দক্ষিণ কোরিয়ায় ফোন মুছে ম্যালওয়্যার ছড়াতে গুগল ফাইন্ড হাব ও কাকাওটকের অপব্যবহার উত্তর কোরিয়ার কন্নি গোষ্ঠীর

বিশ্বস্ত অ্যাপকে দক্ষিণ কোরীয়দের বিরুদ্ধেই যেভাবে ব্যবহার করেছে উত্তর কোরিয়ার সাইবার অপারেটররা

দক্ষিণ কোরিয়ার ফরেনসিক তদন্তকারীদের মতে, উত্তর কোরিয়া-সমর্থিত সাইবার অপারেটররা সমন্বিত এক অভিযানে দৈনন্দিন ব্যবহারের টুলকে হামলার মাধ্যম হিসেবে ব্যবহার করেছে। পিয়ংইয়ং-সংশ্লিষ্ট অপারেটরদের কন্নি গোষ্ঠীর সঙ্গে যুক্ত দলটি গুগল অ্যাকাউন্টের লগইন তথ্য চুরি করে, গুগলের ফাইন্ড হাব সেবার মাধ্যমে দূর থেকে অ্যান্ড্রয়েড ফোন ও ট্যাবলেটের নিয়ন্ত্রণ নেয়, এরপর কাকাওটক অ্যাকাউন্ট হাইজ্যাক করে পরিচিতির নেটওয়ার্কজুড়ে ম্যালওয়্যার ছড়ায়। গবেষকেরা একে প্রথম নিশ্চিত ঘটনা হিসেবে বর্ণনা করেছেন, যেখানে উত্তর কোরিয়া-সংশ্লিষ্ট কোনো অভিযান গুগল অ্যাকাউন্টে অনুপ্রবেশ করে বিল্ট-ইন ব্যবস্থাপনা ফিচার ব্যবহার করে স্মার্ট ডিভাইসের দূরবর্তী নিয়ন্ত্রণ নিয়েছে।

জেনিয়ান্স সিকিউরিটি সেন্টারের নিরাপত্তা বিশ্লেষকদের ভাষ্য, হামলাকারীরা প্রথমে কর কর্মকর্তার পরিচয় দিয়ে ম্যালওয়্যার ইনস্টল করেছিল। কিছু সময় নীরবে নজরদারির পর অনুপ্রবেশকারীরা চুরি করা গুগল অ্যাকাউন্টে লগইন করে। ফাইন্ড হাবের মাধ্যমে—যে ভোক্তা-নিরাপত্তা টুল দিয়ে মালিকেরা হারানো ডিভাইস খুঁজে পেতে ও সুরক্ষিত রাখতে পারেন—তারা ফোনের অবস্থান শনাক্ত করে এবং দূর থেকে ফ্যাক্টরি রিসেটের নির্দেশ দেয়। রিসেটের ফলে ব্যক্তিগত তথ্য মুছে যায় এবং সতর্কবার্তা সাময়িকভাবে বন্ধ হয়ে যায়, যা পরবর্তী ধাপ সফল হতে সহায়তা করে।

লক্ষ্যব্যক্তিরা কল ও নোটিফিকেশন পেতে না পারায়, অভিযানটি চালু থাকা কাকাওটকের ডেস্কটপ ক্লায়েন্টের দিকে মোড় নেয়। ভুক্তভোগীর নাম ও বিশ্বস্ত চ্যাট-ইতিহাস ব্যবহার করে হামলাকারীরা পরিচিতির তালিকায় স্ট্রেস কমানোর প্রোগ্রাম পরিচয়ে ক্ষতিকর ফাইল পাঠায়। সামাজিক আস্থাকে কাজে লাগিয়ে এই কৌশলে ম্যালওয়্যার ছড়িয়ে পড়ে। অনেক ভুক্তভোগী অ্যাকাউন্টে ঢুকতে না পারায় বা ফোন পুনরুদ্ধারে ব্যস্ত থাকায় অনুপ্রবেশও দেরিতে ধরা পড়ে।

গুগল জানিয়েছে, এ কর্মকাণ্ডে বৈধ অ্যাকাউন্টে প্রবেশাধিকার ও বৈধ ফিচারের অপব্যবহার করা হয়েছে; অ্যান্ড্রয়েড বা ফাইন্ড হাবের কোনো দুর্বলতা কাজে লাগানো হয়নি। প্রতিষ্ঠানটি ব্যবহারকারীদের দুই ধাপ যাচাইকরণ বা পাসকি চালু করার পরামর্শ দিয়েছে। উচ্চ ঝুঁকিতে থাকা ব্যক্তিদের জন্য অ্যাডভান্সড প্রোটেকশন প্রোগ্রামে যোগ দেওয়ার পরামর্শও দিয়েছে।

