İnfo-Oğrular Biznes Saytlarını Zəncirvari Şəkildə Zəbt Edərək Öz-Özünü Bəsləyən Təhlükə Dövrü Yaradır

Kibercinayət dünyasında yeni və təhlükəli bir zəncirvari əlaqə ortaya çıxıb. İnfo-oğru (infostealer) tipli zərərli proqramlar tərəfindən oğurlanan etimadnamələr (credentials) hücum edənlərə qanuni biznes infrastrukturunu zəbt etməyə və onları zərərli proqramların yayılma platformasına çevirməyə imkan verir.

Hudson Rock Təhdid Kəşfiyyatı Komandasının (Threat Intelligence Team) apardığı son araşdırmalar bu öz-özünü bəsləyən dövrəni ifşa edir ki, bu dövrədə qurbanlar bilməyərəkdən kibercinayətkarların əlaltısına çevrilir. Bu yeni mexanizm, ənənəvi təhlükəsizlik nəzarətlərini yan keçməklə kütləvi yoluxmalara yol açır və on minlərlə etibarlı saytı daima artan hücum vektoruna çevirir.

Texniki Detallar: “ClickFix” Hücum Metodu

Hücumun özü “ClickFix” adlanan mürəkkəb sosial mühəndislik texnikasına əsaslanır. Bu üsul, istifadəçiləri öz hərəkətləri ilə zərərli kodu icra etməyə məcbur edir.

Hücum aldadıcı şəkildə qurulmuş veb-saytlardan başlayır. Qurbanlar Google reCAPTCHA və ya brauzer xətası mesajlarını təqlid edən saxta təhlükəsizlik bildirişləri göstərən komprometə olunmuş saytlara daxil olurlar.

İstifadəçi bu saxta xəbərdarlıqlara klik etdikdə, arxa planda işləyən zərərli JavaScript kodu səssizcə bir PowerShell əmrini istifadəçinin bufer yaddaşına (clipboard) kopyalayır. Bu addım “clipboard injection” adlanır.

Saxta pəncərə daha sonra istifadəçidən Windows+R düymələrini basmağı və “doğrulama kodunu” (yəni, bufer yaddaşındakı gizli əmri) Ctrl+V ilə yapışdırmağı tələb edir. İstifadəçi bu tələbi yerinə yetirdikdə, gizli əmr sistemdə icra edilir. Bu icra nəticəsində Lumma, Vidar, və ya Stealc kimi təhlükəli infostealer tipli zərərli proqramlar birbaşa qurbanın sisteminə yüklənir və ənənəvi şlüz təhlükəsizlik nəzarətlərini (gateway security controls) yan keçir.

Təhlükənin Miqyası və Öz-Özünü Bəsləyən Dövrə

Hudson Rock-ın kəşfiyyatı ilə birləşdirilmiş “ClickFix Hunter” platforması tərəfindən aparılan araşdırma, 1,600-dən çox aktiv zərərli domen üzərində monitorinq aparıb. Bu domenlərin Hudson Rock-ın komprometə olunmuş etimadnamələr bazası ilə çarpaz yoxlanılması nəticəsində heyrətləndirici bir nümunə aşkar edilib: izlənilən domenlərin təxminən 13%-i, yəni 220 domen həm ClickFix kampaniyasına ev sahibliyi edir, həm də onların inzibatçı etimadnamələri əvvəllər infostealer loglarında ifşa olunub.

Bu yüksək korrelyasiya səbəb-nəticə əlaqəsini təsdiqləyir: inzibatçıları infostealer tərəfindən yoluxmuş qanuni bizneslər, saytları zəbt edilərək məhz onları komprometə edən zərərli proqramı yaymaq üçün istifadə olunur.

Oğurlanan etimadnamələrə daxildir:

• WordPress idarəetmə panellərinə giriş.
• cPanel hosting nəzarətləri.
• Məzmun İdarəetmə Sistemlərinə (CMS) giriş.

Analizlər göstərir ki, jrqsistemas.com kimi domenlərdə inzibatçının WordPress etimadnamələri əvvəlcədən infostealer tərəfindən oğurlanmışdır. Hücum edənlər bu etibarlı etimadnamələrdən istifadə edərək sayta giriş əldə edib, zərərli skriptləri yükləyiblər. Nəticədə, qanuni biznes saytı sürətlə hücum platformasına çevrilib.

Bu zəncirvari əlaqə hücum infrastrukturunun eksponensial artımına səbəb olur. Nə qədər çox kompüter yoluxursa, o qədər çox etimadnamə oğurlanır; oğurlanmış etimadnamələr isə daha çox saytın komprometə olunmasına və ClickFix kampaniyaları üçün daha geniş səth sahəsinin yaranmasına gətirib çıxarır.

Bu infrastrukturu dayandırmaq son dərəcə çətindir, çünki hücum edənlər mərkəzləşdirilmiş zərərli serverlərdən deyil, minlərlə komprometə olunmuş qanuni hosting provayderinin daxilində gizlənirlər. Bu, hüquq-mühafizə orqanlarının böyük botnetləri dağıtsa belə, paylanmış (decentralized) infrastrukturun böyük ölçüdə toxunulmaz qalması deməkdir.

Tövsiyələr və Həll Yolları

Kiber təhlükəsizlik cəmiyyəti etiraf etməlidir ki, müasir zərərli proqram yayılması texniki zəifliklərdən çox, insan davranışının istismarına əsaslanır. Brauzerlər və əməliyyat sistemləri daha təhlükəsiz hala gəldikcə, hücum edənlər istifadəçiləri öz müdafiələrini söndürməyə məcbur edən sosial mühəndislik taktikalarına keçid edirlər.

İdarəçilər və son istifadəçilər bu təhlükəli dövrəni qırmaq üçün aşağıdakı addımları atmalıdırlar:

• Çoxfaktorlu Autentifikasiya (MFA): Bütün inzibatçı panellərində (WordPress, cPanel, CMS) MFA tətbiq edin ki, oğurlanmış etimadnamələr belə sistemə daxil olmaq üçün kifayət etməsin.
• Kibergigiyena: İstifadəçilər saxta reCAPTCHA və ya səhv mesajları görünən zaman xüsusilə ehtiyatlı olmalı, Win+R və Ctrl+V kombinasiyası ilə bufer yaddaşında olan naməlum əmrləri icra etməkdən qəti şəkildə çəkinməlidirlər.
• Hesabların Monitorinqi: Şirkət domenləri üçün komprometə olunmuş etimadnamələrin sızma bazalarında olub-olmadığını mütəmadi yoxlamaq vacibdir.
• Endpoint Detection and Response (EDR): Əsaslı təhlükəsizlik nəzarətləri, PowerShell skriptlərinin icrasını qeyri-adi kontekstlərdə məhdudlaşdırmalıdır.

ClickFix Hunter kimi platformalar qanuni saytlarla sırf zərərli domenləri fərqləndirməyə kömək edir ki, bu da remediya strategiyalarını daha effektiv edir. Ən vacibi, bu dövrəni dayandırmaq üçün kritik infrastruktur sahibləri arasında etimadnamə oğurluğu probleminə qarşı kollektiv mübarizə aparılmalıdır.

***