PHALTBLYX Təhlükəsi: Saxta Windows BSOD Ekranları ilə İstifadəçiləri Zərərli Kod İcrasına Məcbur Edən Mürəkkəb Fişinq Kampaniyası

Kiber təhlükəsizlik dünyasında sosial mühəndislik taktikaları daim təkmilləşir və PHALTBLYX adlanan yeni zərərli proqram kampaniyası bu sahədə növbəti kritik addımı təmsil edir. Bu kampaniya qonaqpərvərlik sektorunda fəaliyyət göstərən təşkilatları hədəf alaraq, Booking.com fişinqi və saxta Windows “Mavi Ölüm Ekranı” (BSOD) illüziyası vasitəsilə qurbanları bilərəkdən zərərli kodu icra etməyə məcbur edir.

Securonix analitikləri tərəfindən aşkar edilən PHALTBLYX hücumu, istifadəçi psixologiyasından istifadə edərək ənənəvi təhlükəsizlik nəzarətlərini aşmaq üçün dizayn edilmiş bir sıra mürəkkəb mərhələlərdən ibarətdir. Bu, sadə fişinq deyil, həm texniki aşkarlamadan yayınmağa, həm də istifadəçinin əli ilə icraya imkan verən bir hibrid hücum modelidir.

Texniki Detallar

Hücum zənciri, Booking.com xidmətinə bənzər saxta e-poçtlar vasitəsilə başlayır. Bu mesajlar, guya, böyük məbləğdə avro ilə ifadə olunan rezervasiya ləğvi barədə təcili xəbərdarlıqlar ehtiva edir. Təşvişə düşən qurbanlar, saxta xəbərdarlığı həll etmək məqsədilə vizual olaraq orijinal saytla eyni olan, lakin hakerlər tərəfindən idarə olunan Booking.com səhifəsinə yönləndirilir.

**’ClickFix’ Sosial Mühəndislik Metodu**

PHALTBLYX kampaniyasının ən mühüm və yenilikçi hissəsi ‘klik-düzəlt’ (click-fix) adlanan sosial mühəndislik taktikasıdır. Qurban saxta saytda ‘yenilə’ (refresh) düyməsinə kliklədikdə, brauzer tam ekranı əhatə edən, olduqca real görünüşlü bir Windows BSOD (Blue Screen of Death) animasiyası göstərir. Bu saxta sistem qəzası, istifadəçini ekranda göstərilən xüsusi klaviatura kombinasiyalarını (adətən kopyalama və yapışdırma əməliyyatlarını əhatə edən) izləməyə təşviq edir.

Securonix analitikləri müəyyən ediblər ki, BSOD təqlidi zamanı zərərli proqram istifadəçinin bu hərəkətləri etməsindən xəbərsiz olduğu halda, zərərli bir PowerShell əmrini müvəqqəti yaddaşa (clipboard) kopyalayır. İstifadəçi ekrandakı təlimatlara əməl edərək bu əmri icra etdikdə, təhlükəsizlik nəzarətləri avtomatik skript icrası kimi deyil, istifadəçinin öz əməli kimi qəbul edir və beləliklə maneəsiz şəkildə kənardan yükləmə prosesi başlayır. Bu, avtomatlaşdırılmış icraya mane olan mühafizə sistemlərini effektiv şəkildə keçir.

**Sistemin Öz Resurslarından İstifadə (Living Off The Land – LOTL)**

İcra olunan PowerShell əmri, diqqəti yayındırmaq üçün orijinal Booking.com admin səhifəsini açarkən, eyni zamanda uzaq serverdən `v.proj` adlı bir MSBuild layihə faylını endirir. Bu mərhələdə cinayətkarlar, Windows-un qanuni komponenti olan MSBuild.exe (Microsoft Build Engine) kompilyatorundan istifadə edərək zərərli proqramın icrasını proksiləşdirirlər. Bu, ‘Sistemin Öz Resurslarından İstifadə Etmə’ (LOTL) taktikasıdır və əksər antivirus və tətbiq ağ siyahıya alma (whitelisting) həllərini aşmaq üçün geniş istifadə olunur.

