← ब्लॉग पर वापस

GlassWorm ने चुराए गए GitHub टोकन्स के ज़रिए Python रिपॉज़ हाईजैक किए, Stryker वाइपर अटैक ने हज़ारों को प्रभावित किया, CISA ने Wing FTP ज़ीरो-डे फ़्लैग किया, Oracle EBS हैक का विस्तार

GlassWorm ForceMemo कैंपेन चुराए गए GitHub टोकन्स का हथियार के रूप में उपयोग करके सैकड़ों Python रिपॉज़िटरीज़ में मैलवेयर इंजेक्ट करता है। Stryker को एक विनाशकारी वाइपर अटैक का सामना करना पड़ा जिसने दूर से हज़ारों एम्प्लॉई डिवाइस मिटा दिए। CISA ने Wing FTP Server ख़ामी को सक्रिय रूप से शोषित के रूप में KEV में जोड़ा। Oracle EBS ब्रीच से चार कॉर्पोरेट दिग्गज अभी भी चुप हैं। UK Companies House ने महीनों-लंबे डेटा एक्सपोज़र की पुष्टि की। साथ ही: DRILLAPP बैकडोर Microsoft Edge के ज़रिए यूक्रेन को निशाना बनाता है, ClickFix कैंपेन MacSync macOS स्टीलर फैलाते हैं, और SEO पॉइज़निंग के ज़रिए VPN क्रेडेंशियल चोरी।

---

🐍 GlassWorm ForceMemo: चुराए गए GitHub टोकन्स Python रिपॉज़िटरीज़ को हथियार बनाते हैं

GlassWorm कैंपेन, जिसे मूल रूप से एक VS Code एक्सटेंशन कॉम्प्रोमाइज़ के रूप में ट्रैक किया गया था, ने एक ख़तरनाक नया ऑफ़शूट जन्मा है जिसे नाम दिया गया है ForceMemo StepSecurity शोधकर्ताओं द्वारा। हमलावर मूल GlassWorm कैंपेन में चुराए गए GitHub टोकन्स का लाभ उठाकर डेवलपर अकाउंट्स तक पहुँच बना रहे हैं और वैध Python रिपॉज़िटरीज़ में मैलिशियस कोड इंजेक्ट कर रहे हैं।

हमले की कार्यप्रणाली विशेष रूप से कपटपूर्ण है: हमलावर नवीनतम वैध कमिट्स को रीबेस करते हैं डिफ़ॉल्ट ब्रांच पर मैलिशियस कोड के साथ, फिर परिवर्तनों को फ़ोर्स-पुश करते हैं — महत्वपूर्ण रूप से मूल कमिट मैसेज, ऑथर, और ऑथर-डेट को संरक्षित रखते हुए। इसका मतलब है कि अपनी रिपॉज़िटरी हिस्ट्री की समीक्षा करने वाले डेवलपर्स को कुछ भी असामान्य नहीं दिखता। कमिट्स मूल विश्वसनीय योगदानकर्ताओं से आते प्रतीत होते हैं।

निशाना बनाई गई रिपॉज़िटरीज़ में शामिल हैं Django एप्लीकेशंस, ML रिसर्च कोड, Streamlit डैशबोर्ड्स, और PyPI पैकेजेस। मैलवेयर को सामान्य एंट्री पॉइंट्स में जोड़ा जाता है जैसे setup.py, main.py, और app.py। ऑब्फ़स्केटेड पेलोड एक्ज़ीक्यूशन पर सक्रिय होता है, पर्सिस्टेंस स्थापित करता है और क्रेडेंशियल्स एक्सफ़िल्ट्रेट करता है।

