একটি চলমান, অত্যন্ত পরিশীলিত ফিশিং প্রচারাভিযান কিছু LastPass ব্যবহারকারীকে তাদের সব-গুরুত্বপূর্ণ মাস্টার পাসওয়ার্ড হ্যাকারদের কাছে ছেড়ে দিতে পরিচালিত করতে পারে।

পাসওয়ার্ড ম্যানেজাররা ব্যবহারকারীর সমস্ত পাসওয়ার্ড সংরক্ষণ করে — Instagram, তাদের কাজ এবং এর মধ্যে থাকা সবকিছুর জন্য — এক জায়গায়, একটি "মাস্টার" পাসওয়ার্ড দ্বারা সুরক্ষিত৷ তারা ব্যবহারকারীদের শত শত অ্যাকাউন্টের জন্য শংসাপত্রগুলি মনে রাখতে বাধ্য করে এবং প্রতিটি অ্যাকাউন্টের জন্য আরও জটিল, অনন্য পাসওয়ার্ড ব্যবহার করার ক্ষমতা দেয়। অন্যদিকে হুমকি দিলে অভিনেতা ড মাস্টার পাসওয়ার্ডে অ্যাক্সেস লাভ করে, তাদের কাছে প্রতিটি অ্যাকাউন্টের চাবি থাকবে।

প্রবেশ করান CryptoChameleon, একটি নতুন, হাতে-কলমে ফিশিং কিট অতুলনীয় বাস্তববাদের। 

ক্রিপ্টোচ্যামেলিয়ন আক্রমণের প্রবণতা এত ব্যাপক নয়, কিন্তু সাইবার ক্রাইম বিশ্ব জুড়ে ব্যাপকভাবে অদেখা একটি ক্লিপে তারা সফল হয়েছে, "এ কারণেই আমরা সাধারণত এই টার্গেটিং এন্টারপ্রাইজগুলি এবং অন্যান্য খুব উচ্চ-মূল্যের লক্ষ্যবস্তু দেখি," ডেভিড রিচার্ডসন ব্যাখ্যা করেন, ভাইস প্রেসিডেন্ট লুকআউটে হুমকি বুদ্ধিমত্তা, যেটি প্রথমে লাস্টপাসকে সর্বশেষ প্রচারাভিযান সনাক্ত করে রিপোর্ট করেছিল। "একটি পাসওয়ার্ড ভল্ট একটি প্রাকৃতিক এক্সটেনশন, কারণ আপনি স্পষ্টতই দিনের শেষে এটি নগদীকরণ করতে সক্ষম হবেন।"

এই পর্যন্ত, CryptoChameleon অন্তত আটজন LastPass গ্রাহককে ফাঁদে ফেলতে পেরেছে — তবে সম্ভবত আরও বেশি — সম্ভাব্যভাবে তাদের মাস্টার পাসওয়ার্ডগুলি প্রকাশ করে৷

ক্রিপ্টোচ্যামেলিয়নের সংক্ষিপ্ত ইতিহাস

প্রথমে, CryptoChameleon অন্য যেকোন ফিশিং কিটের মত লাগছিল।

এর অপারেটররা গত বছরের শেষ থেকে প্রায় ছিল। জানুয়ারিতে, তারা ক্রিপ্টোকারেন্সি এক্সচেঞ্জ কয়েনবেস এবং বিনান্সকে লক্ষ্য করে শুরু করেছিল। এই প্রাথমিক টার্গেটিং, এবং এর অত্যন্ত কাস্টমাইজযোগ্য টুলসেট, এটি এর নাম অর্জন করেছে।

ফেব্রুয়ারীতে ছবি বদলে যায়, যদিও, যখন তারা ডোমেইন fcc-okta[.]com নিবন্ধন করে, মার্কিন ফেডারেল কমিউনিকেশন কমিশন (FCC) এর অন্তর্গত Okta সিঙ্গেল সাইন অন (SSO) পৃষ্ঠার অনুকরণ করে। "এটি হঠাৎ করেই অনেক ভোক্তা ফিশিং কিটগুলির মধ্যে একটি থেকে এই উত্থান ঘটিয়েছে যা আমরা সেখানে দেখতে পাচ্ছি, এমন কিছু যা এন্টারপ্রাইজকে লক্ষ্যবস্তুতে পিভট করতে চলেছে, কর্পোরেট শংসাপত্রগুলি অনুসরণ করছে," রিচার্ডসন স্মরণ করেন।

রিচার্ডসন ডার্ক রিডিংকে নিশ্চিত করেছেন যে এফসিসি কর্মচারীরা প্রভাবিত হয়েছিল, তবে কতজন বা আক্রমণগুলি এজেন্সির জন্য কোনও পরিণতি নিয়েছিল তা বলতে পারেনি। এটি একটি অত্যাধুনিক আক্রমণ ছিল, তিনি উল্লেখ করেন যে তিনি প্রশিক্ষিত কর্মচারীদের উপরও কাজ করার আশা করেন।

CryptoChameleon-এর সাথে সমস্যাটি শুধু তা নয় যে এটি কাকে টার্গেট করছে, কিন্তু তাদের পরাজিত করার ক্ষেত্রে এটি কতটা ভাল করেছে। এর কৌতুকটি ছিল পুঙ্খানুপুঙ্খ, ধৈর্যশীল, শিকারের সাথে হাতের সম্পর্ক।

বিবেচনা করুন, উদাহরণস্বরূপ, LastPass বিরুদ্ধে বর্তমান প্রচার.