হামলাগুলোতে কী ঘটেছিল

ইমেইলের প্রলোভন, অ্যাকাউন্ট চুরি, ক্লাউড-ভিত্তিক ডিভাইস নিয়ন্ত্রণ এবং মেসেঞ্জারের অপব্যবহারের সমন্বয়ে কয়েকটি ধাপে অভিযানটি চালানো হয়। এটি ‘লিভিং অফ দ্য ল্যান্ড’ কৌশলের উদাহরণ, যেখানে বিল্ট-ইন সেবা ও বিশ্বস্ত অ্যাপই হামলাকারীদের টুলে পরিণত হয়। তদন্তকারীদের বিস্তারিত বর্ণনা করা ৫ সেপ্টেম্বর ও ১৫ সেপ্টেম্বরের ঘটনা দুটিতে দেখা যায়, একটি অ্যাকাউন্টে অনুপ্রবেশের পর ব্যক্তিগত ও পেশাগত পরিচিতিমহলে কত দ্রুত ম্যালওয়্যার ছড়িয়ে পড়তে পারে।

ধাপ ১: লক্ষ্যভিত্তিক ফিশিং ও প্রাথমিক অনুপ্রবেশ

দক্ষিণ কোরিয়ার জাতীয় কর দপ্তরের পরিচয় নকল করে পাঠানো লক্ষ্যভিত্তিক বার্তার মাধ্যমে অনুপ্রবেশ শুরু হয়। ভুক্তভোগীদের এমন সংযুক্তি বা ইনস্টলার খুলতে প্রলুব্ধ করা হয়, যেগুলো বৈধ বলে মনে হয়েছিল; এর মধ্যে স্বাক্ষরযুক্ত MSI ইনস্টলার হিসেবে প্যাকেজ করা ফাইলও ছিল। পর্দার আড়ালে, এসব ফাইল এমন স্ক্রিপ্ট চালু করে যা সিস্টেমে স্থায়ী প্রবেশাধিকার তৈরি করে এবং দূরবর্তী প্রবেশের টুল ডাউনলোড করে। বিশ্লেষকেরা উইন্ডোজ সিস্টেমের পূর্ণ নিয়ন্ত্রণ দিতে পারে এমন একাধিক ম্যালওয়্যার শনাক্ত করেন, যার মধ্যে ছিল Lilith RAT, Remcos RAT, Quasar RAT ও RftRAT, পাশাপাশি AutoIt-ভিত্তিক লোডার। ম্যালওয়্যারগুলো প্রাথমিক তথ্য সংগ্রহ, ব্রাউজারে সংরক্ষিত লগইন তথ্য চুরি এবং কার্যকলাপ পর্যবেক্ষণ করে অ্যাকাউন্ট চুরির প্রস্তুতি নেয়।

লক্ষ্যবস্তুদের মধ্যে ছিলেন উত্তর কোরিয়া থেকে পালিয়ে আসা ব্যক্তিদের সঙ্গে কাজ করা মানুষ এবং মানবাধিকারকর্মীরা। কিছু প্রলোভনমূলক বার্তায় ফাইলগুলোকে স্ট্রেস কমানোর সহায়ক প্রোগ্রাম হিসেবে দেখানো হয়। প্রাপকের ভূমিকা ও উদ্বেগ অনুযায়ী বার্তা সাজিয়ে হামলাকারীরা ফাইল খোলার সম্ভাবনা বাড়ায়, আর এর মাধ্যমে ব্যক্তিগত কম্পিউটারে পা রাখার সুযোগ পায়।