यह विशेष रूप से ख़तरनाक क्यों है

• सामान्य समीक्षा के लिए अदृश्य। संरक्षित मेटाडेटा वाले फ़ोर्स-पुश्ड कमिट्स को कैज़ुअल कोड-रिव्यू या GitHub के वेब इंटरफ़ेस के ज़रिए पहचानना लगभग असंभव है।
• जोखिम में ML/AI रिपॉज़िटरीज़। मशीन-लर्निंग रिसर्च कोड को अक्सर बिना कठोर सिक्योरिटी समीक्षा के क्लोन और चलाया जाता है। EU AI Act के तहत, AI सिस्टम्स डिप्लॉय करने वाले संगठनों को सॉफ़्टवेयर सप्लाई-चेन इंटीग्रिटी सुनिश्चित करनी होगी।
• PyPI पैकेजेस ब्लास्ट-रेडियस को बढ़ाते हैं। यदि कॉम्प्रोमाइज़्ड रिपॉज़िटरीज़ को PyPI पैकेजेस के रूप में प्रकाशित किया जाता है, तो मैलवेयर हर डाउनस्ट्रीम उपभोक्ता तक फैल जाता है।
• NIS2 थर्ड-पार्टी दायित्व। क्रिटिकल इंफ्रास्ट्रक्चर में ओपन-सोर्स Python डिपेंडेंसीज़ का उपयोग करने वाले संगठनों को अब यह सत्यापित करना होगा कि उनकी रिपॉज़िटरीज़ ForceMemo द्वारा कॉम्प्रोमाइज़्ड नहीं हुई हैं।

---

🏥 Stryker वाइपर अटैक दूर से हज़ारों डिवाइसेस को मिटाता है

Stryker Corporation, जो $20B+ वार्षिक रेवेन्यू वाली दुनिया की सबसे बड़ी मेडिकल टेक्नोलॉजी कंपनियों में से एक है, ने ख़ुलासा किया है कि पिछले सप्ताह के साइबरअटैक के परिणामस्वरूप हज़ारों एम्प्लॉई डिवाइसेस की रिमोट वाइपिंग हुई। एक ऐसे मोड़ में जिसे सिक्योरिटी शोधकर्ता तेज़ी से आम पाते जा रहे हैं, हमलावरों ने कोई पारंपरिक मैलवेयर डिप्लॉय नहीं किया — इसके बजाय, उन्होंने दुरुपयोग किया वैध Microsoft मैनेजमेंट टूल्स का जो Stryker के एनवायरनमेंट में पहले से मौजूद थे, ताकि डिवाइसेस को दूर से मिटाया जा सके।

विनाशकारी हमलों के प्रति यह "लिविंग ऑफ़ द लैंड" दृष्टिकोण परिष्कृत थ्रेट-एक्टर्स की पहचान बनता जा रहा है। ऐसे टूल्स का उपयोग करके जिन पर संगठन पहले से भरोसा करते हैं और जिन्हें व्हाइटलिस्ट करते हैं — Microsoft Intune, SCCM, या Azure AD डिवाइस-मैनेजमेंट — हमलावर एंडपॉइंट डिटेक्शन एंड रिस्पॉन्स (EDR) समाधानों से बचते हुए विनाशकारी ऑपरेशंस निष्पादित कर सकते हैं।

हमला Stryker के आंतरिक Microsoft एनवायरनमेंट तक सीमित रहा, और कंपनी ने कहा है कि कोई मरीज़-डेटा या मेडिकल-डिवाइस सिस्टम प्रभावित नहीं हुए। हालाँकि, एक वैश्विक एंटरप्राइज़ में हज़ारों एम्प्लॉई वर्कस्टेशन्स को मिटाने से होने वाला परिचालन व्यवधान बहुत बड़ा है — जो सप्लाई-चेन समन्वय, विनिर्माण संचालन, और कस्टमर सपोर्ट को प्रभावित करता है।

