দৈনিক ব্রিফিং
মারাত্মক ওয়াশটাইম স্যান্ডবক্স এস্কেপ দুর্বলতা, ইউক্রিয়েটর অ্যান্ড্রয়েড স্পাইওয়্যার
আজকের ব্রিফিংয়ে ওয়াসমটাইম স্যান্ডবক্সের গুরুতর নিরাপত্তা লঙ্ঘন, মেসেজিং অ্যাপগুলোকে লক্ষ্য করে তৈরি ইউক্রিয়েটর অ্যান্ড্রয়েড স্পাইওয়্যার এবং গোপনে হুমকি সৃষ্টিকারীদের গতিবিধি শনাক্ত করার কৌশল নিয়ে আলোচনা করা হয়েছে।
5টি খবর2 মিনিটের পাঠ
Wasmtime ব্যবহারকারী সফটওয়্যার রক্ষণাবেক্ষণকারী এবং সিস্টেম প্রশাসকদের সম্ভাব্য এক্সিকিউশন এস্কেপ প্রতিরোধ করতে অবিলম্বে তাদের রানটাইম কম্পোনেন্টগুলো আপডেট করাকে অগ্রাধিকার দেওয়া উচিত। এদিকে, SOC কর্মীদের ডিটেকশন ইভেন্টের মধ্যবর্তী সময়ে সক্রিয় থাকা দীর্ঘস্থায়ী আক্রমণকারীর কার্যকলাপ শনাক্ত করার জন্য সাধারণ অ্যালার্ট থ্রেশহোল্ডের বাইরেও নজর রাখতে হবে।
Wasmtime-এর দুটি গুরুতর ত্রুটির কারণে ক্ষতিকারক ওয়েবঅ্যাসেম্বলি মডিউলগুলো স্যান্ডবক্স থেকে বেরিয়ে যেতে পারে।
রক্ষণাবেক্ষণকারীরা Wasmtime-এর Cranelift কম্পাইলারে থাকা দুটি গুরুতর ত্রুটি (CVE-2026-115889 এবং CVE-2026-115893) সংশোধন করেছেন, যেগুলোর রেটিং CVSS 9.9 এবং যা WebAssembly মডিউলগুলোকে স্যান্ডবক্স থেকে বেরিয়ে যাওয়ার সুযোগ করে দিতে পারত। CVE-2026-115889 সকল আর্কিটেকচারকে প্রভাবিত করে, অন্যদিকে CVE-2026-115893 ARM64 সিস্টেমগুলোকে লক্ষ্য করে তৈরি।
- কেন এটি গুরুত্বপূর্ণ
- যেসব সফটওয়্যার অবিশ্বস্ত ওয়েবঅ্যাসেম্বলি কোড চালানোর জন্য Wasmtime-এর উপর নির্ভর করে, আক্রমণকারীরা দুর্বল বিল্ড ব্যবহার করে ক্ষতিকারক মডিউল কম্পাইল করলে সেগুলো হোস্ট স্যান্ডবক্স এস্কেপের শিকার হতে পারে।
- কী করবেন
- ২০শে অক্টোবরের পরে প্রকাশিত প্যাচ করা সংস্করণগুলিতে Wasmtime ইনস্টলেশনগুলি আপডেট করুন।
uCreator অ্যান্ড্রয়েড স্পাইওয়্যার টেলিগ্রামের 2FA পাসওয়ার্ড চুরি করতে এবং উইচ্যাট অ্যাকাউন্ট ক্লোন করতে পারে
uCreator নামক একটি ভাড়াযোগ্য অ্যান্ড্রয়েড স্পাইওয়্যার প্ল্যাটফর্ম অফিসিয়াল অ্যাপ স্টোরের বাইরে বিতরণ করা বিকৃত অ্যাপের ভেতরে কোড ঢুকিয়ে দিয়ে টেলিগ্রামের ২এফএ (2FA) পাসওয়ার্ড চুরি করে এবং উইচ্যাট (WeChat) অ্যাকাউন্ট ক্লোন করে। প্রযুক্তিগত বিশ্লেষণে এর টেলিগ্রাম অংশটিকে বাওহুও (Baohuo) ব্যাকডোরের সাথে যুক্ত করা হয়েছে।
- কেন এটি গুরুত্বপূর্ণ
- তৃতীয় পক্ষের উৎস থেকে পরিবর্তিত মেসেজিং অ্যাপ্লিকেশন ইনস্টল করলে ব্যবহারকারীদের অ্যাকাউন্ট সম্পূর্ণ দখল, যোগাযোগে আড়ি পাতা এবং পরিচয়পত্র চুরির ঝুঁকি থাকে।
সতর্কবার্তার মধ্যবর্তী সময়ে: সাধারণ শনাক্তকরণে এড়িয়ে যাওয়া পরিসরে আক্রমণকারীরা যা করে
প্রতিটি এসওসি (SOC) একগাদা অ্যালার্ট নিয়ে হিমশিম খায়।
৩৬ মিলিয়ন ডলারের ক্রিপ্টোকারেন্সি কেলেঙ্কারিতে জড়িত থাকার দায়ে এক চীনা ব্যক্তিকে প্রত্যর্পণ করা হয়েছে।
যুক্তরাষ্ট্রে ১৭৪ জন ভুক্তভোগীর কাছ থেকে প্রায় ৩৭ মিলিয়ন ডলার হাতিয়ে নেওয়া একটি ক্রিপ্টোকারেন্সি বিনিয়োগ কেলেঙ্কারিতে জড়িত থাকার অভিযোগে নেদারল্যান্ডস থেকে প্রত্যর্পণের পর এক চীনা নাগরিককে ক্যালিফোর্নিয়ায় অভিযুক্ত করা হয়েছে।
৬টি নতুন টুল ও ডেস্কটপ আপডেট সহ কালি লিনাক্স ২০২৬.৩ প্রকাশিত হয়েছে।
কালি লিনাক্স এই বছরের তৃতীয় সংস্করণ ২০২৬.৩ প্রকাশ করেছে, যাতে রয়েছে ছয়টি নতুন হ্যাকিং টুল, ডেস্কটপ এনভায়রনমেন্টের উন্নতি, পরিমার্জিত বিল্ড স্ক্রিপ্ট এবং আরও অনেক কিছু।
মূল বিষয়গুলো
- বাইটকোড অ্যালায়েন্স Wasmtime-এর দুটি গুরুতর দুর্বলতা CVE-2026-115889 এবং CVE-2026-115893-এর সমাধান প্রকাশ করেছে, যে দুটিরই CVSS রেটিং ৯.৯।
- Wasmtime-এর ত্রুটি CVE-2026-115893 বিশেষভাবে Cranelift কম্পাইলার কম্পোনেন্টের মধ্যে থাকা ARM64 আর্কিটেকচারকে প্রভাবিত করে।
- uCreator অ্যান্ড্রয়েড স্পাইওয়্যার 2FA পাসওয়ার্ড হাতিয়ে নিতে এবং অ্যাকাউন্ট ক্লোন করার জন্য পরিবর্তিত টেলিগ্রাম ও উইচ্যাট অ্যাপ্লিকেশনের ভেতরে ক্ষতিকারক কোড লুকিয়ে রাখে।
- নেটওয়ার্ক সনাক্তকরণ টুলগুলো SOC টিমকে বিচ্ছিন্ন নিরাপত্তা সতর্কতার মধ্যবর্তী ফাঁকে সক্রিয় থাকা গোপন আক্রমণকারীদের ট্র্যাক করতে সাহায্য করে।