शोधकर्ताओं ने एंड्रॉइड टूलकिट ‘डिजिटल लुटेरा’ की खोज की जो यूपीआई खातों को हैक कर सकता है; एनपीसीआई ने जवाब दिया

डिजिटल धोखाधड़ी और पहचान की चोरी से निपटने के लिए सरकार ने हाल ही में मैसेजिंग और वित्तीय प्लेटफार्मों के लिए सिम कार्ड के लिए एक बाध्यकारी आदेश लागू किया है। दूरसंचार विभाग (DoT) के अनुसार, इस कदम का उद्देश्य यह सुनिश्चित करना है कि मैसेजिंग प्लेटफॉर्म और UPI ऐप जैसी सेवाएं उपयोगकर्ता के प्राथमिक डिवाइस पर सिम कार्ड से जुड़ी हों, जिससे खाता अधिग्रहण में आसानी कम हो। साइबर सुरक्षा शोधकर्ताओं ने अब एक टूलकिट की पहचान की है जो इन प्रतिबंधों को सीधे एंड्रॉइड ऑपरेटिंग सिस्टम को लक्षित करके, संदेशों को इंटरसेप्ट करके और प्राधिकरण प्रक्रिया को खराब करके पीड़ितों के यूपीआई खातों तक पहुंच कर और सिस्टम को यह विश्वास दिलाने के लिए डिज़ाइन किया गया है कि यह वैध है।

अपडेट (मार्च 11, 4:20 अपराह्न): इस लेख को CloudSEK की रिपोर्ट के जवाब में नेशनल पेमेंट्स कॉरपोरेशन ऑफ इंडिया (NPCI) के एक बयान को प्रतिबिंबित करने के लिए अद्यतन किया गया है, और शीर्षक को तदनुसार अद्यतन किया गया है।

साइबर सुरक्षा कंपनी CloudSEK के शोधकर्ताओं ने पहचान की डिजिटल लुटेरा नामक एक धोखाधड़ी-रोधी टूलकिट, जो साइबर अपराधियों को बायपास करने की अनुमति देता है हाल ही में सिम कार्ड आधारित सत्यापन तंत्र शुरू किया गया भारत में डिजिटल भुगतान प्रणालियों के लिए उपयोग किया जाता है। डिजिटल लुटेरा की पहचान क्लाउडएसईके नामक साइबर सुरक्षा कंपनी द्वारा उपलब्ध कराए गए परिणामों का उपयोग करके शोधकर्ताओं द्वारा की गई थी। इस एंटी-फ्रॉड टूलकिट का उपयोग यूपीआई-लिंक्ड बैंक खातों और एसएमएस ओटीपी सत्यापन का उपयोग करके डिजिटल भुगतान प्रणालियों को बायपास करने के लिए किया जाता है।

कंपनी के अनुसार, पारंपरिक मैलवेयर के विपरीत, जो सीधे बैंकिंग ऐप्स को लक्षित करता है, डिजिटल लुटेरा एंड्रॉइड डिवाइस पर सिस्टम-स्तरीय व्यवहार को संशोधित करके काम करता है। कहा जाता है कि टूलकिट LSPosed का उपयोग करता है, एक ऐसा ढांचा जो एंड्रॉइड रनटाइम में कस्टम मॉड्यूल के इंजेक्शन की अनुमति देता है। LSPosed के साथ, सिस्टम फ़ंक्शंस को इंटरसेप्ट किया जा सकता है, जिसमें आने वाले एसएमएस संदेशों को संसाधित करने के लिए जिम्मेदार लोग भी शामिल हैं।

CloudSEK ने पाया कि मैलवेयर टूलकिट टेलीग्राम समूहों के माध्यम से फैलता है, जहां हमलावर वित्तीय धोखाधड़ी संचालन के बारे में जानकारी साझा करते हैं। शोधकर्ताओं ने 20 से अधिक टेलीग्राम समूहों की खोज की, जिनमें से प्रत्येक में कई सदस्य थे।

हमला कैसे होता है

यह हमला भुगतान एप्लिकेशन में घुसपैठ करने के बजाय एंड्रॉइड सिस्टम के व्यवहार को संशोधित करने पर निर्भर करता है। CloudSEK के अनुसार, यह कई चरणों में होता है। यह तब शुरू होता है जब पीड़ित अनजाने में एक दुर्भावनापूर्ण एंड्रॉइड ऐप इंस्टॉल करता है, जो अक्सर ट्रैफ़िक नोटिस या शादी के निमंत्रण एपीके जैसी हानिरहित चीज़ के रूप में प्रच्छन्न होता है।

