप सिमुलेशन करें।
• ऐसा माध्यम बनाएं जिससे संपर्क आपके कर्मचारियों की ओर से आए दिखने वाले संदिग्ध संदेशों और फाइलों की सूचना दे सकें। ऐसी रिपोर्ट को सर्वोच्च प्राथमिकता दें।

एक नजर में

• जांचकर्ताओं ने दक्षिण कोरियाई लोगों को निशाना बनाने वाले नए अभियान को उत्तर कोरिया से जुड़े कोन्नी समूह से जोड़ा है।
• हमलावरों ने गूगल क्रेडेंशियल चुराए, फाइंड हब के जरिए एंड्रॉइड डिवाइस की लोकेशन ट्रैक कर उन्हें फैक्टरी रीसेट किया, फिर काकाओटॉक के डेस्कटॉप सत्रों का दुरुपयोग कर संपर्कों में मैलवेयर फैलाया।
• मामलों में उत्तर कोरियाई दलबदलू छात्रों के परामर्शदाता और एक मानवाधिकार कार्यकर्ता शामिल हैं। एक घटना में 30 से अधिक संपर्कों और दूसरी में 36 लोगों को मैलवेयर संदेश भेजे गए।
• अभियान में राष्ट्रीय कर सेवा के नाम से लक्षित फिशिंग, डिजिटल हस्ताक्षर वाले MSI इंस्टॉलर, AutoIt स्क्रिप्ट और Lilith RAT, Remcos RAT, Quasar RAT तथा RftRAT समेत रिमोट एक्सेस टूल इस्तेमाल किए गए।
• शोधकर्ताओं के मुताबिक, यह पहला पुष्ट मामला है जिसमें उत्तर कोरिया से जुड़े किसी हमलावर ने फाइंड हब के जरिए डिवाइस को दूर से आदेश देने के लिए समझौता किए गए गूगल अकाउंट का इस्तेमाल किया।
• गूगल का कहना है कि इस गतिविधि में वैध अकाउंट सुविधाओं और चुराए गए क्रेडेंशियल का दुरुपयोग हुआ, न कि एंड्रॉइड या फाइंड हब की किसी खामी का। कंपनी ने टू-स्टेप वेरिफिकेशन या पासकी इस्तेमाल करने की अपील की है।
• दक्षिण कोरिया की पुलिस जांच कर रही है। सुरक्षा टीमें पहचान की मजबूत सुरक्षा, डिवाइस को सुरक्षित बनाने और मैसेंजर से मिली फाइलों की सावधानीपूर्वक पुष्टि करने की सलाह देती हैं।
• अधिक जोखिम वाले उपयोगकर्ताओं को एडवांस्ड प्रोटेक्शन में नामांकन करना चाहिए, गूगल और काकाओटॉक में लॉग इन डिवाइस की जांच करनी चाहिए और रीसेट से होने वाले नुकसान को सीमित करने के लिए ऑफलाइन बैकअप रखना चाहिए।