हेल्थकेयर और मेडिकल-डिवाइस सिक्योरिटी के लिए निहितार्थ

• NIS2 हेल्थकेयर को आवश्यक के रूप में वर्गीकृत करता है। Stryker का यूरोपीय परिचालन सीधे NIS2 की आवश्यक एंटिटीज़ श्रेणी के अंतर्गत आता है। इस पैमाने का एक वाइपर अटैक पहचान के 24 घंटों के भीतर अनिवार्य इंसिडेंट रिपोर्टिंग को ट्रिगर करता है।
• MDR डिवाइस सिक्योरिटी निहितार्थ। जबकि Stryker ने पुष्टि की कि मेडिकल डिवाइसेस प्रभावित नहीं हुए, EU Medical Device Regulation (MDR) निर्माताओं को अपने पूरे डिजिटल इकोसिस्टम में साइबर सिक्योरिटी रेज़िलिएंस प्रदर्शित करने की आवश्यकता देता है।
• लिविंग-ऑफ़-द-लैंड हमले पारंपरिक सिक्योरिटी को दरकिनार करते हैं। जो EDR समाधान Microsoft मैनेजमेंट टूल्स को व्हाइटलिस्ट करते हैं, वे उन्हीं टूल्स के दुरुपयोग का पता नहीं लगा सकते। संगठनों को प्रिविलेज्ड मैनेजमेंट ऑपरेशंस पर बिहेवियरल एनालिटिक्स और एनोमली डिटेक्शन की आवश्यकता है।
• हॉस्पिटल्स के लिए सप्लाई-चेन प्रभाव। Stryker वैश्विक रूप से सर्जिकल इंस्ट्रूमेंट्स, इम्प्लांट्स, और मेडिकल उपकरण सप्लाई करता है। Stryker में परिचालन व्यवधान हॉस्पिटल्स में सर्जरी में देरी और उपकरण की कमी में तब्दील हो सकता है।

---

📂 CISA ने Wing FTP Server ख़ामी को सक्रिय रूप से शोषित के रूप में फ़्लैग किया

Cybersecurity and Infrastructure Security Agency (CISA) ने एक जोड़ी है Wing FTP Server भेद्यता अपने Known Exploited Vulnerabilities कैटलॉग में, जो वाइल्ड में सक्रिय शोषण की पुष्टि करती है। Wing FTP Server एक लोकप्रिय क्रॉस-प्लेटफ़ॉर्म FTP सर्वर है जिसका उपयोग एंटरप्राइज़ेज़ सुरक्षित फ़ाइल-ट्रांसफ़र ऑपरेशंस के लिए करते हैं।

इस भेद्यता को अन्य ख़ामियों के साथ चेन किया जा सकता है ताकि हासिल किया जा सके रिमोट कोड एक्ज़ीक्यूशन, जो इसे उन संगठनों के लिए विशेष रूप से ख़तरनाक बनाता है जो FTP सेवाओं को इंटरनेट पर एक्सपोज़ करते हैं। CISA का Binding Operational Directive (BOD) 22-01 फ़ेडरल एजेंसियों को सख़्त समय-सीमाओं के भीतर KEV-सूचीबद्ध भेद्यताओं को पैच करने की आवश्यकता देता है।

हाल के वर्षों में फ़ाइल-ट्रांसफ़र सेवाएँ हमलावरों के लिए एक प्रमुख लक्ष्य बन गई हैं, MOVEit, GoAnywhere, और Accellion ब्रीचेस ने कॉम्प्रोमाइज़्ड फ़ाइल-ट्रांसफ़र इंफ्रास्ट्रक्चर के विनाशकारी परिणामों को प्रदर्शित किया है। Wing FTP Server अब निशाना बनाए गए फ़ाइल-ट्रांसफ़र प्लेटफ़ॉर्म्स की इस बढ़ती सूची में शामिल हो गया है।

रेगुलेटरी दबाव के तहत फ़ाइल-ट्रांसफ़र सिक्योरिटी

• NIS2 वल्नरेबिलिटी-मैनेजमेंट अनिवार्य करता है। क्रिटिकल इंफ्रास्ट्रक्चर या आवश्यक सेवाओं में Wing FTP Server का उपयोग करने वाले संगठनों को तुरंत पैच करना होगा और NIS2 की वल्नरेबिलिटी-हैंडलिंग आवश्यकताओं के तहत अपनी प्रतिक्रिया का दस्तावेज़ीकरण करना होगा।
• BSI को मार्गदर्शन जारी करना चाहिए। German Federal Office for Information Security (BSI) को जर्मन क्रिटिकल इंफ्रास्ट्रक्चर में Wing FTP Server के उपयोग का आकलन करना चाहिए और पैचिंग एडवाइज़री जारी करनी चाहिए।
• फ़ाइल-ट्रांसफ़र प्लेटफ़ॉर्म्स उच्च-मूल्य वाले लक्ष्य हैं। ये सिस्टम्स परिभाषा के अनुसार संगठनों के बीच स्थानांतरित हो रहे संवेदनशील डेटा को संभालते हैं। एक कॉम्प्रोमाइज़ ट्रांज़िट में डेटा तक पहुँच देता है — अक्सर एन्क्रिप्शन-एट-रेस्ट सुरक्षा को दरकिनार करते हुए।

