Human-Verified AI-Assisted Evidence Interpretation in Comparative Malware Analysis: WhiteSnake, Donex, and Emotet Samples
यह शोध पत्र एक पृथक (isolated) FLARE VM वातावरण के भीतर WhiteSnake, Donex, और Emotet मालवेयर नमूनों के स्टेटिक और डायनेमिक विश्लेषण की व्याख्या करने के लिए एक मानव-सत्यापित, AI-सहायता प्राप्त वर्कफ़्लो प्रस्तुत करता है, जिसमें विशिष्ट व्यवहार संबंधी संकेतकों की पहचान करने के लिए आर्काइव किए गए स्नातक प्रोजेक्ट डेटा का उपयोग किया गया है, जबकि अनकन्फर्म्ड एक्सफिल्ट्रेशन (unconfirmed exfiltration), एन्क्रिप्शन और स्थिर प्रक्रिया कैप्चर (stable process capture) के संबंध में सीमाओं को स्पष्ट रूप से नोट किया गया है।
मूल पेपर CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
डिजिटल दुनिया में, दुर्भावनापूर्ण सॉफ़्टवेयर (मालवेयर) एक चुपके से घुसने वाले घुसपैठिये की तरह काम करता है, जो कंप्यूटर में घुसकर रहस्य चुराने, फाइलों को लॉक करने या आगे के हमलों के लिए सिस्टम पर कब्जा करने के लिए प्रवेश करता है। इन घुसपैठियों को रोकने के लिए, सुरक्षा विशेषज्ञों को यह समझना होगा कि वे वास्तव में कैसे काम करते हैं। इसके लिए एक सावधानीपूर्वक दो-चरणीय प्रक्रिया की आवश्यकता होती है: पहला, कोड को बिना चलाए देखना कि वह किन उपकरणों से लैस है, और दूसरा, यह देखना कि जब उसे एक सुरक्षित, अलग कमरे में चलाने की अनुमति दी जाती है, तो वह वास्तव में क्या करता है। चुनौती यह बताने में निहित है कि सॉफ़्टवेयर के कोड के आधार पर वह क्या कर सकता है और उसने एक विशिष्ट परीक्षण के दौरान वास्तव में क्या किया। यदि कोई विशेषज्ञ किसी संदिग्ध की जेब में ताला तोड़ने का औज़ार देखता है, तो वह जानता है कि संदिग्ध के पास अंदर घुसने की क्षमता है, लेकिन वह तब तक सुनिश्चित नहीं हो सकता कि कोई सेंधमारी हुई है जब तक कि वह दरवाजे को खुलते हुए न देख ले। यह अंतर सटीक रक्षा प्रणाली बनाने के लिए महत्वपूर्ण है, फिर भी अक्सर रिपोर्टों में जब संभावित क्षमताओं को पुष्ट कार्यों के साथ मिला दिया जाता है, तो यह धुंधला हो जाता है।
एक शोधकर्ता ने इस समस्या का समाधान करने के लिए तीन अलग-अलग प्रकार के मालवेयर का परीक्षण किया: एक जो पासवर्ड चुराने के लिए बनाया गया था, एक जिसका उद्देश्य फिरौती के लिए फाइलों को एन्क्रिप्ट करना था, और एक जो अन्य खतरों को लाने के लिए एक लोडर के रूप में कार्य करता है। उन्होंने शून्य से नए प्रयोग नहीं बनाए; इसके बजाय, उन्होंने 2025 में स्नातक छात्रों द्वारा पूर्ण किए गए एक विस्तृत प्रोजेक्ट का पुनरावलोकन किया। शोधकर्ता ने मूल छात्र लॉग, स्क्रीनशॉट और डेटा को एक ऐतिहासिक रिकॉर्ड के रूप में ऑडिट किया। उनका लक्ष्य विश्लेषण की एक नई पद्धति लागू करना था जो मानवीय विशेषज्ञता को कृत्रिम बुद्धिमत्ता (AI) के साथ जोड़कर साक्ष्यों को व्यवस्थित करती है। AI एक शक्तिशाली सहायक के रूप में कार्य कर रहा था, जो हजारों डेटा बिंदुओं को व्यवस्थित कर रहा था और संभावित व्याख्याओं का सुझाव दे रहा था, लेकिन इसने कभी अंतिम निर्णय नहीं लिया। प्रत्येक निष्कर्ष की जांच और सत्यापन एक मानव विश्लेषक द्वारा किया गया था ताकि यह सुनिश्चित किया जा सके कि किसी भी अनुमान को तथ्य न मान लिया जाए।