ধাপ ২: অ্যাকাউন্ট দখল ও ফাইন্ড হাবের অপব্যবহার

ম্যালওয়্যার ইনস্টল হওয়ার পর অপারেটররা গুগল ও নাভারের মতো সেবার অ্যাকাউন্টের লগইন তথ্য চুরি করে। চুরি করা গুগল লগইন ব্যবহার করে তারা ফাইন্ড হাবে প্রবেশ করে। এই সেবার মাধ্যমে ডিভাইসের মালিক ফোনের সর্বশেষ জানা অবস্থান দেখতে পারেন এবং শব্দ বাজানো বা ডিভাইস ফ্যাক্টরি সেটিংসে রিসেট করার মতো নির্দেশ দিতে পারেন। অনুপ্রবেশকারীরা অবস্থান যাচাই করে দেখে লক্ষ্যব্যক্তি তখন ফোন ব্যবহার করছেন কি না, এরপর দূর থেকে রিসেট চালায়। কোনো কোনো ক্ষেত্রে হামলাকারীরা নিরাপত্তা সতর্কবার্তার ইমেইল মুছে ফেলে এবং মেইলবক্সের ট্র্যাশ ফোল্ডার খালি করে নিজেদের চিহ্ন আড়াল করেছে বলেও তদন্তকারীরা প্রমাণ পান। পুনরুদ্ধার কঠিন করতে এবং ফোনে থাকা প্রমাণ কমাতে একাধিকবার রিসেটের নির্দেশ দেওয়া হয়।

ডিভাইস রিসেট হয়ে গেলে মালিক নতুন নোটিফিকেশন দেখতে পারতেন না; এর মধ্যে অস্বাভাবিক ফাইল নিয়ে পরিচিতদের জরুরি বার্তাও ছিল। রিসেটে অনুপ্রবেশের সূত্র হতে পারত এমন চিহ্নও মুছে যায়। ফলে ভুক্তভোগীর অ্যাকাউন্টে লগইন করা অন্য একটি ডিভাইস থেকে পরবর্তী ধাপ চালানোর জন্য হামলাকারীরা সময় পায়।

ধাপ ৩: ম্যালওয়্যার ছড়ানোর হাতিয়ার কাকাওটক

দক্ষিণ কোরিয়ায় প্রায় সবাই কাকাওটক ব্যবহার করেন, আর অনেকের ডেস্কটপ সেশন সব সময় চালু থাকে। মোবাইল ফোন রিসেট করার পর হামলাকারীরা দ্রুত ক্ষতিকর ফাইল ছড়াতে ভুক্তভোগীর কাকাওটক পিসি ক্লায়েন্ট ব্যবহার করে। ভুক্তভোগীর আসল নাম ও প্রোফাইল ছবি দিয়ে বার্তা পাঠানো হয়, প্রায়ই সংক্ষিপ্ত নোট ও একটি সংযুক্তিসহ। প্রেরককে বিশ্বাস করে প্রাপক ফাইল খুললে ম্যালওয়্যার ইনস্টল হয় এবং আক্রান্ত কম্পিউটারের সংখ্যা বাড়ে। একটি ঘটনায় কয়েক মিনিটের মধ্যে ৩০ জনের বেশি পরিচিতির কাছে বার্তা পাঠানো হয়। দশ দিন পর অন্য একটি আক্রান্ত অ্যাকাউন্ট থেকে একই সময়ে ব্যাপকভাবে বার্তা পাঠানোর আরেকটি ঘটনা ঘটে।

এই অভিযানের পেছনে কারা

এই তৎপরতার জন্য দায়ী করা হয়েছে কন্নি গোষ্ঠীকে। উত্তর কোরিয়া-সংশ্লিষ্ট এই সাইবার গোয়েন্দা নেটওয়ার্কের সঙ্গে কিমসুকি ও APT37 নামে ব্যাপকভাবে পরিচিত গোষ্ঠীগুলোর যোগসূত্র রয়েছে। একই বা ঘনিষ্ঠভাবে মিত্র অপারেটরদের জন্য বিভিন্ন নিরাপত্তা প্রতিষ্ঠান বিভিন্ন নাম ব্যবহার করে; এর মধ্যে আছে Earth Imp, Opal Sleet, Osmium, TA406 ও Vedalia। এসব দল দক্ষিণ কোরিয়ার সরকারি সংস্থা, শিক্ষা প্রতিষ্ঠান, গণমাধ্যম, নাগরিক সমাজ ও ক্রিপ্টোকারেন্সি-সংশ্লিষ্ট গোষ্ঠীকে লক্ষ্য করে চালানো অভিযানে অবকাঠামো ও টুল ভাগাভাগি করে।

