Qayıdan Təhlükə: Lapsus$ Qruplaşması Yeni “ShinySp1d3r” RaaS Platforması və Aqressiv Daxili Cəlb Strategiyası ilə Kiber Arenaya Dönür

“Scattered Lapsus$ Hunters” adlı bədnam təhdid qruplaşması, Salesforce-un üçüncü tərəf inteqrasiyalarını (Gainsight və Salesloft daxil olmaqla) hədəf alan yüksək profilli təchizat zənciri hücumundan sonra davam edən sükut dövrünü başa çatdıraraq yenidən aktiv əməliyyatlara qayıtdığını bəyan edib.

Kiber təhlükəsizlik analitikləri tərəfindən yeraltı Teleqram kanallarında və etimadnamə ticarəti forumlarında müşahidə edilən son fəaliyyətlər göstərir ki, qruplaşma öz əməliyyat strukturunu yenidən qurub və daxili əməkdaşları, eləcə də İlkin Giriş Brokerlərini (Initial Access Brokers – IAB) hədəf alan aqressiv işə qəbul kampaniyasına start verib.

Qayıdışın ən mühüm elementi “ShinySp1d3r” adlı yeni RaaS (Ransomware-as-a-Service – Xidmət kimi Fidyə Proqramı) platformasının istifadəyə verilməsidir. Bu platforma, məlumatlara sızma əməliyyatları ilə tanınan “ShinyHunters”, geniş fidyə hücumları ilə məşhur olan “Scattered Spider” və “Lapsus$” qruplaşmaları ilə əlaqəli operatorların birgə səyi kimi təqdim olunur.

Texniki Detallar

“Scattered Lapsus$ Hunters” qruplaşmasının yenidən aktivləşməsi onların əməliyyat strategiyasında əhəmiyyətli dəyişikliklərdən xəbər verir. Əvvəlki kampaniyalar, əsasən, sosial mühəndislik taktikalarına əsaslandığı halda, kollektiv indi daxili əməkdaşlıq və komissiya əsaslı sövdələşmələr vasitəsilə imtiyazlı giriş əldə etməyə yönəlmiş daha strukturlaşdırılmış yanaşma tətbiq edir. Bu, təhdid vektorunun təşkilatın perimetrindən (kənarından) daxili strukturuna doğru dəyişdiyini göstərir.

CYFIRMA analitiklərinin qapalı Teleqram klasterlərində apardığı monitorinqə əsasən, qruplaşma təklif etdiyi komissiya strukturlarını dəqiq şəkildə elan edir. Bu təkliflər daxili şəxsləri motivasiya etmək və əldə edilən girişin keyfiyyətinə görə ödənişi təsnifləşdirmək məqsədi daşıyır:

• **25 faiz Komissiya:** Microsoft Active Directory (Aktiv Direktor) sistemlərinə qoşulmuş əsas sistemlərə daxil olmanı təmin edən daxili əməkdaşlara təklif edilir.
• **10 faiz Komissiya:** Okta, Azure Portal və ya AWS IAM kök (root) girişi kimi bulud identifikasiya platformalarına daxil olmanı təmin edənlər üçün nəzərdə tutulub.

Qruplaşma xüsusilə telekommunikasiya provayderləri, proqram təminatı və oyun korporasiyaları, eləcə də çağrı mərkəzi mühitlərindən VPN, VDI (Virtual Desktop Infrastructure), Citrix və ya AnyDesk vasitəsilə uzaqdan idarəetmə girişini təmin edə biləcək şəxsləri axtarır.

Təhlükənin Miqyası

“ShinySp1d3r” platformasının hədəfləri və əməliyyat sahəsi çox açıq müəyyən edilmişdir. Reklamlarda illik gəliri 500 milyon ABŞ dollarını aşan təşkilatlar prioritetləşdirilir. Bununla yanaşı, qruplaşma Rusiya, Çin, Şimali Koreya, Belarus və səhiyyə sektoru subyektlərini istisna edir. Bu, qrup tərəfindən geosiyasi risklərin və ya potensial hüquqi təqiblərin idarə edilməsinə yönəlmiş strateji qərar hesab olunur.

