Evasive Panda APT Qrupu: DNS Zəhərlənməsi ilə Hədəflənmiş Kiber Casusluq Kampaniyası

Giriş (Hadisənin mahiyyəti)

‘Xaker.az’ olaraq, kiber təhlükəsizlik dünyasının ən son və ən ciddi təhdidlərindən birini, yəni Çinlə əlaqəli olduğu ehtimal edilən Evasive Panda adlı Advanced Persistent Threat (APT) qrupunun həyata keçirdiyi uzunmüddətli kiber casusluq əməliyyatını diqqətinizə çatdırırıq. Kaspersky təhlükəsizlik şirkəti tərəfindən aşkar edilən bu kampaniya, 2022-ci ilin noyabrından 2024-cü ilin noyabrına qədər davam etmişdir. Hücumun əsas cəhəti, hədəflənmiş qurbanlara öz imzası sayılan MgBot adlı Backdoor-u çatdırmaq üçün Domain Name System (DNS) sorğularının zəhərlənməsi (DNS Poisoning) metodundan istifadə edilməsidir.

Bu əməliyyatın əsas hədəfləri Türkiyə, Çin və Hindistanda yerləşən müəssisələr və şəxslər olmuşdur. APT qrupu, yüksək səviyyəli gizlilik nümayiş etdirərək, MgBot Malware-nin qurulması üçün kritik infrastruktur mexanizmlərini manipulyasiya etmişdir. Bu, sadə hücum deyil, əksinə, müəyyən edilmiş strateji məlumatları ələ keçirməyə yönəlmiş yüksək texnoloji casusluq aktıdır.

Texniki Detallar (Hücum necə baş verir?)

Evasive Panda-nın istifadə etdiyi DNS Poisoning metodu, ənənəvi hücum vektorlarından fərqli olaraq, etibarlı şəbəkə infrastrukturuna olan inamdan sui-istifadə edir. DNS, domen adlarını (məsələn, xaker.az) IP ünvanlarına çevirən internetin “telefon kitabçası” rolunu oynayır. DNS Poisoning, hücumçunun hədəf sisteminin DNS keşinə (cache) saxta məlumatları inyeksiya etməsi ilə baş verir.

Hücumun texniki ardıcıllığı adətən aşağıdakı mərhələləri əhatə edir:

1. Zəhərlənmənin İnyeksiyası: Hücumçu, hədəf şəbəkəyə daxil olaraq və ya aralıq DNS serverini kompromisləşdirərək, müəyyən bir leqal domen üçün sorğu nəticəsini öz nəzarətində olan zərərli serverin IP ünvanı ilə əvəz edir.
2. Yönləndirmə (Redirection): Qurbanın sistemi leqal veb-sayta daxil olmaq istədikdə, zəhərlənmiş DNS keşinə görə, sorğu faktiki olaraq Evasive Panda-nın nəzarətində olan Command and Control (C2) serverinə yönləndirilir.
3. MgBot Çatdırılması: Yönləndirmədən sonra, qurbanın maşını avtomatik olaraq MgBot adlı *Backdoor* *Malware*-ni endirir və icra edir.

MgBot *Backdoor*-unun Xüsusiyyətləri: MgBot yüksək funksionallığa malik bir kiber casusluq alətidir. Onun əsas məqsədi hədəf sistemdə davamlılıq (persistence) yaratmaq, faylları skan etmək, klaviatura hərəkətlərini qeydə almaq və ələ keçirilmiş məlumatları C2 serverə *exfiltrate* etməkdir. Bu *Backdoor* adətən təhlükəsizlik proqramlarından yayınmaq üçün mürəkkəb gizlətmə metodlarından istifadə edir və uzun müddət aşkar edilmədən fəaliyyət göstərməyə qadirdir.

Təhlükənin Miqyası (Kimlər risk altındadır?)

Evasive Panda-nın fəaliyyəti göstərir ki, kiber casusluq kampaniyaları təkcə məhdud coğrafi ərazilərə deyil, həm də strateji maraq dairəsinə düşən müxtəlif regionlara yönələ bilər. Bu hücum metodologiyasından istifadə edən hər kəs risk altındadır, xüsusən də kritik infrastruktur operatorları, hökumət qurumları, hərbi podratçılar və yüksək texnoloji araşdırma mərkəzləri.

DNS Poisoning-in ən böyük təhlükəsi, onun ənənəvi şəbəkə mühafizəsi vasitələrini (məsələn, trafikin dərin təftişini aparan firewall-ları) aldatmaq qabiliyyətidir. Zira, ilkin sorğu leqal bir domenə yönəldilir. Təhlükə, hədəf şəbəkədəki zəif konfiqurasiyalı DNS serverlərindən və ya aralıq ISP serverlərindən istifadə edildikdə kəskin şəkildə artır.

Bu tip APT əməliyyatlarında məqsəd yalnız ani maliyyə qazancı deyil, həm də uzunmüddətli strateji üstünlük, o cümlədən milli təhlükəsizlik və iqtisadi sirlərin oğurlanmasıdır. MgBot-un *Backdoor* imkanları sayəsində, hücumçular hədəf şəbəkədə aylarla, hətta illərlə mövcudluqlarını saxlaya bilərlər.

Müdafiə və Həll Yolları (İstifadəçilər nə etməlidir?)

Bu mürəkkəb hücum vektorundan qorunmaq üçün təşkilatlar çoxqatlı müdafiə (Defence-in-Depth) strategiyasını tətbiq etməlidir. DNS Poisoning və MgBot kimi *Backdoor* *Malware*-lərinin qarşısını almaq üçün aşağıdakı texniki addımlar vacibdir:

• DNSSEC Tətbiqi: Təşkilatlar DNS Security Extensions (DNSSEC) tətbiq etməlidirlər. DNSSEC, DNS qeydlərinin kriptoqrafik imzalanmasını təmin edərək, sorğuların autentikliyini yoxlayır və saxta DNS cavablarının qəbul edilməsinin qarşısını alır.
• Şəbəkə Monitiorinqi və Seqmentasiyası: Şəbəkə trafikində, xüsusilə də DNS sorğularında qeyri-adi fəaliyyətlərin aşkarlanması üçün aktiv monitorinq sistemləri (Network Traffic Analysis) istifadə edilməlidir. Həmçinin, şəbəkəni seqmentasiya etmək, *Backdoor* təhlükəsinin lateral hərəkətini (lateral movement) çətinləşdirir.
• Protokol Təhlükəsizliyi: Həssas məlumat mübadiləsi üçün həmişə Domain Validation (DV) sertifikatları ilə təmin olunmuş HTTPS kimi şifrələnmiş protokollara üstünlük verilməlidir. Bu, trafikin tutulsa belə, məzmununun oxunmasını qeyri-mümkün edir.
• Təcili *Patch* Tətbiqi: Əməliyyat sistemləri və şəbəkə infrastrukturunda tapılan *Vulnerability*-lərə qarşı təhlükəsizlik *Patch*-ləri dərhal tətbiq edilməlidir.
• Endpoint Mühafizəsi: Ənənəvi antivirus həllərindən fərqli olaraq, davranış analizinə əsaslanan Endpoint Detection and Response (EDR) platformalarından istifadə etmək, MgBot kimi gizli *Malware*-lərin fəaliyyətini aşkarlamağa kömək edir.