Steqanoqrafiyaya Əsaslanan Yeni Təhlükə: Ticariləşdirilmiş Yükləyici (Commodity Loader) Hökumət və İstehsalat Sektorlarını Hədəf Alır

Kiber təhlükəsizlik tədqiqatçıları, bir çox təhdid aktorları qrupları tərəfindən geniş şəkildə paylaşılan ‘commodity loader’ (ticariləşdirilmiş yükləyici) vasitəsilə həyata keçirilən son dərəcə mürəkkəb bir zərərli proqram kampaniyasını aşkar ediblər. Bu əməliyyat, hədəflənmiş e-poçt kampaniyaları vasitəsilə müxtəlif müəssisələrin kritik sənaye məlumatlarını və inzibati etibarnamələrini ələ keçirmək üçün hazırlanmışdır.

Hücum, xüsusilə İtaliya, Finlandiya və Səudiyyə Ərəbistanındakı istehsalat və hökumət təşkilatlarına qarşı dəqiqliklə planlaşdırılıb. Təhdid aktorlarının bu kampaniyada nümayiş etdirdiyi yüksək səviyyəli texniki bacarıqlar, onların xüsusi olaraq hazırlanmış, çoxpilləli yayındırma mexanizmlərinə sərmayə qoyduğunu göstərir.

Hücumda istifadə edilən çatdırılma vektorları arasında **CVE-2017-11882** zəifliyini istismar edən silahlanmış Office sənədləri, zərərli SVG faylları və LNK qısa yollarını ehtiva edən ZIP arxivləri yer alır. Bütün bu vektorlar, Remote Access Trojan (RAT) və məlumat oğurlayan zərərli proqramların (Information Stealer) əsasını təşkil edən vahid ticariləşdirilmiş yükləyiciyə yönəlir. Əməliyyatı fərqləndirən əsas cəhət, adliyyə izlərini minimuma endirmək üçün stenoqrafiya, troylanan açıq mənbəli kitabxanalar və fərdi hazırlanmış dörd mərhələli yayındırma boru kəmərini birləşdirən mürəkkəb, çoxqatlı müdafiədən yayınma yanaşmasıdır.

Texniki Detallar: Faylsız İcra və Gizli Yükləmə Zənciri

Phishing e-poçtları, etibarlı tərəfdaşlardan gələn qanuni Satınalma Sifarişi (Purchase Order) kommunikasiyaları kimi maskalanır. Qurbanlar qoşmaları açdıqdan sonra, Cyble analitikləri tərəfindən ikinci icra mərhələsindən sonra aşkarlanan mürəkkəb infeksiya zənciri açılır:

İnfeksiya Zəncirinin Əsas Mərhələləri

• Başlanğıc Vektoru və Obfuskasiya: İnfeksiya, RAR arxivlərində olan JavaScript faylları ilə başlayır. Bu fayllar, aşkarlama sistemlərindən yayınmaq üçün ağır şəkildə obfuskasiya edilmiş kodu icra edir.
• Gizli PowerShell İcrası: Obfuskasiya edilmiş JS skripti Windows Management Instrumentation (WMI) istifadə edərək gizli PowerShell proseslərini işə salır. Bu mərhələdə avtomatlaşdırılmış sandbox analizini yan keçmək üçün Base64 kodlaması, sətir manipulyasiyası və qəsdən edilmiş beş saniyəlik yuxu (sleep delay) tətbiq edilir.
• Steqanoqrafiya və Yükün Çıxarılması: İkinci mərhələdə PowerShell, Archive.org-dan PNG şəkil fayllarını endirir. Bu şəkillər stenoqrafik olaraq gizlədilmiş Base64 kodlu .NET assembly yüklərini ehtiva edir. PowerShell, xüsusi ayırıcılar istifadə edərək müntəzəm ifadə (regex) nümunə uyğunluğu vasitəsilə bu gizli yükləri çıxarır.
• Faylsız İcra (Fileless Execution): Assembly daha sonra diskin toxunmadan yaddaşa reflektiv şəkildə (`Reflection.Assembly::Load` metodu ilə) yüklənir. Bu üsul zərərli proqramın aşkarlanma ehtimalını əhəmiyyətli dərəcədə azaldır və adliyyə təhqiqatlarını çətinləşdirir.
• Troylanan Kitabxana və Proses İnyeksiyası: Üçüncü mərhələdə, təhdid aktorları GitHub-dakı qanuni açıq mənbəli `TaskScheduler` kitabxanasının troylanmış versiyasından istifadə edirlər. Yükləyici, orijinal mənbə koduna zərərli funksiyalar əlavə edərək, `RegAsm.exe` istifadə edərək dayandırılmış proseslər (suspended processes) yaradır və proses inyeksiyasını həyata keçirir.