ये ट्रोजनाइज्ड ऐप्स एसएमएस संदेश पढ़ने और लिखने जैसी अनुमतियां मांगते हैं। मैलवेयर पृष्ठभूमि में चुपचाप चलेगा और LSPosed मॉड्यूल के माध्यम से हमलावर को आने वाले सत्यापन संदेश भेजेगा। इस एक्सेस का उपयोग करके, हमलावर अपने डिवाइस पर एप्लिकेशन के संशोधित संस्करण के माध्यम से पीड़ित के खाते में लॉग इन करने का प्रयास करता है।

एक बार जब सेवा पीड़ित के फोन नंबर के साथ पीड़ित के खाते में लॉग इन करने के लिए एक ओटीपी भेजती है, तो इसे ट्रोजन द्वारा रोक लिया जाता है और हमलावर को भेज दिया जाता है। इसके बाद ऐप एक डिवाइस बाइंडिंग टोकन जेनरेट करता है, जिसका इस्तेमाल आमतौर पर बैंक डिवाइस की वैधता को सत्यापित करने के लिए करते हैं।

साइबर सुरक्षा कंपनी ने कहा, चूंकि संदेश पीड़ित के सिम कार्ड से आता है, दूरसंचार नेटवर्क स्वचालित रूप से इसे वैध के रूप में पहचानता है। एक बार डिवाइस सफलतापूर्वक कनेक्ट हो जाने के बाद, CloudSEK ने कहा कि हमलावर UPI पिन रीसेट अनुरोध को ट्रिगर कर सकता है। यह हमलावर को एक नया यूपीआई पिन सेट करने और पीड़ित के भुगतान खाते पर पूर्ण नियंत्रण लेने की अनुमति देता है, जिससे अनधिकृत लेनदेन सक्षम हो जाता है।

शोधकर्ताओं का कहना है कि हमला इसलिए काम करता है क्योंकि कई वित्तीय प्रणालियाँ डिवाइस के स्वामित्व के प्रमाण के रूप में दूरसंचार नेटवर्क द्वारा प्रदान किए गए मोबाइल फोन नंबर पर भरोसा करती हैं। कंपनी के मुताबिक, पीड़ित इस बात से अनजान हो सकते हैं कि उनका यूपीआई खाता किसी अन्य डिवाइस पर सेव या एक्सेस किया गया है क्योंकि हमला चुपचाप होता है।

क्लाउडएसईके ने कहा कि उसने अपनी रिपोर्ट जारी होने से पहले जिम्मेदारीपूर्वक वित्तीय संस्थानों और अधिकारियों को शमन रणनीति विकसित करने में मदद करने के लिए अपने निष्कर्षों का खुलासा किया।

नेशनल पेमेंट्स कॉरपोरेशन ऑफ इंडिया (एनपीसीआई) ने क्लाउडएसईके की शिकायतों का जवाब दिया। बुधवार को गैजेट्स 360 को दिए गए एक बयान में, संगठन के एक प्रवक्ता ने कहा:

“यह हालिया मीडिया रिपोर्टों के संदर्भ में है जिसमें यूपीआई डिवाइस लिंकिंग को बायपास करने के लिए नवीनतम तकनीक का उपयोग करके धोखाधड़ी से संबंधित कुछ कार्यप्रणाली पर एक रिपोर्ट का हवाला दिया गया है।

एनपीसीआई ने रिपोर्ट की समीक्षा की है और स्पष्ट किया है कि इन जोखिमों से निपटने के लिए मजबूत नियंत्रण और सुरक्षा उपाय पहले से ही मौजूद हैं। UPI को सुरक्षा और प्रमाणीकरण तंत्र की कई परतों के साथ डिज़ाइन किया गया है ताकि यह सुनिश्चित किया जा सके कि लेनदेन सुरक्षित रहें।

एनपीसीआई जोखिमों की निगरानी करने और सुरक्षा उपायों को मजबूत करने के लिए बैंकों और पारिस्थितिकी तंत्र भागीदारों के साथ मिलकर काम करना जारी रखता है, यह सुनिश्चित करता है कि डिजिटल भुगतान उपयोगकर्ताओं के लिए सुरक्षित और विश्वसनीय बना रहे।