Mustang Panda’nın Yeni Taktikası: İmzalanmış Kernel-Mode Rootkit Vasitəsilə TONESHELL Backdoor-un Tətbiqi

Mustang Panda’nın Yeni Taktikası: İmzalanmış Kernel-Mode Rootkit Vasitəsilə TONESHELL Backdoor-un Tətbiqi

Giriş (Hadisənin mahiyyəti)

Çinin dövlət dəstəkli haker qruplarından biri olan və APT (Advanced Persistent Threat) kateqoriyasına daxil edilən Mustang Panda (digər adı HoneyMyte) tərəfindən həyata keçirilən kiber casusluq kampaniyası dünya kiber təhlükəsizlik ictimaiyyəti arasında ciddi narahatlığa səbəb olmuşdur. Kaspersky təhlükəsizlik mütəxəssisləri tərəfindən 2025-ci ilin ortalarında aşkarlanan bu hücumda Mustang Panda qrupu hədəflənmiş Asiya qurumuna qarşı əvvəllər sənədləşdirilməmiş, yeni və yüksək dərəcədə təhlükəli bir texnikadan istifadə etmişdir. Hücumun əsas cəhəti, sistemin ən yüksək imtiyaz səviyyəsində işləyən və TONESHELL Backdoor-un yeni variantını sistemə yükləmək üçün istifadə edilən, xüsusi olaraq hazırlanmış ‘kernel-mode rootkit driver’-ın tətbiqi olmuşdur. Bu, hakerlərin deteksiya mexanizmlərini aşmaq və hədəf sistemdə davamlılığı təmin etmək üçün istifadə etdiyi taktikaların necə təkamül etdiyini göstərən bariz nümunədir. İmzalanmış drayverlərin istifadəsi, hücumun sistem tərəfindən ‘legitim’ kimi qəbul edilməsinə, beləliklə də ənənəvi antivirus və bəzi EDR (Endpoint Detection and Response) həllərinin funksiyasını bypass etməsinə imkan yaratmışdır.

Texniki Detallar (Hücum necə baş verir?)

Bu hücumun texniki mahiyyəti, onun ‘kernel-mode’ səviyyəsində fəaliyyət göstərməsidir. Əməliyyat sistemlərində (xüsusilə Windows) Kernel-mode (Ring 0) ən yüksək imtiyaz səviyyəsidir və bu səviyyədə işləyən istənilən kod (adətən drayverlər) sistemin bütün resurslarına tam nəzarət edə bilir. Əksinə, adi proqramlar User-mode-da işləyir. Mustang Panda-nın istifadə etdiyi rootkit, TONESHELL Backdoor-u sistemə bu dərin səviyyədə implantasiya etmək üçün xidmət edir.

**İmzalanmış Kernel-Mode Rootkit:** Təhlükəsizlik mexanizmlərini (məsələn, Windows-da Driver Signature Enforcement – DSE) aşmaq üçün hakerlər drayveri qanuni, lakin ya etibarsız, ya da pozulmuş rəqəmsal sertifikatla imzalamışlar. Bu imza sistemə drayverin etibarlı mənbədən gəldiyini ‘təsdiqləyir’ və beləliklə, drayver problemsiz şəkildə Kernel-mode-a yüklənir. Rootkit yükləndikdən sonra, aşağıdakı iki əsas funksiyanı yerinə yetirir:

1. **Gizlətmə (Hiding):** Rootkit sistem proseslərini və ya fayl sistemini manipulyasiya edərək TONESHELL Backdoor ilə əlaqəli faylların, proseslərin və Registry açarlarının adi əməliyyat sistemi API-ləri vasitəsilə aşkarlanmasını çətinləşdirir. Bu, Forensik analiz üçün ciddi maneə yaradır.
2. **TONESHELL Backdoor-un Yüklənməsi:** Rootkit TONESHELL-in yeni variantını prosesin yaddaşına inject edir və ona davamlı icra imkanı yaradır. TONESHELL Backdoor, kiber casusluq üçün tipik funksionallığa malikdir: komanda və idarəetmə (C2) serveri ilə əlaqə qurmaq, hədəf sistemdən məlumatları (sənədlər, istifadəçi məlumatları) exfiltrate etmək, və əlavə payload-ları yükləmək üçün RCE (Remote Code Execution) imkanı təmin etmək. Bu isə TONESHELL-i hədəf şəbəkədə lateral hərəkət (Lateral Movement) üçün ideal bir alətə çevirir.

