Hiylaqush kiber operatsiyasi

“Birinchi hiylaqush” operatsiyasi

*O‘zbek segmentida Telegram orqali ommaviy tarqalgan ushbu zararli dasturning dastlabki izlari 2023-yil 14-dekabrdan boshlanganini kuzatdik. Kiberjinoyatchilar Telegram O‘zbekistonda keng qo‘llanilishini bilgan holda turli davlat tashkilotlarini nishonga olib, ularga tegishli guruhlar va xodimlarning Telegram profillariga zararli dasturlarni turli niqoblar, nomlar va ssenariylar ko‘rinishida tarqatishgan.

Ushbu zararli dasturlar ochiq guruhlar va Telegram kanallarida hamon mavjudligini hamda yangi namunalari tarqalayotganini kuzatmoqdamiz. Ushbu izlanishimiz har yili o‘tkaziladigan “Markaziy Yevroosiyo axborot xavfsizligi va Kiberxavfsizlik sammiti”ning 2024-yilgi tadbirida taqdim etilgan edi. Unda bir qancha zararli dasturlar va ularni boshqaruvchi kiberjinoyatchi guruhlarga tegishli ma’lumotlar taqdim etilgan.

2024-yilning dastlabki choragida aniqlangan zararli dasturlar, quyidagi nomlar orqali maqsadli xujumlarda foydalanilgan.

Aniqlangan zararli dasturlar asosan 2 xil turdagi “Stealer” va “RAT” oilasiga mansub ekanligi aniqlandi, “Stealer” zararli dasturining tahlilini quyida navbat bilan ko’rib chiqamiz.

Zararli dastur tizimda ishga tushgach (Windows OS), tizimdagi Defender antivirusi sozlamalaridan o’z-o’zini tekshirishni chetlab o’tishi uchun “PowerShell” buyruqlari orqali fonda quyidagi buyruqlarni bajargan.

Keyingi qadamda zararli dastur tizimdagi Defender antivirusining barcha xavfsizlik monitoringi modullarini o’chirish vazifasini bajargan, bu zararli dasturga tizimda keyinchalik erkin harakatlanish imkonini bergan.

Tizim va Defender antivirusi xavfsizlik holati nazoratga olingach, foydalanuvchini chalg’itish uchun zararli dastur “feyk” xabar ko’rsatgan, bu foydalanuvchini aldash va ushbu dastur ma’lum xatolik (0xc000007b bajarilish xatosi) sabab ishga tushmasligini uqtirmoqchi bo’lgan.

Barcha zarur qadamlar bajarilgach, zararli dastur foydalanuvchi tizimini identifikatsiyalash uchun “wmic” – tizim ma’lumotlarini boshqarish va olish uchun ishlatiladigan CLI – (Buyruq qatori interfeysi) dasturidan foydalangan.

Zararli dastur tizimning “reestr” qismida bir qancha o’zgartirishlar kiritadi va mavjud ma’lumotlarni o’qishni boshlaydi.

Zararli dastur keyingi qadamlarda tizimning “TEMP” direktoriyasiga bir qancha modullarni yuklab oladi, bu modullar tizimda keyinchalik boshqa vazifalarni bajargan.

Quyida bu modullar va ularning har birining vazifasini ko’rishingiz mumkin.

Barcha tahlil natijalari va qo’lga kiritilgan modul namunalari tahlili, ushbu zararli dastur “Blank grabber” ekanligini ko’rsatdi. “Blank Grabber” dastlab “Blank” taxallusli xaker tomonidan ishlab chiqilgan. U GitHub’da ochiq manbali (open-source) dastur sifatida e’lon qilingan va keyinchalik “Astounding” (BlackForums administratori) kabi boshqa ishlab chiquvchilar tomonidan qo‘llab-quvvatlanib, rivojlantirilgan. Dastur Python’da yozilgan. Sodda interfeysi sababli undan hatto tajribasiz kiberjinoyatchilar ham oson foydalanishi mumkin bo‘lgan. Bu uning keng tarqalishiga sabab bo‘lgan. Uni birinchi bo‘lib qaysi xakerlik guruhi ishlatgani haqida aniq ma’lumot yo‘q: ochiq manbali dastur sifatida undan turli xakerlar foydalangan. Tadqiqotlarimizda O‘zbekiston hududida tarqalgan ushbu zararli dasturning bir nechta o‘zgartirilgan varianti aniqlangan.

Kiberjinoyatchilar arsenalidagi keyingi zararli dasturning qaysi oilaga mansubligini tez aniqlash mumkin, lekin uni kuzatish va aniqlash biroz qiyinchilik tug‘dirishi mumkin. “Blank grabber” dan farqli ravishda DC RAT — Dark Crystal RAT (masofadan kirish troyani) haq evaziga sotib olinadi va ishlashi uchun server hamda domen talab qiladi.