মোবাইল ডিভাইসকে লক্ষ্য করার দীর্ঘ ইতিহাস রয়েছে উত্তর কোরীয় অপারেটরদের। উদাহরণস্বরূপ, গবেষকেরা এমন অ্যান্ড্রয়েড স্পাইওয়্যারের নথি প্রকাশ করেছেন, যা ইউটিলিটি বা নিরাপত্তা অ্যাপের ছদ্মবেশে অডিও ধারণ, স্ক্রিন ক্যাপচার এবং ফাইল বাইরে পাঠানোর সুবিধা দেয়। বর্তমান অভিযানটি আলাদা, কারণ এতে অ্যাকাউন্ট-ভিত্তিক ডিভাইস ব্যবস্থাপনার অপব্যবহার করে ফোন মুছে ফেলার পরপরই ডেস্কটপ মেসেঞ্জার সেশনে গিয়ে আরও ম্যালওয়্যার ছড়ানো হয়েছে। এই সমন্বয় একক কোনো ম্যালওয়্যার একা কাজ করার বদলে একাধিক প্ল্যাটফর্মে পরিণত সমন্বয়ের ইঙ্গিত দেয়।

ফাইন্ড হাবের অপব্যবহার কেন একটি মোড় পরিবর্তনকারী ঘটনা

বহু বছর ধরে উত্তর কোরিয়া-সংশ্লিষ্ট গোষ্ঠীগুলো নিজস্ব ম্যালওয়্যারের সঙ্গে চুরি করা লগইন তথ্য ও বৈধ টুল ব্যবহার করে আসছে। ফাইন্ড হাবের অপব্যবহার ঝুঁকি বাড়িয়েছে, কারণ এতে ভোক্তা-নিরাপত্তার একটি ফিচার দূর থেকে ফোন মুছে ফেলার ও মনোযোগ অন্যদিকে সরিয়ে দেওয়ার ব্যবস্থায় পরিণত হয়েছে। রিসেট ফোনকে অকার্যকর করে, গোয়েন্দাগিরির তথ্যের চিহ্ন মুছে দেয় এবং সবচেয়ে জরুরি সময়ে বিকল্প পথে আসা সতর্কবার্তাও বন্ধ করে দেয়। এতে লগইন করা ডেস্কটপ সেশন ব্যবহার করে দ্রুত ম্যালওয়্যার ছড়ানোর সুযোগ তৈরি হয়।

এই পদ্ধতি ঘটনার তদন্ত ও মোকাবিলাও জটিল করে তোলে। ফোনে থাকা কিছু টেলিমেট্রি ও প্রমাণ রিসেটের সঙ্গে মুছে যায়। সংশ্লিষ্ট কার্যকলাপ ডিভাইস, ক্লাউড অ্যাকাউন্ট ও ডেস্কটপ ক্লায়েন্টের মধ্যে ছড়িয়ে থাকে। ঘটনার ধারাবাহিকতা পুরোপুরি পুনর্গঠন করতে প্রতিরক্ষাকারীদের তিনটি জায়গা থেকেই তথ্য সংগ্রহ করতে হবে। জেনিয়ান্সের বিশ্লেষকেরা পদ্ধতিটিকে উত্তর কোরিয়া-সংশ্লিষ্ট উন্নত অভিযানের ক্ষেত্রে যুগান্তকারী বলে বর্ণনা করেছেন।

ঘটনাটি নিয়ে এক প্রতিবেদনে জেনিয়ান্স সিকিউরিটি সেন্টার লিখেছে:

ডিভাইস অকার্যকর করে দেওয়া এবং অ্যাকাউন্টের মাধ্যমে ম্যালওয়্যার ছড়ানোর এই সমন্বয় আগে পরিচিত রাষ্ট্র-সমর্থিত APT অভিযানের মধ্যে নজিরবিহীন।

ভুক্তভোগীদের ওপর প্রভাব ও ব্যক্তিগত ক্ষতি

অনুপ্রবেশকারীরা এলোমেলোভাবে লক্ষ্যবস্তু বাছেনি। তদন্তকারীদের মতে, উত্তর কোরিয়া থেকে পালিয়ে আসা শিক্ষার্থীদের সহায়তাকারী এক মনস্তাত্ত্বিক পরামর্শকের ফোন ৫ সেপ্টেম্বর রিসেট করা হয়। অল্প সময়ের মধ্যে পরামর্শকের কাকাওটক অ্যাকাউন্ট ব্যবহার করে ক্লায়েন্টদের কাছে স্ট্রেস কমানোর প্রোগ্রাম পরিচয়ে একটি ফাইল পাঠানো হয়। কয়েকজন প্রাপক ফাইলটি খুললে তাঁদের কম্পিউটার আক্রান্ত হয়। মেসেঞ্জার ও বার্তার বিষয়বস্তু—দুটিই বেছে নেওয়া হয়েছিল প্রাপকদের আস্থা ও জীবনের সঙ্গে তার প্রাসঙ্গিকতাকে কাজে লাগাতে।