Hal-hazırda bu xüsusi zəifliyin istifadəsi üçün heç bir CVE (Common Vulnerabilities and Exposures) nömrəsi təyin edilməyib, çünki problem sistem zəifliyi (Vulnerability) deyil, qanuni mexanizmlərin (Signed Driver) sui-istifadə edilməsidir.

Təhlükənin Miqyası (Kimlər risk altındadır?)

Mustang Panda qrupu tarixən geosiyasi və iqtisadi maraqları olan yüksək dəyərli hədəflərə, o cümlədən hökumət qurumlarına, müdafiə sənayesinə, diplomatik missiyalara və kritik infrastruktura fokuslanmışdır. İmzalanmış Kernel-mode rootkit istifadəsi ilə təhlükənin miqyası daha da genişlənir, çünki bu tip hücumlar ən müasir korporativ təhlükəsizlik həllərini belə asanlıqla aldada bilir.

Əgər bu Kernel-mode Rootkit uğurla tətbiq edilirsə, hakerlər hədəf sistemin üzərində tam nəzarət əldə edir. Bu, sistemdə tam gizlənmə, qalıcı nəzarət və məhdudiyyətsiz məlumat exfiltration imkanı deməkdir. Təkcə Asiyada deyil, bütün dünyada – Azərbaycan da daxil olmaqla – hökumət şəbəkələrini, maliyyə institutlarını və telekommunikasiya şirkətlərini hədəf ala biləcək APT qruplarının arsenalında belə bir texnikanın olması, kiber müdafiə strategiyalarının yenidən nəzərdən keçirilməsini zəruri edir. Ən böyük risk, hücumun uzun müddət ərzində aşkarlanmamasıdır, çünki rootkit Backdoor-u sistemin ən dərin qatlarında gizlədir.

Müdafiə və Həll Yolları (İstifadəçilər nə etməlidir?)

Bu cür yüksək səviyyəli Kernel-mode hücumlarından müdafiə olunmaq üçün təşkilatlar ənənəvi perimetr mühafizəsindən kənara çıxmalı və sistemin daxili bütövlüyünü (integrity) təmin edən qatlara fokuslanmalıdırlar.

1. **Təkmil EDR (Endpoint Detection and Response) Həlləri:** Təşkilatlar Kernel-mode aktivliyini, drayverlərin yüklənməsini və sistem çağırışlarını (system calls) monitorinq edə bilən, davranış əsaslı analitikaya malik EDR və ya XDR (Extended Detection and Response) həllərindən istifadə etməlidirlər. Bu həllər, qeyri-adi Kernel fəaliyyətini və proseslərarası injeksiya cəhdlərini detekt etməyə kömək edir.
2. **Microsoft HVCI/VBS (Hypervisor-Protected Code Integrity/Virtualization-Based Security):** Mümkün olan yerdə, Microsoft-un Virtualization-Based Security (VBS) xüsusiyyətləri aktivləşdirilməlidir. VBS, hətta Kernel-mode drayverlərini də təhlükəsiz virtual mühitdə yoxlayır və hakerlərin pozulmuş sertifikatlarla imzalanmış zərərli kodları icra etməsinin qarşısını almaqda effektivdir.
3. **Sertifikat Auditləri və Ağ Siyahı (Whitelisting):** Təşkilatlar drayverlərin rəqəmsal imzalarını mütəmadi olaraq audit etməli və yalnız etibarlı, təsdiqlənmiş drayverlərin (Driver Whitelisting) yüklənməsinə icazə verən ciddi siyasətlər tətbiq etməlidirlər. Naməlum və ya yeni imzalanmış drayverlər avtomatik olaraq bloklanmalıdır.
4. **Şəbəkə Monitorinqi və Segmentation:** TONESHELL Backdoor-un əsas məqsədi C2 serveri ilə əlaqə qurmaqdır. Təşkilatlar şəbəkə trafikini (xüsusilə şifrələnmiş trafik daxilindəki anomaliyaları) dərindən analiz etməli və hədəf sistemlərin Kənar Mənbələrlə Qanunsuz Əlaqə cəhdlərini aşkar etmək üçün Threat Hunting komandalarını gücləndirməlidirlər. Şəbəkə Segmentation lateral hərəkəti məhdudlaşdırır.
5. **Minimal İmtiyaz Prinsipi (Principle of Least Privilege):** İstifadəçilər və proseslər üçün ən aşağı imtiyaz səviyyəsini tətbiq etmək, hücum baş versə belə, onun sistem üzərində potensial zərərini minimuma endirir.