---

🏢 Oracle EBS हैक: चार कॉर्पोरेट दिग्गज अभी भी चुप

हाल के हफ़्तों में सामने आया Oracle E-Business Suite ब्रीच एंटरप्राइज़ IT में लगातार झटके भेज रहा है। जबकि अधिकांश प्रभावित संगठनों ने अब प्रभाव की पुष्टि या इनकार करते हुए सार्वजनिक बयान जारी किए हैं, चार प्रमुख कॉर्पोरेशन चुप हैं: Broadcom (सेमीकंडक्टर दिग्गज), Bechtel (ग्लोबल इंजीनियरिंग), Estée Lauder (कॉस्मेटिक्स कॉन्ग्लोमरेट), और Abbott Technologies (मेडिकल डिवाइसेस)।

Oracle EBS एक व्यापक ERP सिस्टम है जो फाइनेंशियल्स, सप्लाई चेन, HR, और मैन्युफ़ैक्चरिंग ऑपरेशंस को संभालता है। EBS का ब्रीच संभावित रूप से उजागर करता है वित्तीय रिकॉर्ड्स, एम्प्लॉई डेटा, सप्लायर जानकारी, और मैन्युफ़ैक्चरिंग रहस्यों को। इन चार कंपनियों की चुप्पी उनके रेगुलेटरी दायित्वों को देखते हुए विशेष रूप से चिंताजनक है।

चुप्पी के रेगुलेटरी निहितार्थ

• GDPR को 72-घंटे की नोटिफ़िकेशन की आवश्यकता है। यदि EU व्यक्तिगत डेटा उजागर हुआ था, तो प्रभावित कंपनियों को जानकारी होने के 72 घंटों के भीतर सुपरवाइज़री अथॉरिटीज़ को सूचित करना होगा। लंबी चुप्पी कंप्लायंस पर सवाल उठाती है।
• NIS2 इंसिडेंट रिपोर्टिंग। NIS2-रेगुलेटेड सेक्टरों में काम करने वाली कंपनियाँ (डिजिटल इंफ्रास्ट्रक्चर में Broadcom, हेल्थकेयर में Abbott) को अनिवार्य 24-घंटे अर्ली-वार्निंग और 72-घंटे इंसिडेंट-नोटिफ़िकेशन आवश्यकताओं का सामना करना पड़ता है।
• फाइनेंशियल सिस्टम्स के लिए SOX कंप्लायंस। Oracle EBS Sarbanes-Oxley के अधीन वित्तीय डेटा को संभालता है। फाइनेंशियल ERP सिस्टम्स के ब्रीच के लिए SEC फ़ाइलिंग्स में डिस्क्लोज़र आवश्यक हो सकता है।
• सप्लाई-चेन एक्सपोज़र। इनमें से प्रत्येक कंपनी के हज़ारों सप्लायर्स और पार्टनर्स हैं जिनका डेटा कॉम्प्रोमाइज़्ड EBS इंस्टेंसेज़ में मौजूद हो सकता है।

---

🇬🇧 UK Companies House ने महीनों-लंबे डेटा एक्सपोज़र की पुष्टि की

Companies House, वह ब्रिटिश सरकारी एजेंसी जो सभी UK कंपनियों की रजिस्ट्री संचालित करती है, ने पुष्टि की है कि उसकी WebFiling सेवा ने एक सिक्योरिटी ख़ामी के कारण बिज़नेस डेटा उजागर किया, जो बनी रही अक्टूबर 2025 से। भेद्यता को ठीक करने के लिए सेवा को शुक्रवार को ऑफ़लाइन किया गया था और तब से इसे बहाल कर दिया गया है।

कंपनी रजिस्ट्रेशन डेटा — जिसमें डायरेक्टर विवरण, रजिस्टर्ड पते, और फ़ाइलिंग जानकारी शामिल है — का महीनों-लंबा एक्सपोज़र एक महत्वपूर्ण सरकारी डेटा-प्रोटेक्शन विफलता का प्रतिनिधित्व करता है। जबकि कंपनी रजिस्ट्रेशन डेटा काफ़ी हद तक सार्वजनिक है, इस ख़ामी ने अतिरिक्त जानकारी उजागर की हो सकती है जो सार्वजनिक पहुँच के लिए नहीं थी, और लंबी टाइमलाइन सरकारी डिजिटल सेवाओं में भेद्यता-पहचान क्षमताओं पर गंभीर सवाल उठाती है।