দশ দিন পর উত্তর কোরিয়াবিষয়ক এক মানবাধিকারকর্মীরও একই ধরনের অভিজ্ঞতা হয়। ফাইন্ড হাবের মাধ্যমে তাঁর অ্যান্ড্রয়েড ডিভাইস দূর থেকে রিসেট করা হয়, এরপর তাঁর কাকাওটক অ্যাকাউন্ট থেকে ৩৬ জন পরিচিতির কাছে ক্ষতিকর ফাইল পাঠানো হয়। দুই ক্ষেত্রেই গুরুত্বপূর্ণ প্রথম কয়েক ঘণ্টায় ভুক্তভোগীদের ফোনে কল বা সতর্কবার্তা আসেনি। ফলে কোনো সমস্যা হয়েছে সন্দেহ করা পরিচিতদের সতর্কবার্তা পৌঁছাতে দেরি হয়।

কিছু ভুক্তভোগীর ক্ষেত্রে ফোন মুছে যাওয়ায় ছবি, নথি, পরিচিতির তথ্য ও কাজের ফাইল হারিয়ে যায়। আক্রান্ত পিসিতে ওয়েবক্যাম ও মাইক্রোফোন নিয়ন্ত্রণের সক্ষমতাসম্পন্ন ম্যালওয়্যার মডিউলও তদন্তকারীরা খুঁজে পেয়েছেন। এতে উদ্বেগ তৈরি হয়েছে যে রিসেটের নির্দেশ দেওয়ার আগে ভুক্তভোগীরা সশরীরে সেখানে আছেন কি না, তা যাচাই করতে ক্যামেরা ব্যবহার করা হয়ে থাকতে পারে। দক্ষিণ কোরিয়ায় উত্তর কোরিয়া থেকে পালিয়ে আসা মানুষ ও নাগরিক সমাজের সংগঠনগুলোর সঙ্গে কাজ করা ব্যক্তিরা আগে থেকেই বিশেষ ঝুঁকির মুখে রয়েছেন। এই অভিযান দেখায়, দৈনন্দিন ডিজিটাল জীবন কীভাবে তাঁদের বিরুদ্ধেই ব্যবহার করা যায়, যার ব্যক্তিগত ও পেশাগত মূল্য রয়েছে।

বিশেষজ্ঞ ও সরকারি প্রতিক্রিয়া

দক্ষিণ কোরিয়ার পুলিশ সেপ্টেম্বরের এই দুটি ঘটনা নিয়ে তদন্ত শুরু করেছে। বিশ্লেষকেরা বলেছেন, কোড ও কৌশল উত্তর কোরিয়া-সংশ্লিষ্ট গোষ্ঠীগুলোর সঙ্গে আগে যুক্ত করা ধাঁচের সঙ্গে মেলে। তদন্তকারীরা সম্ভাব্য লক্ষ্যবস্তুদের—পরামর্শক ও কর্মীদেরসহ—অ্যাকাউন্টে অনুপ্রবেশ হয়েছে কি না, তা জানতে ডেস্কটপ ও মোবাইল—দুই পরিবেশই পুঙ্খানুপুঙ্খভাবে পরীক্ষা করার আহ্বান জানিয়েছেন।

নিরাপত্তা দলগুলোর ভাষ্য, হামলাকারীদের অ্যান্ড্রয়েড বা ফাইন্ড হাবের প্রোগ্রামিং ত্রুটির প্রয়োজন হয়নি। তাদের দরকার ছিল বৈধ লগইন তথ্য ও বিশ্বস্ত অ্যাপে প্রবেশাধিকার। সংবেদনশীল কাজ, যেমন দূর থেকে রিসেটের ক্ষেত্রে, সেবাদাতাদের তাৎক্ষণিক যাচাইয়ের ধাপ যোগ করার পরামর্শ দিয়েছেন গবেষকেরা। অল্প সময়ের মধ্যে ডেস্কটপ ক্লায়েন্ট থেকে অনেক পরিচিতিকে এক্সিকিউটেবল ফাইল পাঠানোর চেষ্টা হলে মেসেঞ্জারগুলোকে আরও জোরালো সতর্কতা বা বিলম্বের ব্যবস্থা রাখার পরামর্শও দেওয়া হয়েছে।

