MFA Zəifliyi Qlobal Korporasiyaları Çökdürdü: Infostealer Məlumat Oğrularının Bulud Sızmaları

Son dövrlərin ən genişmiqyaslı korporativ sızmalarından biri, kiber təhlükəsizlik cəmiyyətini yenidən təşvişə salıb. Onlarla beynəlxalq nəhəng müəssisə, gözlənilmədən sadə, lakin dağıdıcı bir hücum vektoru ilə komprometasiya olunub: işçi kompüterlərindən oğurlanmış və infostealer (məlumat oğrusu) tipli ziyanverici proqramlar vasitəsilə əldə edilmiş bulud giriş məlumatları (credentials).

“Zestix” ləqəbi ilə fəaliyyət göstərən təhdid aktoru, həmçinin “Sentap” təxəllüsü altında, təxminən 50 beynəlxalq təşkilata məxsus ShareFile, Nextcloud və OwnCloud daxil olmaqla, korporativ bulud saxlanc platformalarına sistematik giriş əldə edib. Bu sızmalar aviasiya, müdafiə robototexnikası, səhiyyə, maliyyə və dövlət infrastrukturu kimi kritik sektorları əhatə edir və nəticədə terabaytlarla həssas məlumatlar açıqlanıb.

Bu hücum zənciri müasir kiber təhlükəsizlikdəki narahatedici reallığı – standart müdafiə mexanizmlərinin laqeydliyini ortaya qoyur. Müəssisələr mürəkkəb sıfır-gün (zero-day) zəifliyi ucbatından deyil, Çoxfaktorlu İdentifikasiyanın (MFA) tətbiq edilməməsi səbəbindən hədəf alınıb. Hücumçular sadəcə etibarlı istifadəçi adı və parolla ‘ön qapıdan’ daxil ola biliblər.

Texniki Detallar

Hücumun əsasını RedLine, Lumma və Vidar kimi məşhur infostealer ziyanvericiləri təşkil edir. İşçilər qeyri-ixtiyari olaraq zərərli faylları endirdikdə, bu proqramlar infeksiyaya yoluxmuş cihazlardan saxlanmış bütün giriş məlumatlarını və brauzer tarixçəsini gizli şəkildə toplayır. Daha sonra bu jurnallar (logs) Qaranlıq Vebdə (Dark Web) nəhəng məlumat bazalarında toplanır.

“Zestix” bu anbarları xüsusi olaraq korporativ bulud URL-ləri axtarmaq üçün süzgəcdən keçirir və oğurlanmış şəhadətnamələrdən istifadə edərək müəssisə sistemlərinə icazəsiz giriş əldə edir. O, korporativ giriş imkanlarını yeraltı forumlarda Bitcoin və ya Monero qarşılığında satan İlkin Giriş Brokeri (Initial Access Broker) kimi çıxış edir.

**Şəhadətnamə Yığımı Mexanizmi (Credential Harvesting)**

Kiber təhlükəsizlik mütəxəssislərinin başa düşməli olduğu infeksiya dövrü beş mərhələdə fəaliyyət göstərir:

• **1. İlkin İnfiltrasiya:** İşçi e-poçt vasitəsilə zahirən qanuni fayl alır və ya standart proqram təminatı kimi görünən faylı endirir.
• **2. İcra və Maskalanma:** Infostealer yaddaşda işə düşür və tez-tez qanuni proseslər daxilində fəaliyyət göstərərək təhlükəsizlik alətlərinin aşkarlanmasından yayınır.
• **3. Məlumatın Enumerasiyası:** Ziyanverici proqram brauzer saxlancını, parol menecerlərini və Outlook/Teams kimi tətbiqlərdən yaddaşda saxlanmış şəhadətnamələri yoxlayır.
• **4. Ekfiltrasiya:** Yığılmış bütün məlumatlar şifrələnir və idarəetmə-komanda (C2) serverlərinə ötürülür.
• **5. Girişin Satışı:** Təhdid aktorları minlərlə oğurlanmış şəhadətnamə bazasını analiz edərək korporativ infrastruktur, bulud fayl paylaşımları və ERP sistemləri üçün nəzərdə tutulmuş girişləri seçir.

Təhlükənin Miqyası

Sızmaların miqyası olduqca narahatedicidir. ABŞ kommunal xidmətləri şirkətlərinə xidmət göstərən “Pickett and Associates” mühəndislik firması, təsnif edilmiş LiDAR faylları və ötürmə xətlərinin xəritələri daxil olmaqla, 139.1 giqabayt məlumat itirib.

“Intecro Robotics” hərbi təyyarə komponentləri üçün nəzərdə tutulmuş, İTAR (International Traffic in Arms Regulations) nəzarətində olan 11.5 giqabayt müdafiə sxemlərini ifşa edib. “Iberia Airlines” aviaşirkətinin təyyarələrin texniki xidmət proqramları və kritik uçuş təhlükəsizliyi sənədlərini ehtiva edən 77 giqabayt məlumatı sızdırılıb.

Ən kritik sızmalardan biri isə Braziliya hərbi polisinin aktiv heyətinə və onların ailələrinə aid şəxsi identifikasiya və tibbi məlumatları daxil olmaqla, Maida Health-ə aid 2.3 terabayt həcmində səhiyyə qeydlərinin ifşası olub.

Tövsiyələr və Həll Yolları

Analitiklər və tədqiqatçılar bu böhranın əsas səbəbinin mürəkkəb hücum yox, sadə təhlükəsizlik nəzarətinin olmaması olduğunu vurğulayırlar. Şirkətlər illərdir infostealer jurnallarında qalmış şəhadətnamələrin sui-istifadə edilməsinə imkan veriblər.

Bu cür genişmiqyaslı komprometasiyaların qarşısını almaq üçün tövsiyələr birmənalıdır:

• **Çoxfaktorlu İdentifikasiya (MFA):** Bütün kritik sistemlərdə və bulud xidmətlərində (xüsusilə ShareFile, Nextcloud, VPN və Remote Desktop girişlərində) MFA-nın dərhal və məcburi tətbiqi.
• **Ziyanvericilərin Monitorinqi:** Təhlükəsizlik komandaları aktiv şəkildə infostealer jurnallarını izləməli və giriş məlumatlarının hələ də istifadə olunmazdan əvvəl komprometasiya edilib-edilmədiyini yoxlamalıdırlar.
• **İstifadəçi Təhsili:** Əməkdaşları fişinq və zərərli proqram endirmə təhlükələri barədə daimi maarifləndirməklə yanaşı, onlara etibarlı parol menecerlərindən istifadə etməyi təlim etmək.
• **Köhnə Şəhadətnamələrin Deaktiv Edilməsi:** İllərlə əvvəl oğurlanmış və hələ də aktiv olan köhnə giriş məlumatlarının aşkarlanması və ləğv edilməsi.

**Nəticə**

“Zestix” hadisəsi bir daha göstərir ki, ən böyük kiber risk, mürəkkəb texnologiyalardan deyil, əsas təhlükəsizlik gigiyenasında buraxılan boşluqlardan qaynaqlanır. Korporasiyalar üçün ilk növbədə, oğurlanmış şəhadətnamələrin faydasız hala gəlməsini təmin edən qızıl qayda – Çoxfaktorlu İdentifikasiyanın tətbiqi – prioritet olmalıdır. Əks halda, kiber cinayətkarlar bulud sistemlərinə daxil olmaq üçün ‘ən sadə açar’dan istifadə etməyə davam edəcəklər.