‘Transparent Tribe’ın Yeni Təhdidi: LNK Fayılları ilə Maskalanmış RAT Kampaniyası

Xaker.az xəbər verir ki, kiber təhlükəsizlik sahəsində tanınan və əsasən Cənubi Asiyaya qarşı fəaliyyət göstərən ‘Transparent Tribe’ təhlükə aktorları qrupu, Hindistanın strateji əhəmiyyətli müəssisələrinə qarşı yeni və son dərəcə mürəkkəb hücum kampaniyasına start verib. Bu yeni dalğa, hədəfə alınan sistemlər üzərində uzunmüddətli və qalıcı nəzarət təmin edən təkmilləşdirilmiş Uzaqdan Giriş Trojanı (RAT) ilə diqqəti cəlb edir.

Hədəf Müşahidəsi: Hökumət, Akademiya və Strateji Sahələr

Transparent Tribe (bəzən ‘APT36’ və ya ‘Mythic Leopard’ kimi də tanınır) tarixi boyu Hindistanın müdafiə, hökumət və telekommunikasiya sektorlarını hədəfləyib. Cari kampaniya isə xüsusilə Hindistanın dövlət idarəetmə orqanlarını, ali təhsil müəssisələrini və kritik infrastrukturla əlaqəli strateji qurumları nişan alıb. Bu cür hücumlar yalnız məlumat sızması ilə deyil, həm də milli təhlükəsizlik riskləri ilə nəticələnə bilər.

Əldə edilən texniki detallara görə, hücumun əsas məqsədi, hədəf şəbəkələrdə daxili şəbəkə kəşfiyyatı aparmaq, həssas sənədləri oğurlamaq və ən əsası, gələcək əməliyyatlar üçün daimi bir dayaq nöqtəsi yaratmaqdır.

Dezavurasiya Taktikası: PDF Maskalı LNK Faylı

Bu kampaniyanın ən mühüm və təhlükəli xüsusiyyəti onun çatdırılma metodudur. Transparent Tribe, istifadəçiləri aldatmaq üçün son dərəcə hiyləgər bir üsuldan istifadə edir: zərərli Windows qısa yol (LNK) faylı. Bu LNK faylları, adətən, çox vacib və ya maraqlı sənədlər kimi görünən legitim PDF sənədləri kimi maskalanır.

LNK Fayılları Necə İşləyir? Windows əməliyyat sistemində qısa yollar (LNK) əslində bir proqramın və ya sənədin yerinə keçən sadə göstəricilərdir. Lakin kibercinayətkarlar bu faylları manipulyasiya edərək, istifadəçi onu açdığı zaman arxa planda zərərli skriptləri işə salmağa məcbur edirlər. Bu skriptlər adətən sistemin legitim alətlərindən (məsələn, PowerShell və ya Certutil) istifadə edərək RAT-ın əsas hissəsini endirib icra edir.

Bu, ‘gizli işə salınma’ (staged execution) adlanan bir texnikadır. LNK faylı sadəcə birinci mərhələni təşkil edir, beləliklə, ilkin antivirus skanlarından yayınmaq daha asan olur. İstifadəçi PDF sənədi açdığını düşünərkən, əslində sistemə ən təhlükəli zərərli proqram təminatı yerləşdirilmiş olur.

Yeni RAT’ın İmkanları: Qalıcı Nəzarət

Transparent Tribe-ın bu kampaniyada istifadə etdiyi RAT-ın adı hələ ki tam açıqlanmasa da, onun imkanları klassik uzaqdan giriş vasitələrini üstələyir. Bu trojanın funksionallığına daxildir:

• Verilənlərin Oğurlanması: Hədəf sistemdə saxlanılan sənədlərin, e-poçtların və məxfi hesablamaların sistemli şəkildə kopyalanması.
• Klaviatura Qeydiyyatı (Keylogging): İstifadəçinin daxil etdiyi bütün məlumatların və parolların qeydə alınması.
• Ekran Görüntüləri: Hədəf iş prosesini izləmək üçün dövri olaraq ekran görüntülərinin çəkilməsi.
• Qalıcı Mexanizmlər: Əməliyyat sisteminin yenidən başladılmasından sonra belə aktiv qalmaq üçün Windows Registry-də və ya Başlanğıc qovluqlarında dəyişikliklərin edilməsi.

Müdafiə və Tövsiyələr

Xaker.az olaraq, bu cür təhdidlərdən qorunmaq üçün Hindistanın hədəfə alınan sektordakı bütün təşkilatlarına və bütün istifadəçilərə aşağıdakı tədbirləri görməyi şiddətlə tövsiyə edirik:

1. LNK Fayllarına Qarşı Təlim: İstifadəçilər e-poçt və ya mesajlaşma platformaları vasitəsilə göndərilən, PDF və ya Word kimi görünən, lakin uzantısı ‘.lnk’ olan faylları tanımağa və açmamağa öyrədilməlidir.
2. Makroların və Skriptlərin Bloklanması: PowerShell və ya başqa skript alətlərinin qeyri-etik işə salınmasını bloklamaq üçün Endpont Detection and Response (EDR) həllərindən istifadə edin.
3. Uzun Uzantıların Göstərilməsi: Windows sistemlərində fayl uzantılarının tam şəkildə göstərilməsi funksiyasını aktiv edin ki, ‘document.pdf.lnk’ kimi hiylələr dərhal aşkarlansın.
4. Şəbəkə Monitorinqi: Şəbəkə trafikini daimi nəzarətdə saxlayın. RAT-lar tez-tez nəzarət və idarəetmə (C2) serverləri ilə əlaqə qurur ki, bu da anomaliya kimi qeydə alınmalıdır.

Transparent Tribe-ın bu yeni fəaliyyəti göstərir ki, kiber müharibədə təhdid aktorları daim öz metodlarını təkmilləşdirir. Təşkilatlar bu cür sıfır-gün (zero-day) və ya inkişaf etmiş aldatma metodlarına qarşı çevik müdafiə strategiyaları hazırlamalıdırlar.