पहला नमूना, जिसे व्हाइटस्नेक (WhiteSnake) के रूप में जाना जाता था, एक ऐसा प्रोग्राम था जिसे एक विशिष्ट तकनीक के साथ बनाया गया था जिसने इसे कई अलग-अलग कंप्यूटर सिस्टम पर चलने की अनुमति दी। जब शोधकर्ता ने इसके कोड की जांच की, तो उन्होंने पाया कि यह अत्यधिक छद्म रूप (obfuscation) में था, एक ऐसी तकनीक जो निर्देशों को पढ़ने में कठिन बनाती है। अधिक महत्वपूर्ण बात यह है कि कोड में वर्चुअल मशीनों और सैंडबॉक्स वातावरण से संबंधित शब्दों की एक लंबी सूची थी, जैसे कि "vmware" और "vbox"। इससे यह संकेत मिलता था कि प्रोग्राम को यह जांचने के लिए डिज़ाइन किया गया था कि क्या वह एक सुरक्षित परीक्षण कक्ष में चल रहा है और यदि उसे सुरक्षित वातावरण का पता चलता है, तो वह खुद को रोक देता है। जब प्रोग्राम को अलग प्रयोगशाला में चलाया गया, तो इसने नेटवर्क के माध्यम से संपर्क करने की कोशिश की, विशेष रूप से एक मैसेजिंग सेवा के साथ कनेक्शन खोजने की कोशिश की। हालांकि, क्योंकि प्रयोगशाला वास्तविक इंटरनेट से कटी हुई थी, इसलिए कनेक्शन विफल हो गया। शोधकर्ता देख सकते थे कि प्रयास किया गया था, लेकिन वे यह पुष्टि नहीं कर सके कि प्रोग्राम ने सफलतापूर्वक पासवर्ड चुराया या रिमोट सर्वर पर डेटा भेजा। साक्ष्य चोरी के इरादे को दर्शाते थे, लेकिन चोरी की क्रिया को नहीं।
दूसरा नमूना, डोनेक्स (Donex), एक रैनसमवेयर प्रोग्राम प्रतीत हुआ, जिसे उपयोगकर्ता की फाइलों को लॉक करने के लिए डिज़ाइन किया गया था। इसके कोड में शक्तिशाली एन्क्रिप्शन टूल और कंप्यूटर को बंद करने या सिस्टम लॉग को हटाने वाले कमांड के संदर्भ शामिल थे। ये स्पष्ट संकेतक थे कि प्रोग्राम को क्या करने के लिए बनाया गया था। हालांकि, जब शोधकर्ता ने इसे चलाया, तो अपेक्षित आपदा नहीं हुई। परीक्षण कंप्यूटर की फाइलें एन्क्रिप्ट नहीं की गईं, स्क्रीन पर कोई फिरौती नोट दिखाई नहीं दिया, और सिस्टम रीबूट भी नहीं हुआ जैसा कि कोड ने सुझाव दिया था। प्रोग्राम ने अस्थिरता के लक्षण दिखाए और कुछ स्थानीय नेटवर्क शोर उत्पन्न किया, लेकिन यह अपने प्राथमिक कार्य को करने में विफल रहा। अध्ययन ने निष्कर्ष निकाला कि जबकि डोनेक्स के पास नुकसान पहुँचाने के उपकरण थे, लेकिन इस विशिष्ट परीक्षण के दौरान उसने वास्तव में उनका उपयोग नहीं किया। उपकरणों की उपस्थिति वास्तविक थी, लेकिन क्षति नहीं हुई थी।
