DarkSpectre Kampaniyası: 8.8 Milyon İstifadəçini Hədələyən Brauzer Ekstensiyları Təhlükəsi

Giriş (Hadisənin mahiyyəti)

Qlobal kiber təhlükəsizlik mühiti brauzer əsaslı zərərləndirmə cəhdlərinin (client-side compromise) artması ilə mürəkkəbləşməkdədir. Ənənəvi server hədəflərindən fərqli olaraq, hakerlər indi milyonlarla fərdi istifadəçinin şəxsi məlumatlarına birbaşa çıxış əldə etmək üçün brauzer ekstensiyları vasitəsilə yayılmış “supply-chain” hücumlarına fokuslanırlar. Son dövrlər diqqət mərkəzində olan belə kampaniyalardan biri də, Koi Security tərəfindən izlənilən Çinli təhdid aktoru qrupu tərəfindən həyata keçirilən DarkSpectre adlanır.

Məlumata görə, bu qrup əvvəlki ShadyPanda və GhostPoster kampaniyaları ilə birlikdə ümumilikdə 8.8 milyon istifadəçiyə təsir göstərib. Təkcə DarkSpectre kampaniyası Google Chrome, Microsoft Edge və Mozilla Firefox kimi əsas brauzerlərin 2.2 milyon istifadəçisini zərərləndirmişdir. Bu rəqəmlər, hətta rəsmi mağazalarda yayılan proqram təminatına qarşı belə, rəqəmsal etimadın necə asanlıqla sui-istifadə edilə biləcəyini nümayiş etdirir. Hücumun əsas məqsədi istifadəçinin session məlumatlarının, avtorizasiya tokenlərinin oğurlanması və gizli şəkildə reklam saxtakarlığıdır.

Texniki Detallar (Hücum necə baş verir?)

DarkSpectre kampaniyası, brauzerlərin icazə modelinin (Permission Model) memarlıq zəifliklərindən istifadə edən yüksək mürəkkəblikdə bir hücum növüdür. Bu hücumlar birbaşa brauzerin özündəki Zero-Day Exploit üzərində qurulmur, əksinə, istifadəçilərin geniş icazələrə malik zərərli ekstensiyları könüllü şəkildə quraşdırmasına əsaslanır.

Əsas mexanizm:

1. **İcazənin Genişləndirilməsi (Permission Escalation):** Zərərli brauzer ekstensiylaları quraşdırılma zamanı istifadəçidən yüksək imtiyazlar (High Privileges) tələb edir. Bu imtiyazlar adətən ‘tabs’ API, ‘webRequest’ API və ‘storage’ API kimi funksiyalara tam çıxışı əhatə edir. Məsələn, ekstensiya “Bütün veb-saytlardakı məlumatlarınızı oxuyun və dəyişdirin” icazəsini tələb edərək, istifadəçinin daxil etdiyi şifrələri və ya form məlumatlarını oğurlamaq imkanı qazanır.
2. **Obfuskasiya və C2 Rabitəsi:** DarkSpectre-in fəaliyyətini izləməni çətinləşdirmək üçün, onun kodu adətən ciddi şəkildə obfuskasiya edilmiş JavaScript faylları ilə təchiz olunur. Əsas zərərli yük (Malware payload) aktivləşdirildikdən sonra, ekstensiya C2 (Command and Control) serverləri ilə şifrələnmiş kanal üzərindən əlaqə qurur. Bu C2 serverlər, hakerlərə zərərləndirilmiş brauzer üzərində RCE (Remote Code Execution) həyata keçirmədən belə, konfiqurasiyaları dinamik olaraq dəyişməyə imkan verir.
3. **Məlumatın Oğurlanması:** Əsas fəaliyyətə daxildir: istifadəçi session cookie-lərinin (xüsusilə də yüksək dəyərli saytların – bank, korporativ VPN) oğurlanması, kripto-valyuta cüzdanlarının idarəetmə interfeysinə çıxış və Phishing əməliyyatlarına kömək etmək üçün istifadəçi trafikinin yenidən yönləndirilməsi (Redirection).

CVE nömrəsi bu hücumla birbaşa əlaqəli deyil, çünki problem brauzer proqram təminatının özündəki bir Vulnerability deyil, ekstensiyların icazə mexanizminin sui-istifadəsindən ibarətdir.

Təhlükənin Miqyası (Kimlər risk altındadır?)

