मडलिंग मीरकैट एपीटी

मडलिंग मीरकैट नाम का एक अज्ञात साइबर खतरा सामने आया है, जो अक्टूबर 2019 से परिष्कृत डोमेन नेम सिस्टम (DNS) गतिविधियों में संलग्न है। यह सुरक्षा उपायों से बचने और वैश्विक नेटवर्क से खुफिया जानकारी इकट्ठा करने की संभावना है।

शोधकर्ताओं का मानना है कि यह खतरा पीपुल्स रिपब्लिक ऑफ चाइना (पीआरसी) से जुड़ा है और उन्हें संदेह है कि इस अभिनेता का ग्रेट फायरवॉल (जीएफडब्ल्यू) पर नियंत्रण है, जिसका उपयोग विदेशी वेबसाइटों को सेंसर करने और इंटरनेट ट्रैफिक में हेरफेर करने के लिए किया जाता है।

हैकर समूह का नाम उनके कार्यों की जटिल और भ्रामक प्रकृति को दर्शाता है, जिसमें चीनी आईपी पतों से अनुरोध भेजने के लिए DNS ओपन रिज़ॉल्वर (सर्वर जो किसी भी आईपी पते से क्वेरी स्वीकार करते हैं) का दुरुपयोग भी शामिल है।

अन्य हैकर समूहों की तुलना में साइबर अपराधी असामान्य विशेषताएं प्रदर्शित करते हैं

मडलिंग मीरकैट DNS की एक परिष्कृत समझ को प्रदर्शित करता है जो आज खतरे पैदा करने वाले अभिनेताओं के बीच असामान्य है - स्पष्ट रूप से इंगित करता है कि DNS विरोधियों द्वारा उपयोग किया जाने वाला एक शक्तिशाली हथियार है। अधिक विशेष रूप से, यह मेल एक्सचेंज (MX) और अन्य रिकॉर्ड प्रकारों के लिए DNS क्वेरी को उन डोमेन पर ट्रिगर करने पर जोर देता है जो अभिनेता के स्वामित्व में नहीं हैं, लेकिन जो .com और .org जैसे प्रसिद्ध शीर्ष-स्तरीय डोमेन के अंतर्गत रहते हैं।

शोधकर्ताओं ने ग्राहक उपकरणों द्वारा अपने पुनरावर्ती रिज़ॉल्वर को भेजे गए अनुरोधों को रिकॉर्ड किया है, उन्होंने कहा कि उन्होंने 20 से अधिक ऐसे डोमेन का पता लगाया है, जिनमें से कुछ उदाहरण इस प्रकार हैं:

4u[.]com, kb[.]com, oao[.]com, od[.]com, boxi[.]com, zc[.]com, f4[.]com, b6[.]com, p3z[.]com, ob[.]com, eg[.]com, kok[.]com, gogo[.]com, aoa[.]com, gogo[.]com, id[.]com, mv[.]com, nef[.]com, ntl[.]com, tv[.]com, 7ee[.]com, gb[.]com, q29[.]org, ni[.]com, tt[.]com, pr[.]com, dec[.]com

मडलिंग मीरकैट ग्रेट फायरवॉल से एक खास तरह का नकली DNS MX रिकॉर्ड प्राप्त करता है, जिसे पहले कभी नहीं देखा गया है। ऐसा होने के लिए, मडलिंग मीरकैट का GFW ऑपरेटरों के साथ संबंध होना चाहिए। लक्ष्य डोमेन वे डोमेन हैं जिनका उपयोग क्वेरी में किया जाता है, इसलिए जरूरी नहीं कि वे किसी हमले का लक्ष्य हों। यह वह डोमेन है जिसका उपयोग जांच हमले को अंजाम देने के लिए किया जाता है। ये डोमेन मडलिंग मीरकैट के स्वामित्व में नहीं हैं।

चीन की महान फ़ायरवॉल कैसे काम करती है?

ग्रेट फ़ायरवॉल (GFW) DNS प्रतिक्रियाओं में हेरफेर करने के लिए DNS स्पूफिंग और छेड़छाड़ तकनीकों का उपयोग करता है। जब किसी उपयोगकर्ता का अनुरोध किसी प्रतिबंधित कीवर्ड या डोमेन से मेल खाता है, तो GFW यादृच्छिक वास्तविक IP पते वाले नकली DNS प्रतिक्रियाओं को इंजेक्ट करता है।

सरल शब्दों में, यदि कोई उपयोगकर्ता किसी अवरुद्ध कीवर्ड या डोमेन तक पहुँचने का प्रयास करता है, तो GFW क्वेरी को अवरुद्ध या पुनर्निर्देशित करके पहुँच को रोकने के लिए हस्तक्षेप करता है। यह हस्तक्षेप DNS कैश पॉइज़निंग या IP एड्रेस ब्लॉकिंग जैसे तरीकों से हासिल किया जाता है।

इस प्रक्रिया में GFW द्वारा ब्लॉक की गई वेबसाइट्स पर क्वेरीज़ का पता लगाना और गलत IP पते या अलग-अलग डोमेन पर ले जाने वाले IP युक्त नकली DNS उत्तरों के साथ जवाब देना शामिल है। यह क्रिया प्रभावी रूप से अपने अधिकार क्षेत्र के भीतर पुनरावर्ती DNS सर्वर के कैश को बाधित करती है।

यह उलझन भरा मीरकैट संभवतः एक चीनी राष्ट्र-राज्य खतरा अभिनेता है

मडलिंग मीर्कैट की सबसे प्रमुख विशेषता यह है कि इसमें चीनी आईपी पतों से उत्पन्न झूठे एमएक्स रिकॉर्ड प्रतिक्रियाओं का उपयोग किया जाता है, जो कि विशिष्ट ग्रेट फायरवॉल (जीएफडब्लू) व्यवहार से अलग है।

ये प्रतिक्रियाएँ चीनी IP पतों से आती हैं जो आम तौर पर DNS सेवाओं की मेजबानी नहीं करते हैं और इनमें GFW प्रथाओं के अनुरूप गलत जानकारी होती है। हालाँकि, GFW के ज्ञात तरीकों के विपरीत, मडलिंग मीरकैट की प्रतिक्रियाओं में IPv4 पतों के बजाय उचित रूप से स्वरूपित MX संसाधन रिकॉर्ड शामिल हैं।

कई वर्षों से चल रही इस गतिविधि के पीछे का सटीक उद्देश्य अभी भी अस्पष्ट है, हालांकि इससे इंटरनेट मानचित्रण या संबंधित अनुसंधान में संभावित संलिप्तता का संकेत मिलता है।

मडलिंग मीरकैट, जिसे एक चीनी सरकारी अभिनेता से संबद्ध माना जाता है, लगभग हर दिन वैश्विक नेटवर्क के विरुद्ध जानबूझकर और परिष्कृत DNS ऑपरेशन करता है, तथा उनकी गतिविधियां विभिन्न स्थानों तक फैली होती हैं।

DNS गतिविधियों को समझने की तुलना में मैलवेयर को समझना और उसका पता लगाना ज़्यादा आसान है। जबकि शोधकर्ता पहचानते हैं कि कुछ हो रहा है, पूरी समझ उनके लिए मुश्किल है। CISA, FBI और अन्य एजेंसियाँ चीनी गतिविधियों के बारे में लगातार चेतावनी दे रही हैं।