Qruplaşmanın etibarlılığını sübut etmək üçün istifadə etdiyi taktika reputasiya quruculuğuna xidmət edir. Onlar söhbət otaqlarında tez-tez “LizardSquad” adını qeyd etsələr də, bu, yalnız nüfuz qazanmaq üçün istifadə edilən bir vasitə kimi görünür. Onların güvən artırma strategiyası daxili mənbədən əldə edildiyi iddia edilən CrowdStrike daxili paneli və Okta tək giriş (single sign-on) səhifəsinin sızdırılmış ekran görüntülərini paylaşmaqla pik həddə çatır.

Bundan əlavə, kollektiv bu yaxınlarda baş verən CrowdStrike daxili əməkdaş insidentindən sonra potensial cəlb olunan şəxslərin aşkarlanma qorxusunu azaltmaq üçün mürəkkəb OPSEC (Operational Security – Əməliyyat Təhlükəsizliyi) mesajlaşması qəbul edib. Onlar CrowdStrike hadisəsini uğursuz bir daxili cəhdin özünün ifşası kimi təqdim edərək, öz əməliyyatlarında iştirak edən məlumat verənlərin aşkarlanmayacağına zəmanət verirlər. Bu, qrupun daxili əməkdaşlığa mane olan psixoloji baryerləri anladığını və bu baryerləri aradan qaldırmaq üçün aktiv iş apardığını göstərir.

Tövsiyələr və Həll Yolları

“ShinySp1d3r” kimi RaaS platformalarının daxili əməkdaşlara güvənməsi təşkilatlar üçün klassik perimetr müdafiəsinin yetərli olmadığını bir daha təsdiqləyir. Təşkilatlar daxili təhdidlərin qarşısını almaq üçün funksional təhlükəsizlik tədbirlərini gücləndirməlidirlər:

• **Zero Trust (Sıfır Güvən) Arxitekturası:** Hər bir istifadəçi və cihazın şəbəkəyə daxil olmaq üçün daim yenidən təsdiqlənməsini tələb edən yanaşmanın tətbiqi.
• **PAM (Privileged Access Management):** Yüksək imtiyazlı hesablar (məsələn, Active Directory administratorları və ya Bulud Kök Hesabları) üzərində ciddi nəzarətin tətbiqi və bütün əməliyyatların qeydə alınması.
• **Daxili Təhdidlərin Aşkarlanması:** İstifadəçi Davranışının Analizi (UEBA) alətlərindən istifadə edərək, iş saatlarından kənar girişlər, qeyri-adi fayl ötürülmələri və ya həssas sistemlərə icazəsiz daxil olma cəhdləri kimi anormal fəaliyyətlərin monitorinqi.
• **Kadr Təhlükəsizliyi:** İşçilərin maddi vəziyyətini, narazılıq səviyyəsini və işdən ayrılma riskini müntəzəm olaraq qiymətləndirmək üçün gücləndirilmiş daxili HR və Təhlükəsizlik əməkdaşlığı.
• **MFA (Multi-Factor Authentication):** Bütün uzaqdan giriş sistemlərində (VPN, VDI, Citrix, Bulud Portalları) güclü iki və ya çoxfaktorlu autentifikasiyanın məcbur edilməsi.

**Nəticə**

“Scattered Lapsus$ Hunters” qruplaşmasının “ShinySp1d3r” ilə geri dönüşü kiber cinayətkarlıq ekosistemində fidyə hücumlarının əməliyyat modelinin təkamülünü əks etdirir. Köhnə məlumat sızdıran qrupların yeni RaaS koalisiyası yaratması və daxili əməkdaşlığa bu qədər diqqət yetirməsi, təşkilatlara qarşı davamlı və yüksək zərərli kampaniyaların 2026-cı il boyu davam edəcəyinə dair aydın bir siqnaldır. Şirkətlər yalnız xarici müdafiə divarları ilə deyil, həm də daxili etimad və giriş idarəetmə siyasətləri ilə mübarizə aparmalıdırlar.