---

🇺🇦 DRILLAPP बैकडोर Microsoft Edge डीबगिंग के ज़रिए यूक्रेन को निशाना बनाता है

यूक्रेनी एंटिटीज़ को रूसी थ्रेट-एक्टर्स से जुड़े एक नए कैंपेन द्वारा निशाना बनाया जा रहा है, जो एक JavaScript-आधारित बैकडोर डिप्लॉय करता है जिसे नाम दिया गया है DRILLAPP। इस कैंपेन का श्रेय Laundry Bear (UAC-0190/Void Blizzard) को दिया गया है, जो बैकडोर डिप्लॉय करने के लिए न्यायिक और चैरिटी-थीम वाले लालच का उपयोग करता है Microsoft Edge ब्राउज़र डीबगिंग फ़ीचर्स के ज़रिए।

DRILLAPP फ़ाइलें अपलोड और डाउनलोड करने, माइक्रोफ़ोन ऑडियो कैप्चर करने, और वेबकैम इमेजेस लेने में सक्षम है — सभी वेब ब्राउज़र की बिल्ट-इन क्षमताओं का लाभ उठाते हुए। Edge के डीबगिंग इंटरफ़ेस के ज़रिए चलकर, मैलवेयर उस पारंपरिक एंडपॉइंट डिटेक्शन से बचता है जो एक्ज़ीक्यूटेबल फ़ाइलों और सिस्टम कॉल्स की निगरानी करता है।

कैंपेन के दो संस्करण पहचाने गए हैं: पहला Windows शॉर्टकट (LNK) फ़ाइलों का उपयोग करता है, और एक परिष्कृत संस्करण HTML एप्लीकेशन (HTA) फ़ाइलों का उपयोग करता है। पर्सिस्टेंस और C2 तंत्र के रूप में ब्राउज़र-डीबगिंग का उपयोग जासूसी टूलिंग में एक विकास का प्रतिनिधित्व करता है।

---

🍎 ClickFix कैंपेन MacSync macOS स्टीलर फैलाते हैं

तीन अलग ClickFix कैंपेन वितरित कर रहे हैं MacSync macOS इन्फ़ॉर्मेशन-स्टीलर को फ़र्ज़ी AI टूल इंस्टॉलर्स के ज़रिए। ये कैंपेन पूरी तरह से सोशल इंजीनियरिंग पर निर्भर हैं — यूज़र्स को ऑब्फ़स्केटेड टर्मिनल कमांड्स को कॉपी और एक्ज़ीक्यूट करने के लिए धोखा देते हुए — जो उन्हें ग़ैर-तकनीकी यूज़र्स के विरुद्ध विशेष रूप से प्रभावी बनाता है।

Sophos शोधकर्ताओं द्वारा पहचाने गए प्रमुख कैंपेन:

• नवंबर 2025: स्पॉन्सर्ड Google सर्च रिज़ल्ट्स के ज़रिए फ़र्ज़ी "OpenAI Atlas" ब्राउज़र बेट, यूज़र्स को फ़र्ज़ी Google Sites पेजेस पर निर्देशित करते हुए।
• बाद के कैंपेन: AI एप्लीकेशंस में यूज़र दिलचस्पी का शोषण करने के लिए AI-टूल थीम्स का उपयोग करने वाले समान लालच।

ClickFix तकनीक — यूज़र्स को स्वेच्छा से मैलिशियस कमांड्स एक्ज़ीक्यूट करवाना — सभी पारंपरिक सिक्योरिटी नियंत्रणों को दरकिनार करती है क्योंकि यूज़र स्वयं कार्रवाई शुरू करता है। इस सोशल-इंजीनियरिंग दृष्टिकोण को Jamf Threat Labs द्वारा एक उभरते macOS थ्रेट वेक्टर के रूप में फ़्लैग किया गया है।