গুগল ও কাকাওটক অ্যাকাউন্ট সুরক্ষিত রাখবেন যেভাবে

এই অভিযানে চুরি করা লগইন তথ্য, চালু থাকা ডেস্কটপ সেশন এবং ব্যবহারকারীদের সাধারণত বিশ্বস্ত মনে হওয়া ফিচার কাজে লাগানো হয়েছে। নিচের পদক্ষেপগুলো ঝুঁকি কমায় এবং অ্যাকাউন্টের অপব্যবহার কঠিন করে:

• আপনার গুগল অ্যাকাউন্টে দুই ধাপ যাচাইকরণ চালু করুন। পাসকি বা নিরাপত্তা কী ব্যবহার করাই ভালো। কর্মী ও সাংবাদিকদের মতো বেশি ঝুঁকিতে থাকা ব্যক্তিদের গুগলের অ্যাডভান্সড প্রোটেকশন প্রোগ্রামে যোগ দেওয়া উচিত।
• গুগল অ্যাকাউন্টের সেটিংস খুলে সিকিউরিটি চেকআপ চালান। অপরিচিত ডিভাইস ও সেশন সরিয়ে দিন। চিনতে পারছেন না—এমন তৃতীয় পক্ষের প্রবেশাধিকার বাতিল করুন। পুনরুদ্ধারের ফোন নম্বর ও ইমেইল যাচাই করুন।
• আপনার অ্যাকাউন্টের সঙ্গে যুক্ত ডিভাইসের তালিকা দেখতে ফাইন্ড হাব বা ফাইন্ড মাই ডিভাইসের সেটিংস পরীক্ষা করুন। প্রতিটি ডিভাইস আপনার পরিচিত কি না নিশ্চিত করুন। প্রতিটি ডিভাইস শক্তিশালী পিন দিয়ে লক আছে এবং দূর থেকে রিসেট করতে আপনার পরিচয় যাচাই লাগে, তা নিশ্চিত করুন।
• ইমেইলের নিরাপত্তা যাচাই করুন। জিমেইলে সন্দেহজনক ফিল্টার, ফরওয়ার্ডিং নিয়ম বা অন্যকে দেওয়া প্রবেশাধিকার খুঁজুন। হামলাকারীরা কখনো কখনো সতর্কবার্তা আড়াল করতে নিয়ম যোগ করে।
• সবার ব্যবহারের বা অনিয়ন্ত্রিত পিসিতে ব্রাউজারে পাসওয়ার্ড সংরক্ষণ এড়িয়ে চলুন। প্রধান পাসওয়ার্ড বা নিরাপত্তা কী দিয়ে লক করা যায়—এমন স্বনামধন্য পাসওয়ার্ড ম্যানেজার ব্যবহার করুন।
• অ্যান্ড্রয়েড, উইন্ডোজ, ম্যাকওএস ও কাকাওটক হালনাগাদ রাখুন। আপনার অ্যাকাউন্টে কোন কোন পিসিতে কাকাওটক লগইন করা আছে, সেটিংস দেখে নিন এবং অপরিচিতগুলো থেকে সাইন আউট করুন।
• অপ্রত্যাশিত ফাইল বা অ্যাপ ইনস্টলার সম্পর্কে সতর্ক থাকুন, এমনকি তা পরিচিত কারও কাছ থেকে এলেও। কোনো ফাইল খোলার আগে আলাদা মাধ্যমে প্রেরককে ফোন করে নিশ্চিত হয়ে নিন।
• গুরুত্বপূর্ণ ছবি ও নথির অফলাইন ব্যাকআপ রাখুন। ব্যবহার না করার সময় সংযোগ বিচ্ছিন্ন রাখা হলে রিসেটের ফলে বাইরের ব্যাকআপ মুছে যাবে না।
• লগইন সতর্কবার্তা চালু করুন এবং সেগুলো মনোযোগ দিয়ে পড়ুন। সন্দেহজনক সতর্কবার্তা পেলে তার লিংকে ক্লিক করবেন না। বরং নতুন ব্রাউজার সেশনে সরাসরি অ্যাকাউন্ট সেটিংসে গিয়ে কার্যকলাপ যাচাই করুন।