Ushbu rasmda “DC Rat” ishlashi uchun qo‘llangan domenni ko‘rish mumkin. Domen bo‘yicha o‘tkazilgan tadqiqotda CYBER-BRO CTI kiberrazvedka platformasi ma’lumotlariga ko‘ra, u yirik kiberjinoyatchi guruh “NyashTeam” ga tegishli ekani aniqlangan.

Tizimga tushgach, zararli dastur barcha saqlangan login va parollarni, maxfiy ma’lumotlarni, ilovalar hamda kriptohamyonlar ma’lumotlarini Telegram bot orqali o‘g‘irlagan.

Zararli dastur kiberjinoyatchilar forumlarida alohida “M.a.a.S” — malware as a service (xizmat sifatidagi zararli dastur) ko‘rinishida 2019-yildan beri sotilgani aniqlandi.

Quyida ushbu RAT dasturining interfeysini va undagi O’zbekiston va boshqa davlatlardan zararlangan kompyuterlarni ko’rish mumkin

“NyashTeam” va u xizmat ko’rsatadigan kiberjinoyatchilarga tegishli 500 dan ortiq domen va serverlar aniqlangan.

“NyashTeam” kiberjinoyatchilarga “DCRAT” ning o’zgartirilgan versiyasini sotish va xizmat ko’rsatish vazifasini bajargan, ya’ni ulardan istalgan kiberjinoyatchi bu zararli dasturni sotib olib tayyor “virus” ni tarqatish orqali foydalanuvchilar va tashkilotlar kompyuterlarini kuzatish, boshqarish, o’zgartirish imkoniyatiga ega bo’lishgan, aynan shunday kiberjinoyatchilardan birini biz 2023-yilning dekabr oyida aniqlash orqali yirik O’zbekistonga qaratilgan ko’p tarmoqli kiberhujumlarni oldini oldik. Quyida bu haqida qisqacha ma’lumotlarni berib o’tamiz.

Odatda kiberjinoyatchilarni aniqlash uchun ko’p tomonli kompleks choralar qo’llanilishi kerak, texnik bilim bilan birga ijtimoiy psixologik o’rganishlar ham kiberjinoyatchilarni aniqlashda juda foydalidir, odatda bu kabi kichik va ommaviy ochiq bo’lgan zararli dasturlardan, mustaqil harakatlanuvchi yoki bir necha kishidan iborat kichik kiberjinoyatchilargina foydalanishadi, yirik va maqsadli xujumlarni amalga oshiruvchi xakerlik guruhlari bunday arsenaldan foydalanishmaydi, shu sabab bizning mutaxassislarimiz “Nyashteam” a’zolaridan birining kompyuteriga osongina kiraolishdi. Batafsil bu haqida “CYBERKENT v2” da e’lon qilingan taqdimotdan bilib olishingiz mumkin.

Ushbu rasmdagi qurilma kiberjinoyatchilar CYBER-BRO mutaxassislari oldindan qoldirgan “tuzoq” ga tushishi orqali aniqlangan. Kiberjinoyatchilar “tuzoq” kompyuterga kirish orqali bir vaqtda o’zlarining kompyuterlarini ham zararlashadi va bu orqali mutaxassislarimiz kiberjinoyatchilar kompyuteridagi ma’lumotlar, zararlangan davlatlar, tashkilotlar, qo’lga kiritilgan ma’lumotlar, zararli dasturlarning bir qancha boshqa turlarini qo’lga kiritishdi. Qo’lga kiritilgan ma’lumotlar shuni ko’rsatadiki, kiberjinoyatchilar O’zbekiston hududida anchadan beri faol ishlashgan, ma’lumotlar va zararlangan tashkilotlar ro’yxati, zarar ko’lami haqida batafsil keyingi izlanishlarimiz hisobotlaridan bilib olishingiz mumkin bo’ladi.

Ushbu surat “NyashTeam” kiberjinoyatchilarga taqdim qilgan”DCRAT” dasturi operatori kompyuteridan olingan. (2024-yil yanvar oyi) Biz bu operatorga “Uyqudagi ayiq” deb nom berdik. Operatsiyaga esa “Birinchi hiylaqush” deb nom beramiz. Bir yildan keyin, yaqinda (22-iyul kuni) F6 (ex F.A.C.C.T) kiberxavfsizlik kompaniyasi “Nyashteam” ga tegishli Rossiya hududidagi domenlarni yopishga muvaffaq bo’lganini ma’lum qildi.

Batafsil ma’lumot olish va taqdimotni ko’rish.

Kiberrazvedka platformasi

CYBER-BRO SECURITY

CTI orqali aniqlangan tahdidlar statistikasi haqidagi birinchi ochiq hisobotni yuklab oling va tanishib chiqing.

Yuklab olish!

“CITIZENSEC” Kiber razvedka natijalarini istalgan tashkilot so’rov asosida quyidagi namuna shaklida qabul qilishi mumkin.

Yuklab olish!