**DCRat Son Yükü**

Hücumun son mərhələsi fərdiləşdirilmiş DCRat (Remote Access Trojan – Uzaqdan Giriş Troyanı) variantının yerləşdirilməsidir. Bu troyan, Windows Başlanğıc (Startup) qovluğuna qanuni sistem utilitləri kimi maskalanmış internet qısa yol (LNK) faylları yerləşdirməklə sistemdə daimi olaraq qalma mexanizmini təmin edir. Həmçinin, zərərli proqram əvvəlcə geniş fayl uzantısı və qovluq istisnaları əlavə edərək Windows Defender-i deaktiv edir.

Təhlükənin Miqyası

DCRat troyanı qurbanın sistemində genişmiqyaslı kəşfiyyat və nəzarət həyata keçirməyə qadirdir. C&C (Command and Control) serverlərinə qoşulduqdan sonra toplanan məlumatlara daxildir:

• Quraşdırılmış antivirus proqram təminatı.
• Əməliyyat sistemi və avadanlıq identifikasiyası.
• Klaviatura vuruşlarının qeydə alınması (Keylogging).
• Legitim sistem proseslərinə (məsələn, `aspnetcompiler.exe`) injeksiya.
• Əlavə zərərli yüklərin endirilməsi imkanı.

Hücumda tapılan kiril dili artefaktları və rus dilindəki sazlama sətirləri (debugging strings), PHALTBLYX kampaniyasının arxasında rusdilli təhdid aktorlarının dayandığını güclü şəkildə göstərir.

Tövsiyələr və Həll Yolları

Bu cür təkmilləşdirilmiş sosial mühəndislik hücumlarından qorunmaq üçün təşkilatlar aşağıdakı tədbirləri görməlidirlər:

• **İstifadəçi Maarifləndirilməsi:** İstifadəçilər veb-saytlar tərəfindən göstərilən gözlənilməz sistem xətası (xüsusilə BSOD) ekranlarına etibar etməməli və əl ilə klaviatura kombinasiyaları icra etməməlidirlər. ‘Klik-düzəlt’ taktikalarına qarşı xüsusi təlimlər aparılmalıdır.
• **LOTL Aşkarlanması:** Təhlükəsizlik komandaları, MSBuild.exe, PowerShell, və digər legitim Windows utilitlərinin qeyri-standart qovluqlardan icra edilməsini (xüsusən də şəbəkədən endirilmiş fayllarla əlaqədar) daimi olaraq monitorinq etməlidir.
• **Tətbiq Nəzarəti:** Əsas iş mühərriklərinin (compilerlər və script interpreterləri) icrasına məhdudiyyətlər qoyan Application Whitelisting siyasətlərinin tətbiqi zəruridir.
• **Uç Nöqtə Mühafizəsi (EDR):** Zərərli davranışları imza əsasında deyil, davranış analizi əsasında aşkarlayan inkişaf etmiş EDR (Endpoint Detection and Response) həllərindən istifadə tövsiyə olunur.

Nəticə

PHALTBLYX kampaniyası, texniki qorunma tədbirlərinin belə istifadəçi səhvləri ilə necə aşılacağını göstərən tipik bir nümunədir. Bu hücum metodologiyası, sosial mühəndislik və LOTL texnikalarını birləşdirərək həm istifadəçini aldatmaq, həm də təhlükəsizlik sistemlərini yoldan çıxarmaq baxımından ciddi bir təkamülü ifadə edir. Qonaqpərvərlik sektorunda fəaliyyət göstərən təşkilatlar bu yeni təhlükəyə qarşı dərhal müdafiə mövqelərini gücləndirməlidirlər.