UAT-7290 Hücumları: Asiya və Avropa Regionlarında Kritik İnfrastruktura Hədəfləri

Giriş

Son dövrlərdə kiberhücumların artan miqyası ilə əlaqədar olaraq, UAT-7290 adlı təhlükəli haker qrupu 2022-ci ildən bəri Cənubi Asiya regionunda kritik infrastruktura və telekommunikasiya şirkətlərini aktiv şəkildə hədəf alır. Çin hökuməti ilə əlaqələri olduğu güman edilən bu qrup, həyati əhəmiyyətli rabitə şəbəkələri üçün ciddi təhlükə yaradır. Təhlükənin miqyası son zamanlar qrupun Cənub-Şərqi Avropaya doğru genişlənməsi ilə daha da artmışdır. Bu məqalədə UAT-7290-ın fəaliyyəti, texniki hücum metodları və müdafiə yolları haqqında ətraflı məlumat verəcəyik.

Texniki Analiz

Cisco Talos analitikləri tərəfindən aparılan təhlillər göstərir ki, UAT-7290 hədəf sistemlərə sızmaq üçün hesablana bilən və mürəkkəb bir yanaşma tətbiq edir. Qrup hücumdan əvvəl hədəflərini dərindən anlamaq üçün diqqətli planlaşdırma və texniki kəşfiyyat aparır. Onlar hücum metodlarının qarışığından istifadə edir ki, bura məlum təhlükəsizlik zəifliklərini `exploit` etmək və internetə açıq sistemlərə qarşı brute force hücumları daxildir. Həmçinin, UAT-7290 digər haker qruplarının əməliyyatları üçün ilkin giriş təminatçısı kimi də fəaliyyət göstərir.

Qrupun alət dəstinə bir çox kənar şəbəkə cihazlarını gücləndirən Linux sistemləri üçün nəzərdə tutulmuş inkişaf etmiş `malware` daxildir. Cisco Talos tərəfindən izlənilən `malware` ailələri RushDrop (infeksiya prosesini başladan bir dropper), DriveSwitch (əsas zərərli proqram təminatının icrasına kömək edən) və SilentRaid (davamlı giriş təmin edən mərkəzi proqram) kimi adları əhatə edir. Bu alətlər qrupun texniki mürəkkəbliyini və güzəştə gedilmiş şəbəkələr üzərində dərin nəzarət əldə etməyə fokuslandığını göstərir.

İnfeksiya prosesi qrupun texniki ustalığını ortaya qoyur. RushDrop bir sistemdə işə düşdükdə, aşkarlanmamaq üçün əvvəlcə real kompüterdə və ya test mühitində işləyib-işləmədiyini yoxlayır. Əgər yoxlamalar uğurlu olarsa (və ya VM aşkar edilməzsə, özünü silir), RushDrop “.pkgdb” adlı gizli qovluq yaradır və bu yerə üç komponenti açır. Prosesə SilentRaid implantı olan “chargen” və sistemdə əmrləri icra edə bilən qanuni Linux aləti “busybox” daxildir. Bu addım-addım yanaşma hücum edənlərin alətlərini necə gizlətdiyini və dərhal şübhə yaratmadan nəzarəti necə saxladığını göstərir.

SilentRaid hücum edənlərə bir neçə imkan verən modul plugin sistemi ilə işləyir. Bu `malware` uzaqdan idarə olunan shell-lər açaraq, internet portlarını ötürərək və yoluxmuş sistemlərdə faylları idarə edə bilir. SilentRaid işə düşdükdə, serverin ünvanını tapmaq üçün bir domen adı və Google-ın ictimai DNS xidmətindən (8.8.8.8) istifadə edərək nəzarət serveri ilə əlaqə qurur. Bu rabitə metodu `malware`nin fəaliyyətini normal görünən internet trafikində gizlətməyə kömək edir və şəbəkə müdafiəçiləri üçün aşkarlamanı çətinləşdirir. Plugin sistemi hücum edənlərə təxribatlarını hər bir hədəfə uyğunlaşdırmaq üçün tərtib zamanı müxtəlif alətləri qarışdırmağa və uyğunlaşdırmağa imkan verir.

Təhlükənin Miqyası

UAT-7290-ın hədəflədiyi kritik infrastruktura müəssisələri və telekommunikasiya şirkətləri, bir ölkənin iqtisadiyyatı və milli təhlükəsizliyi üçün həyati əhəmiyyət kəsb edir. Bu hücumlar təkcə məlumat oğurluğu və ya xidmət kəsilməsi ilə nəticələnmir, həm də regional sabitliyə ciddi təsir göstərə bilər. Qrupun həm Cənubi Asiyada, həm də Cənub-Şərqi Avropada fəaliyyət göstərməsi, beynəlxalq səviyyədə koordinasiyalı kiber-müdafiə səylərinin vacibliyini vurğulayır. Bu hücumlar nəticəsində telekommunikasiya şəbəkələrinin kompromisləşməsi, kritik rabitə xətlərinin dinlənilməsinə, kəşfiyyat məlumatlarının əldə edilməsinə və hətta gələcək daha geniş miqyaslı hücumlar üçün zəmin yaradılmasına gətirib çıxara bilər.

Qorunma Yolları

UAT-7290 kimi inkişaf etmiş təhlükələrdən qorunmaq üçün təşkilatlar bir sıra preventiv tədbirlər görməlidir:

• Təhlükəsizlik Yeniləmələri: Bütün sistemlər, xüsusilə internetə açıq olanlar, daim ən son təhlükəsizlik yeniləmələri ilə təmin edilməlidir ki, məlum zəifliklərin `exploit` edilməsinin qarşısı alınsın.
• Güclü Şifrələr və İki Faktorlu Autentifikasiya: Brute force hücumlarına qarşı güclü, mürəkkəb şifrə siyasətləri tətbiq edilməli və mümkün olan hər yerdə iki faktorlu autentifikasiya (MFA) istifadə olunmalıdır.
• Şəbəkə Monitorinqi: Şəbəkə trafikinin davamlı olaraq monitorinqi anomal fəaliyyətlərin, `malware` rabitəsinin və ya icazəsiz giriş cəhdlərinin erkən aşkarlanmasına kömək edir.
• Endpoint Detection and Response (EDR) Sistemləri: UAT-7290 kimi qrupların inkişaf etmiş `malware`ini aşkarlamaq və zərərsizləşdirmək üçün EDR həlləri tətbiq edilməlidir.
• Giriş Nəzarəti və Şəbəkə Seqmentasiyası: Minimum imtiyaz prinsipi tətbiq olunmalı və kritik sistemlər üçün şəbəkə seqmentasiyası aparılmalıdır ki, hücum baş verdikdə onun yayılma sahəsi məhdudlaşdırılsın.
• Təhdid Kəşfiyyatı: Cisco Talos kimi təhlükəsizlik şirkətlərinin hesabatlarını izləmək və yeni təhdidlər haqqında məlumatlı olmaq, proaktiv müdafiə strategiyaları hazırlamağa kömək edir.

Bu addımları atmaqla təşkilatlar UAT-7290 kimi mürəkkəb təhdid aktorlarının yaratdığı riskləri əhəmiyyətli dərəcədə azalda bilərlər.