লাস্টপাস মাস্টার পাসওয়ার্ড চুরি করা

এটি শুরু হয় যখন একজন গ্রাহক একটি 888 নম্বর থেকে একটি কল পান। একজন রোবো কলার গ্রাহককে জানায় যে তাদের অ্যাকাউন্ট একটি নতুন ডিভাইস থেকে অ্যাক্সেস করা হয়েছে। তারপরে এটি তাদের অ্যাক্সেসের অনুমতি দিতে "1" বা এটি ব্লক করতে "2" টিপতে অনুরোধ করে। "2" চাপার পরে, তাদের বলা হয় যে তারা শীঘ্রই একটি গ্রাহক পরিষেবা প্রতিনিধির কাছ থেকে "টিকিট বন্ধ" করার জন্য একটি কল পাবে৷

তারপর কল আসে৷ প্রাপকের অজানা, এটি একটি জালিয়াতি নম্বর থেকে এসেছে৷ লাইনের অন্য প্রান্তে একজন জীবন্ত ব্যক্তি, সাধারণত একটি আমেরিকান উচ্চারণ সহ। অন্যান্য ক্রিপ্টোচ্যামেলিয়নের শিকাররাও ব্রিটিশ এজেন্টদের সাথে কথা বলার রিপোর্ট করেছেন।

"এজেন্টের পেশাদার কল সেন্টার যোগাযোগের দক্ষতা রয়েছে, এবং প্রকৃতপক্ষে ভাল পরামর্শ দেয়," রিচার্ডসন শিকারদের সাথে তার অনেক কথোপকথন থেকে স্মরণ করেন। "সুতরাং, উদাহরণস্বরূপ, তারা বলতে পারে: 'আমি চাই আপনি আমার জন্য এই সমর্থন ফোন নম্বরটি লিখুন।' এবং তারা যারা ছদ্মবেশ ধারণ করছে তাদের জন্য ভুক্তভোগীরা প্রকৃত সমর্থন ফোন নম্বর লিখে রাখে। এবং তারপর তারা তাদের একটি পুরো বক্তৃতা দেয়: 'শুধু আমাদের এই নম্বরে কল করুন।' আমার কাছে একটি ভিকটিম রিপোর্ট ছিল যে তারা আসলে বলেছিল, 'মান এবং প্রশিক্ষণের উদ্দেশ্যে, এই কলটি রেকর্ড করা হচ্ছে।' তারা সম্পূর্ণ কল স্ক্রিপ্ট ব্যবহার করছে, আপনি যা ভাবতে পারেন তা কাউকে বিশ্বাস করার জন্য যে তারা এই মুহূর্তে সত্যিই এই কোম্পানির সাথে কথা বলছে।"

এই অনুমিত সমর্থন এজেন্ট ব্যবহারকারীকে জানায় যে তারা শীঘ্রই একটি ইমেল পাঠাবে, ব্যবহারকারীকে তাদের অ্যাকাউন্টে অ্যাক্সেস পুনরায় সেট করার অনুমতি দেয়। প্রকৃতপক্ষে, এটি একটি দূষিত ইমেল যাতে একটি সংক্ষিপ্ত URL রয়েছে, যা তাদের একটি ফিশিং সাইটে নির্দেশ করে৷

সহায়ক সহায়তা এজেন্ট রিয়েল টাইমে দেখেন যখন ব্যবহারকারী তাদের মাস্টার পাসওয়ার্ড কপিক্যাট সাইটে প্রবেশ করে। তারপরে তারা তাদের অ্যাকাউন্টে লগ ইন করতে এটি ব্যবহার করে এবং অবিলম্বে প্রাথমিক ফোন নম্বর, ইমেল ঠিকানা এবং মাস্টার পাসওয়ার্ড পরিবর্তন করে, যার ফলে ক্ষতিগ্রস্ত ব্যক্তিকে ভালভাবে লক করে দেয়।

সব সময়, রিচার্ডসন বলেছেন, "তারা বুঝতে পারে না এটি একটি কেলেঙ্কারী - আমি যাদের সাথে কথা বলেছি তাদের কেউই নয়। একজন বলেছেন, 'আমি মনে করি না যে আমি সেখানে আমার মাস্টার পাসওয়ার্ড দিয়েছি।' [আমি তাদের বলেছিলাম] 'আপনি এই লোকদের সাথে ফোনে 23 মিনিট কাটিয়েছেন। আপনি সম্ভবত করেছেন।'