Nəticədə çatdırılan son zərərli proqram **PureLog Stealer**-dir. O, Triple DES şifrələnməsi (CBC rejimi, PKCS7 doldurma ilə) və GZip dekompressiyası vasitəsilə çıxarılır. Steqanoqrafiya, sətir tərsinə çevrilməsi, Base64 kodlaması və proses boşluğunun (process hollowing) ardıcıl istifadəsi bu yükləyicinin bir neçə təhdid aktorları arasında paylaşılan (ticariləşdirilmiş) bir çatdırılma infrastrukturu olduğunu təsdiqləyir.

Təhlükənin Miqyası

Bu kampaniya yalnız spesifik coğrafi bölgələri (İtaliya, Finlandiya, Səudiyyə Ərəbistanı) hədəfləməklə yanaşı, həm də sektorial olaraq kritik infrastruktur (istehsalat) və dövlət qurumlarına fokuslanmışdır. Məqsəd sənaye sirrləri və admin səviyyəli etibarnamələr olduğu üçün, hücumun potensial nəticələri yüksək iqtisadi zərərlə və milli təhlükəsizlik riskləri ilə nəticələnə bilər.

Ticariləşdirilmiş yükləyicinin istifadəsi, bu cür mürəkkəb hücum imkanlarının daha az texniki biliyə malik aktorlar üçün də əlçatan olmasının artdığını göstərir. Bu, kiber təhlükəsizlik müdafiəçiləri üçün yeni bir problem yaradır, çünki təhdid imzaları tez-tez dəyişir, lakin əsas çatdırılma mexanizmi sabit qalır.

Tövsiyələr və Həll Yolları

Təşkilatlar bu cür faylsız və stenoqrafiyaya əsaslanan hücumlara qarşı müdafiəni gücləndirmək üçün aşağıdakı addımları atmalıdırlar:

• Zəifliklərin İdarə Edilməsi: Köhnə, lakin hələ də istismar edilən zəiflikləri (məsələn, CVE-2017-11882) aradan qaldırmaq üçün bütün proqram təminatlarını, xüsusilə Microsoft Office paketini dərhal yeniləyin.
• End-Point Aşkarlama və Cavab (EDR): Ənənəvi antivirusdan fərqli olaraq, faylsız icranı, PowerShell və WMI proseslərinin anormal davranışını (məsələn, gizli pəncərədə Base64 kodlu komandaların icrası) aşkar edə bilən EDR sistemlərindən istifadə edin.
• Yaddaş Təhlili: Reflektiv yükləmə texnikaları ilə icra edilən zərərli proqramları aşkar etmək üçün yaddaşda icra edilən proseslərə nəzarət edin və mütəmadi yaddaş dump analizləri aparın.
• Şifrələmə Zəncirlərinin Monitorinqi: Şifrələnmiş və obfuskasiya edilmiş kodu aşkar etmək üçün trafikdə və proses daxilində entropiya səviyyələrini izləyin. Triple DES və GZip dekompressiyasının qeyri-adi kombinasiyaları zərərli yükün əlaməti ola bilər.
• İstifadəçi Təhsili: Xüsusilə Satınalma Sifarişi mövzusu ilə gələn gözlənilməyən e-poçt qoşmalarının, hətta etibarlı mənbələrdən gəlmiş kimi görünsə belə, açılmaması barədə əməkdaşları təlimatlandırın.

Nəticə

Təhdid aktorları tərəfindən istifadə edilən bu ticariləşdirilmiş yükləyici (commodity loader), kiberhücum sənayesinin mürəkkəbliyinin yüksəldiyini nümayiş etdirir. Faylsız icra, stenoqrafiya və troylanan açıq mənbəli kodun inteqrasiyası müdafiə mexanizmlərini sınağa çəkir və təşkilatlardan təkcə imzaya əsaslanan deyil, həm də davranışa əsaslanan təhlil vasitələrinə investisiya qoymağı tələb edir. Bu, gələcək hücumlarda qarşılaşacağımız əsas çatdırılma çərçivələrindən biri ola bilər.