GravityRAT Uzaqdan Giriş Troyanı: Üç Platformada Təhlükəsizlik Sistemlərini Necə Yan Keçir?

2016-cı ildən bəri aktiv olan GravityRAT zərərli proqram təminatı, xüsusilə dövlət qurumları və hərbi təşkilatlar üçün ciddi təhdid olaraq qalır. Əvvəllər yalnız Windows sistemlərini hədəf alan bu Uzaqdan Giriş Troyanı (UGT), hazırda Windows, Android və macOS sistemlərini zərərləyə bilən, çarpaz platforma imkanlarına malik təkmilləşdirilmiş kiber silah halına gəlib.

GravityRAT-ın yayılma mexanizmi saxta tətbiqlər və aldadıcı elektron poçtlar üzərində qurulub. Təhlükəsizlik tədqiqatçılarının (Any.Run analitikləri) son tapıntıları bu zərərli proqramın müasir təhlükəsizlik analiz mühitlərini (sandbox) aşkar edərək özünü söndürmək üçün misilsiz yayınma texnikalarına sahib olduğunu göstərir.

Texniki Detallar

GravityRAT özünü qanuni proqram təminatı kimi maskalayır. İstər messencinq (mesajlaşma) tətbiqləri, istərsə də fayl mübadiləsi vasitələri şəklində təqdim olunan bu saxta proqramlar istifadəçi tərəfindən endirilib açıldıqda, troyan avtomatik olaraq cihazda quraşdırılır. UGT sistemə daxil olduqdan sonra həssas məlumatların kütləvi şəkildə toplanmasına başlayır.

Qəsb edilən məlumatlara daxildir:

• Şəxsi sənədlər və fotolar
• Mesajlaşma tarixçələri (xüsusilə WhatsApp ehtiyat nüsxələri)
• SIM kart məlumatları və zəng qeydləri (Android-də)
• .jpg, .pdf və .txt kimi geniş istifadə olunan fayl uzantıları

Zərərli proqram məlumatları ZIP formatında paketləyir və şifrələnmiş HTTPS bağlantıları vasitəsilə uzaqdakı Əmr və Nəzarət (C2) serverlərinə ötürür. GravityRAT-ı idarə edən kibercinayətkarlar FOXTROT, CLOUDINFINITY və CHATICO kimi kod adları ilə çoxsaylı hücum kampaniyalarını vahid mərkəzdən (GravityAdmin aləti vasitəsilə) idarə edirlər. Bu, troyanın yüksək səviyyəli və mütəşəkkil qruplar tərəfindən maliyyələşdirildiyini göstərir.

Android cihazlarında GravityRAT özünü “Speak Freely,” “BingeChat,” və ya “Chatico” kimi təhlükəsiz mesajlaşma xidmətləri təklif edən proqramlar kimi göstərir. Quraşdırıldıqdan sonra troyan sistemin yenidən başladılmasından sonra avtomatik işə düşməsini təmin etmək üçün planlaşdırılmış tapşırıqlar (scheduled tasks) yaradır, beləliklə cihaz üzərində uzunmüddətli giriş əldə edir.

Təkmil Yayınma Texnikaları

GravityRAT-ı digər UGT-lərdən fərqləndirən əsas cəhət onun təhlükəsizlik mühitlərini (sandboxing) aşkar etmək üçün istifadə etdiyi yeddi fərqli yoxlama mexanizmidir. Bu yoxlamalar zərərli proqramın real sistemdə, yoxsa virtual sınaq mühitində işlədiyini müəyyən etməyə imkan verir.

Ən əhəmiyyətli və yenilikçi yayınma üsulu Mərkəzi Prosessorun (CPU) temperaturunun yoxlanılmasıdır. GravityRAT Windows Management Instrumentation (WMI) interfeysindən istifadə edərək MSAcpi_ThermalZoneTemperature girişini sorğulayır.

Niyə bu, işə yarayır?