আপনাকে লক্ষ্যবস্তু করা হয়েছে বলে সন্দেহ হলে তাৎক্ষণিক করণীয়

• আপনার নিয়ন্ত্রণে থাকা নিরাপদ ডিভাইস থেকে গুগল ও কাকাওটকের পাসওয়ার্ড বদলান। এরপর দুই ধাপ যাচাইকরণ বা পাসকি চালু করুন।
• গুগল অ্যাকাউন্ট খুলে সাম্প্রতিক নিরাপত্তা-সংক্রান্ত ঘটনা দেখুন এবং অন্য সব সেশন থেকে সাইন আউট করুন। অপরিচিত অ্যাপের টোকেন বাতিল করুন।
• জিমেইলে অস্বাভাবিক ফিল্টার বা ফরওয়ার্ডিং নিয়ম সরিয়ে দিন। কাকাওটকে সব পিসি থেকে জোরপূর্বক সাইন আউট করুন এবং শুধু আপনার ব্যবহৃত পিসিগুলোতে আবার অনুমোদন দিন।
• আপনার ফোন রিসেট হয়ে থাকলে সেটিকে নতুন ডিভাইস হিসেবে বিবেচনা করুন। ব্যাকআপ থেকে তথ্য ফেরত আনার আগে অ্যাকাউন্টের পাসওয়ার্ড বদলান এবং পুনরুদ্ধারের তথ্য যাচাই করুন। শুধু বিশ্বস্ত ব্যাকআপ থেকে তথ্য ফেরত আনুন।
• পরিচিতদের সতর্ক করুন, আপনার নামে পাঠানো বার্তা ক্ষতিকর হতে পারে। তাঁরা যেন পাওয়া ফাইল না খোলেন এবং নিরাপত্তা পরীক্ষা চালান, তা বলুন।
• সম্ভব হলে প্রমাণ সংরক্ষণ করুন। পিসি মুছবেন না। সন্দেহজনক কার্যকলাপের লগের স্ক্রিনশট নিন, এরপর স্থানীয় সাইবার অপরাধ ইউনিট বা বিশ্বস্ত নিরাপত্তা দলের সঙ্গে যোগাযোগ করুন।

প্রতিষ্ঠানগুলোর এখন করণীয়

দক্ষিণ কোরিয়ায় কর্মী আছে, বা উত্তর কোরিয়া-সংশ্লিষ্ট কাজের সঙ্গে সম্পর্ক রয়েছে—এমন প্রতিষ্ঠানগুলোর ধরে নেওয়া উচিত যে তারা আকর্ষণীয় লক্ষ্যবস্তু। পরিচয় সুরক্ষা ও এন্ডপয়েন্ট পর্যবেক্ষণের সমন্বয়ে গড়া সুনির্দিষ্ট কর্মসূচি ঝুঁকি কমাবে এবং দ্রুত সাড়া দিতে সহায়তা করবে।

• সব গুগল ওয়ার্কস্পেস এবং পরিচয়-সেবা প্রদানকারীর অ্যাকাউন্টে মাল্টি-ফ্যাক্টর অথেনটিকেশন বাধ্যতামূলক করুন। পাসকি বা হার্ডওয়্যার নিরাপত্তা কীর মতো ফিশিং-প্রতিরোধী পদ্ধতি গ্রহণ করুন।
• ব্রাউজারের নিরাপত্তা জোরদার করুন এবং অনিয়ন্ত্রিত পরিবেশে পাসওয়ার্ড স্বয়ংক্রিয়ভাবে সংরক্ষণ বন্ধ করুন। কর্মীদের জন্য এন্টারপ্রাইজ-মানের পাসওয়ার্ড ম্যানেজার দিন।
• AutoIt লঞ্চার, MSI স্ক্রিপ্টের অপব্যবহার এবং Lilith RAT, Remcos RAT, Quasar RAT ও RftRAT-সহ পরিচিত RAT পরিবারের আচরণ শনাক্ত করার নিয়মসহ এন্ডপয়েন্ট ডিটেকশন অ্যান্ড রেসপন্স ব্যবস্থা চালু করুন।
• যেখানে সম্ভব, ইমেইল ও মেসেঞ্জার গেটওয়েতে বাইরের প্রেরকের এক্সিকিউটেবল সংযুক্তি ও MSI ইনস্টলার আটকে দিন বা কোয়ারেন্টিনে রাখুন।
• ব্যবহারকারীর অ্যাকাউন্টের সঙ্গে যুক্ত ডিভাইস-ব্যবস্থাপনা সেবার মাধ্যমে দূর থেকে রিসেট এবং বারবার অবস্থান যাচাইয়ের মতো সন্দেহজনক কাজের জন্য ক্লাউড অডিট লগ পর্যবেক্ষণ করুন।
• কর দপ্তরের নোটিশের মতো স্থানীয় প্রলোভনকে লক্ষ্য করে নিয়মিত ফিশিং অনুশীলন চালান। উত্তর কোরিয়া থেকে পালিয়ে আসা মানুষ ও কর্মীদের নিয়ে সংবেদনশীল কাজে যুক্ত কর্মীদের প্রয়োজনমতো তাৎক্ষণিক প্রশিক্ষণ দিন।
• অ্যাকাউন্ট দখলের ক্ষেত্রে দ্রুত সাড়া দেওয়ার নির্দেশিকা তৈরি করুন, যাতে গুগল অ্যাকাউন্ট, কাকাওটকের ডেস্কটপ ক্লায়েন্ট ও মোবাইল ডিভাইস রিসেটের বিষয়গুলো অন্তর্ভুক্ত থাকে। টেবিলটপ অনুশীলনের মাধ্যমে নির্দেশিকার মহড়া দিন।
• আপনাদের কর্মীদের কাছ থেকে এসেছে বলে মনে হয়—এমন সন্দেহজনক বার্তা ও ফাইল জানানোর জন্য যোগাযোগের একটি মাধ্যম তৈরি করুন। এ ধরনের অভিযোগকে উচ্চ অগ্রাধিকার দিন।