तीसरा नमूना, इमोटेट (Emotet), एक भ्रामक पैकेज में आया: एक फ़ाइल जो एक मानक वर्ड डॉक्यूमेंट की तरह दिखती थी लेकिन जिसमें उपयोगकर्ता को धोखा देने के लिए एक छिपा हुआ दूसरा एक्सटेंशन था। एक बार खुलने के बाद, इसने नेटवर्क पर एक विशिष्ट पते से संपर्क करने की कोशिश की। अलग प्रयोगशाला में, यह पता एक स्थानीय मशीन के रूप में हल हुआ, और कनेक्शन का प्रयास विफल रहा, जिसमें संदेश मिला कि गंतव्य अप्राप्य है। प्रोग्राम इतनी तेज़ी से चला कि निगरानी उपकरण उसकी गतिविधि का एक स्थिर रिकॉर्ड नहीं पकड़ सके। यह संभव है कि प्रोग्राम ने खुद को किसी अन्य प्रक्रिया में इंजेक्ट कर दिया हो या बस अपना कार्य पूरा कर लिया हो इससे पहले कि कैमरे ध्यान केंद्रित कर पाते, लेकिन शोधकर्ता यह साबित नहीं कर सके। वे केवल यह पुष्टि कर सके कि प्रोग्राम ने संपर्क करने की कोशिश की और प्रयोगशाला की स्थितियों के कारण विफल रहा।
इस अध्ययन का एक प्रमुख हिस्सा यह था कि शोधकर्ता ने कृत्रिम बुद्धिमत्ता (AI) को कैसे संभाला। उन्होंने बिखरे हुए डेटा को व्यवस्थित करने और जो उन्होंने देखा उसके लिए संभावित स्पष्टीकरण प्रस्तावित करने के लिए AI का उपयोग किया। AI ने सुझाव दिया कि व्यवहार साइबर अपराधियों द्वारा उपयोग की जाने वाली ज्ञात रणनीतियों से मेल खाते हैं। हालांकि, मानव टीम ने हर एक सुझाव की समीक्षा की। उन्होंने इस विचार को खारिज कर दिया कि प्रोग्रामों ने सफलतापूर्वक डेटा चुरा लिया था या फाइलों को एन्क्रिप्ट किया था क्योंकि प्रत्यक्ष साक्ष्य मौजूद नहीं थे। उन्होंने इस विचार को भी खारिज कर दिया कि प्रोग्रामों ने सफलतापूर्वक पहचान से बचने में सफलता प्राप्त की थी, भले ही कोड ने सुझाव दिया था कि उन्होंने प्रयास किया था। AI ने संभावनाओं की एक सूची प्रदान की, लेकिन मानव विश्लषकों ने वास्तव में रिकॉर्ड किए गए तथ्यों के आधार पर सत्य प्रदान किया।
इस कार्य का अंतिम परिणाम जो हुआ उसका एक स्पष्ट, सतर्क मानचित्र है। शोधकर्ता ने पाया कि इन तीन प्रोग्रामों के पास डेटा चुराने, फाइलों को एन्क्रिप्ट करने और अपने पदचिह्न मिटाने की क्षमताएं थीं। फिर भी, इस परीक्षण की विशिष्ट स्थितियों के तहत, उनमें से कोई भी अपने मुख्य मिशन को सफलतापूर्वक पूरा नहीं कर सका। अध्ययन इस बात पर जोर देता है कि कोड में एक क्षमता देखना वास्तविक दुनिया में क्रिया देखना नहीं है। जो देखा गया उसे केवल सुझाव से अलग करके, टीम ने खतरे की अधिक विश्वसनीय तस्वीर बनाई। यह दृष्टिकोण सुनिश्चित करता है कि सुरक्षा रक्षाएँ धारणाओं के बजाय पुष्ट तथ्यों पर बनाई जाएं, जिससे खतरे के अतिरंजित होने से बचा जा सके और साथ ही नुकसान की क्षमता को भी स्वीकार किया जा सके। यह कार्य एक अनुस्मारक के रूप में कार्य करता है कि डिजिटल खतरों से लड़ने में, धैर्य और सत्यापन उतने ही महत्वपूर्ण हैं जितने कि दुश्मन को खोजने के लिए उपयोग किए जाने वाले उपकरण।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।