8.8 milyon istifadəçinin təsirlənməsi DarkSpectre kampaniyasının miqyasının nə dərəcədə qlobal olduğunu göstərir. Təhlükənin miqyası sadəcə fərdi məlumat itkisi ilə məhdudlaşmır; kritik infrastrukturlara və korporativ şəbəkələrə də sirayət edə bilər:

* **Korporativ Mühitlər:** İstifadəçilər iş kompüterlərində bu zərərli ekstensiyları quraşdırırlarsa, daxili şəbəkələrə giriş üçün istifadə edilən daxili korporativ session tokenləri oğurlana bilər. Bu, hakerlərə daxili şəbəkədə yan hərəkət (Lateral Movement) imkanı yaradır.
* **Maliyyə Məlumatları:** Hər hansı bir bank saytına daxil olarkən ekstensiyanın ‘read/modify data’ icazəsi sayəsində daxil edilən kart məlumatları və şifrələr anında təhdid aktoruna ötürülür.
* **Çoxplatformalı Risk:** Google Chrome, Microsoft Edge və Mozilla Firefox-un eyni anda hədəflənməsi göstərir ki, təhdid aktorları brauzerin arxitekturasından asılı olmayaraq, geniş yayılmış kodlama (Cross-platform coding) texnikalarından istifadə edirlər.

Ən böyük risk altında olanlar, adətən, tətbiqin faydalılığına diqqət yetirən, lakin quraşdırılma zamanı tələb olunan icazələri yoxlamayan istifadəçilərdir. Bu, geniş yayılmış Phishing və sosial mühəndislik (Social Engineering) üsulları ilə daha da sürətləndirilir.

Müdafiə və Həll Yolları (İstifadəçilər nə etməlidir?)

DarkSpectre kimi brauzer əsaslı kiber hücumların qarşısını almaq üçün istifadəçilər və təhlükəsizlik mütəxəssisləri ciddi addımlar atmalıdırlar. Əsas müdafiə strategiyası, “Minimum İcazə Prinsipi” (Principle of Least Privilege) üzərində qurulmalıdır:

1. **Ekstensiyların Dərindən Audit Edilməsi:** İstifadəçilər dərhal brauzerlərində quraşdırılmış bütün ekstensiyları nəzərdən keçirməli və istifadə edilməyən və ya şübhəli görünən hər hansı bir ekstensiylanı ləğv etməlidirlər. Xüsusilə, idarəedici və ya maliyyə məlumatlarına ehtiyacı olmayan ekstensiylaların ‘bütün veb-saytlarda məlumatları oxumaq’ kimi geniş icazələr tələb etməməsinə əmin olmaq lazımdır.
2. **Rəsmi Mağazalara Baxışla Etibar:** Ekstensiyları yalnız rəsmi brauzer mağazalarından quraşdırın. Quraşdırmadan əvvəl, tərtibatçının reputasiyasını, istifadəçi rəylərini və yükləmə sayını yoxlayın. Çox az yükləmə sayı və yeni tərtibatçı hesabları olan proqramlardan qaçın.
3. **Təhlükəsizlik Siyasətləri (GPO/MDM):** Korporativ mühitlərdə, İT şöbələri işçilərin yalnız təsdiqlənmiş (Whitelisted) ekstensiylaları quraşdıra bilmələri üçün Qrup Siyasətlərindən (GPO) istifadə etməlidirlər. Bu, DarkSpectre kimi bilinən zərərli ekstensiylaların (Malware) quraşdırılmasının qarşısını alır.
4. **Brauzerlərə Vaxtında Patch Quraşdırılması:** Brauzerlər tərəfindən buraxılan hər bir yeni Patch, ekstensiyların icazə modellərində tapıla bilən kiçik Vulnerability-ləri aradan qaldırır. Bütün istifadəçilər brauzerlərinin (Chrome, Edge, Firefox) həmişə ən son versiyada olduğundan əmin olmalıdırlar.
5. **Hesabların Təhlükəsizliyi:** Mühüm hesablar üçün iki faktorlu autentifikasiya (MFA) tətbiq etmək, əgər session cookie oğurlansa belə, hakerin birbaşa hesaba daxil olmasının qarşısını ala bilər. Session tokenlərini yeniləmək üçün mütəmadi olaraq çıxış (Logout) etmək də tövsiyə olunur.