• Temperatur Dəstəyi: Hyper-V, VMware Fusion, VirtualBox, KVM və Xen kimi populyar virtuallaşdırma platformaları adətən bu növ hardware temperatur sensoru oxunuşlarını dəstəkləmir və buna görə də sorğuya xəta mesajı qaytarırlar.
• Reaksiya: GravityRAT xəta mesajı aldıqda, sınaq mühitində olduğunu anlayır və dərhal işini dayandırır. Bu, tədqiqatçıların onun tam zərərli kodunu təhlil etməsinə imkan vermir.

Əlavə yayınma yoxlamalarına aşağıdakılar daxildir:

• Kompüterin BIOS versiyasının təftişi.
• Virtuallaşdırma proqramının (VMware Tools və s.) mövcudluğuna dair sübutların axtarılması.
• CPU nüvələrinin sayının yoxlanılması (az nüvəli sistemlər şübhəli sayılır).
• Virtual sistemlərlə əlaqəli MAC ünvanlarının müəyyən edilməsi.

Təhlükənin Miqyası

GravityRAT-ın əsas hədəfi Hindistan hökumət işçiləri, hərbi personal və müdafiə podratçıları olub. 2016-2018-ci illər arasında təxminən 100 yoluxma faktı qeydə alınmışdır. Lakin zərərli proqram həmçinin təhsil müəssisələrinə və biznes sektoruna da yayılmışdır.

2022-ci ildən 2024-cü ilə qədər olan dövrdə qeydə alınan hücumlar göstərir ki, troyanı idarə edən operatorlar aktiv olaraq qalıb və yayınma mexanizmlərini davamlı olaraq təkmilləşdirirlər. GravityRAT-ın çarpaz platforma imkanlarına keçməsi, hədəf kütləsinin hər hansı bir əməliyyat sistemindən asılı olmayaraq izlənilməsini təmin edir.

Tövsiyələr və Həll Yolları

Bu cür mürəkkəb təhlükələrdən qorunmaq üçün istifadəçilər və qurumlar yüksək ehtiyatlılıq nümayiş etdirməlidirlər:

• Tətbiq Mənbəyinin Yoxlanılması: Tətbiqlər yalnız rəsmi və tanınmış mağazalardan (Google Play, App Store) və ya təsdiqlənmiş korporativ kanallardan endirilməlidir.
• Sosial Mühəndisliyə Qarşı Maarifləndirmə: Əlaqəsiz şəxslərdən gələn və təcili yüklənmə tələb edən naməlum elektron poçt əlavələrindən və ya mesajlardan qaçınılmalıdır.
• Qabaqcıl Uç Nöqtə Müdafiəsi (EDR): Ənənəvi antiviruslardan daha üstün olan və proqramların davranışını (behavior analysis) real vaxt rejimində təhlil edən EDR həllərinin istifadəsi zəruridir. Bu, hətta zərərli proqram öz kodunu gizlətdiyi zaman belə, onun qeyri-adi fəaliyyətini aşkarlamağa kömək edir.
• Sistem Təhlili: Təhlükəsizlik tədqiqatçıları GravityRAT kimi yayınma qabiliyyətli troyanları təhlil edərkən, sınaq mühitində (sandbox) CPU temperaturu dəyərlərini məcburi şəkildə saxta (legitimate-looking) dəyərlərlə təmin etmək kimi xüsusi üsullardan istifadə etməlidirlər ki, zərərli proqram özünü real sistemdə zənn etsin.

Nəticə

GravityRAT kibertəhlükəsizlik mənzərəsində təhdidlərin necə sürətlə inkişaf etdiyinin bariz nümunəsidir. Zərərli proqram təminatının özünü aşkarlama testlərindən qorumaq üçün CPU temperaturu kimi fiziki parametrlərdən istifadə etməsi, sənaye standartlarını yenidən nəzərdən keçirməyi tələb edir. Bu, kiberhücumların yalnız məlumat oğurluğuna deyil, həm də təhlükəsizlik infrastrukturunun özünü yan keçməyə yönəldiyini göstərir.