ক্ষতি

LastPass আক্রমণে ব্যবহৃত সন্দেহজনক ডোমেনটি বন্ধ করে দেয় — help-lastpass[.]com — লাইভ হওয়ার কিছুক্ষণ পরেই। আক্রমণকারীরা অবিচল ছিল, যদিও, একটি নতুন আইপি ঠিকানার অধীনে তাদের কার্যকলাপ চালিয়ে যাচ্ছে।

আক্রমণকারীদের অভ্যন্তরীণ সিস্টেমে দৃশ্যমানতার সাথে, রিচার্ডসন কমপক্ষে আটজন শিকারকে সনাক্ত করতে সক্ষম হন। তিনি প্রমাণও দিয়েছেন (যা ডার্ক রিডিং গোপনীয় রাখছে) ইঙ্গিত করে যে এর চেয়ে বেশি কিছু থাকতে পারে।

আরও তথ্যের জন্য জিজ্ঞাসা করা হলে, লাস্টপাসের সিনিয়র ইন্টেলিজেন্স বিশ্লেষক মাইক কোসাক ডার্ক রিডিংকে বলেন, “আমরা এই ধরনের প্রচারণার দ্বারা প্রভাবিত গ্রাহকদের সংখ্যা সম্পর্কে বিশদ প্রকাশ করি না, তবে আমরা যে কোনও গ্রাহককে সমর্থন করি যারা এর শিকার হতে পারে এবং অন্যান্য কেলেঙ্কারী আমরা লোকেদেরকে সম্ভাব্য ফিশিং স্ক্যাম এবং LastPass ছদ্মবেশ ধারণ করে অন্যান্য জঘন্য কার্যকলাপের প্রতিবেদন করতে উৎসাহিত করি [ইমেল সুরক্ষিত]. "

কোন প্রতিরক্ষা আছে?

কারণ হ্যান্ডস-অন ক্রিপ্টোচ্যামেলিয়ন আক্রমণকারীরা তাদের শিকারের সাথে কথা বলে যে কোনও সম্ভাব্য সুরক্ষা বাধা যেমন মাল্টিফ্যাক্টর অথেনটিকেশন (MFA), তাদের বিরুদ্ধে রক্ষা করা সচেতনতার সাথে শুরু হয়।

"লোকেদের সচেতন হতে হবে যে আক্রমণকারীরা ফোন নম্বরগুলি ফাঁকি দিতে পারে - যে শুধুমাত্র একটি 800 বা 888 নম্বর আপনাকে কল করে, এর অর্থ এই নয় যে এটি বৈধ," রিচার্ডসন বলেছেন, "শুধুমাত্র কারণটির অপর প্রান্তে একজন আমেরিকান রয়েছে৷ লাইনের অর্থ এই নয় যে এটি বৈধ।"

আসলে, তিনি বলেছেন, “অজানা কলারদের ফোনের উত্তর দেবেন না। আমি জানি যে আমরা আজ যে পৃথিবীতে বাস করছি তার এটি একটি দুঃখজনক বাস্তবতা।"

এমনকি ব্যবসায়িক ব্যবহারকারী এবং ভোক্তাদের কাছে পরিচিত সমস্ত সচেতনতা এবং সতর্কতামূলক ব্যবস্থা থাকা সত্ত্বেও, একটি বিশেষভাবে পরিশীলিত সামাজিক প্রকৌশল আক্রমণ এখনও হতে পারে।

রিচার্ডসন স্মরণ করে বলেন, “আমি যাদের সাথে কথা বলেছিলাম তাদের একজন অবসরপ্রাপ্ত আইটি পেশাদার। “তিনি বলেছিলেন, 'আমি আমার সারা জীবন এই ধরনের আক্রমণে না পড়ার জন্য প্রশিক্ষণ দিয়েছি। কোনোভাবে আমি এর জন্য পড়ে গিয়েছিলাম'।

LastPass গ্রাহকদের নিম্নলিখিতগুলি মনে করিয়ে দিতে ডার্ক রিডিংকে বলেছে:

• এসইও চালিত বিষয়বস্তু এবং পিআর বিতরণ। আজই পরিবর্ধিত পান।
• PlatoData.Network উল্লম্ব জেনারেটিভ Ai. নিজেকে ক্ষমতায়িত করুন। এখানে প্রবেশ করুন.
• প্লেটোএআইস্ট্রিম। Web3 ইন্টেলিজেন্স। জ্ঞান প্রসারিত. এখানে প্রবেশ করুন.
• প্লেটোইএসজি। কার্বন, ক্লিনটেক, শক্তি, পরিবেশ সৌর, বর্জ্য ব্যবস্থাপনা. এখানে প্রবেশ করুন.
• প্লেটো হেলথ। বায়োটেক এবং ক্লিনিক্যাল ট্রায়াল ইন্টেলিজেন্স। এখানে প্রবেশ করুন.
• উত্স: https://www.darkreading.com/cyberattacks-data-breaches/lastpass-users-lose-master-passwords-ultra-convincing-scam