---

🔐 VPN क्रेडेंशियल-चोरी कैंपेन एंटरप्राइज़ यूज़र्स को निशाना बनाता है

Microsoft ने थ्रेट-एक्टर की पहचान की है Storm-2561 जो SEO पॉइज़निंग तकनीकों के ज़रिए फ़र्ज़ी VPN क्लाइंट्स वितरित कर रहा है। यह कैंपेन एंटरप्राइज़ लॉगिन क्रेडेंशियल्स चुराने के लिए वैध VPN एप्लीकेशंस के रूप में छिपे ट्रोजन्स डिप्लॉय करता है।

लोकप्रिय VPN क्लाइंट्स के लिए सर्च-इंजन रिज़ल्ट्स को पॉइज़न करके, हमलावर VPN सॉफ़्टवेयर खोज रहे यूज़र्स को निशाना बनाते हैं — अक्सर कॉर्पोरेट नेटवर्क्स तक एक्सेस सेटअप कर रहे रिमोट वर्कर्स। फ़र्ज़ी क्लाइंट्स क्रेडेंशियल-चुराने वाले मैलवेयर के साथ फ़ंक्शनल VPN सॉफ़्टवेयर इंस्टॉल करते हैं, जिससे कॉम्प्रोमाइज़ का पता लगाना मुश्किल हो जाता है।

---

📊 क्विक हिट्स

• HPE AOS-CX क्रिटिकल भेद्यता: HPE Aruba AOS-CX नेटवर्क स्विच में एक क्रिटिकल ख़ामी अनऑथेंटिकेटेड रिमोट एडमिन पासवर्ड रीसेट की अनुमति देती है। यदि AOS-CX इंफ्रास्ट्रक्चर चला रहे हैं तो तुरंत पैच करें।
• Microsoft Exchange Online आउटेज: Exchange Online में एक आउटेज हुआ जिसने मेलबॉक्स और कैलेंडर एक्सेस को ब्लॉक कर दिया। हालाँकि यह कोई सिक्योरिटी इंसिडेंट नहीं है, यह क्लाउड ईमेल इंफ्रास्ट्रक्चर पर निर्भरता के जोखिमों को रेखांकित करता है।
• ईरान-लिंक्ड हैकर्स टार्गेटिंग का विस्तार करते हैं: चल रहे क्षेत्रीय संघर्ष के दौरान, प्रो-ईरानी हैकर ग्रुप्स मिडिल-ईस्टर्न लक्ष्यों से आगे US डिफ़ेंस कॉन्ट्रैक्टर्स, पावर स्टेशंस, और वॉटर प्लांट्स तक अपना ऑपरेशन फैला रहे हैं।
• सिक्योरिटी फ़र्म एग्ज़ीक्यूटिव फ़िश्ड: एक परिष्कृत फ़िशिंग हमले ने DKIM-साइन्ड ईमेल्स, विश्वसनीय रीडायरेक्ट इंफ्रास्ट्रक्चर, और Cloudflare-प्रोटेक्टेड फ़िशिंग पेजेस का उपयोग करके एक सिक्योरिटी फ़र्म एग्ज़ीक्यूटिव को निशाना बनाया — यह साबित करते हुए कि सिक्योरिटी प्रोफ़ेशनल्स भी अछूते नहीं हैं।
• Starbucks एम्प्लॉई डेटा ब्रीच: Starbucks एम्प्लॉई पोर्टल को निशाना बनाने वाले फ़िशिंग हमलों ने सैकड़ों एम्प्लॉइज़ के व्यक्तिगत डेटा को प्रभावित किया है।
• Loblaw कस्टमर डेटा ब्रीच: कनाडाई ग्रॉसरी दिग्गज Loblaw ने पुष्टि की कि हैकर्स ने कस्टमर के नाम, ईमेल पते, और फ़ोन नंबर्स तक पहुँच बनाई।
• Betterleaks ओपन-सोर्स स्कैनर: Betterleaks नामक एक नया ओपन-सोर्स सीक्रेट्स स्कैनर कस्टमाइज़ेबल रूल्स का उपयोग करके बेहतर डिटेक्शन के साथ Gitleaks को रिप्लेस करने का लक्ष्य रखता है।

---

द्वारा प्रकाशित KENSAI Threat Intelligence Team · 17 मार्च 2026
स्रोत: The Hacker News, BleepingComputer, SecurityWeek, StepSecurity, CISA, Sophos, S2 Grupo, Microsoft