একনজরে

• তদন্তকারীরা দক্ষিণ কোরীয়দের লক্ষ্য করে চালানো নতুন এক অভিযানকে উত্তর কোরিয়া-সংশ্লিষ্ট কন্নি গোষ্ঠীর সঙ্গে যুক্ত করেছেন।
• হামলাকারীরা গুগলের লগইন তথ্য চুরি করে, ফাইন্ড হাবের মাধ্যমে অ্যান্ড্রয়েড ডিভাইসের অবস্থান শনাক্ত ও ফ্যাক্টরি রিসেট করে, এরপর কাকাওটকের ডেস্কটপ সেশনের অপব্যবহার করে পরিচিতদের মধ্যে ম্যালওয়্যার ছড়ায়।
• ঘটনাগুলোর মধ্যে ছিলেন উত্তর কোরিয়া থেকে পালিয়ে আসা শিক্ষার্থীদের এক পরামর্শক ও একজন মানবাধিকারকর্মী। এক ঘটনায় ৩০ জনের বেশি এবং আরেকটিতে ৩৬ জন পরিচিতির কাছে ম্যালওয়্যারযুক্ত বার্তা পাঠানো হয়।
• অভিযানে জাতীয় কর দপ্তরের পরিচয় নকল করে লক্ষ্যভিত্তিক ফিশিং, স্বাক্ষরযুক্ত MSI ইনস্টলার, AutoIt স্ক্রিপ্ট এবং Lilith RAT, Remcos RAT, Quasar RAT ও RftRAT-সহ দূরবর্তী প্রবেশের টুল ব্যবহার করা হয়।
• গবেষকেরা একে উত্তর কোরিয়া-সংশ্লিষ্ট কোনো অপারেটর চুরি করা গুগল অ্যাকাউন্ট ব্যবহার করে ফাইন্ড হাবের মাধ্যমে দূর থেকে ডিভাইসের নির্দেশ দিয়েছে—এমন প্রথম নিশ্চিত ঘটনা বলে অভিহিত করেছেন।
• গুগলের ভাষ্য, এ কর্মকাণ্ডে বৈধ অ্যাকাউন্ট ফিচার ও চুরি করা লগইনের অপব্যবহার হয়েছে; অ্যান্ড্রয়েড বা ফাইন্ড হাবের কোনো দুর্বলতা কাজে লাগানো হয়নি। প্রতিষ্ঠানটি দুই ধাপ যাচাইকরণ বা পাসকি ব্যবহারের পরামর্শ দিয়েছে।
• দক্ষিণ কোরিয়ার পুলিশ তদন্ত করছে। নিরাপত্তা দলগুলো পরিচয় সুরক্ষা জোরদার, ডিভাইসের নিরাপত্তা বাড়ানো এবং মেসেঞ্জারে পাওয়া ফাইল যাচাই করে খোলার পরামর্শ দিয়েছে।
• উচ্চ ঝুঁকিতে থাকা ব্যবহারকারীদের অ্যাডভান্সড প্রোটেকশনে যোগ দেওয়া, গুগল ও কাকাওটকে লগইন করা ডিভাইস যাচাই করা এবং রিসেটের ক্ষতি কমাতে অফলাইন ব্যাকআপ রাখার পরামর্শ দেওয়া হয়েছে।