Sİ-nin Gücləndirdiyi “Tuoni C2” Zərərli Proqramı: Yaddaşda Gizlənən Yeni Nəsil Kiber Təhlükə

Kiber cinayətkarların əməliyyat strategiyası fundamental dəyişikliklərə məruz qalmaqdadır. Sürətli, səs-küylü hücumlardan fərqli olaraq, müasir təhdid aktorları (threat actors) şəbəkələrə sızdıqdan sonra həftələr, hətta aylar ərzində tamamilə gizli fəaliyyət göstərir, kritik məlumatları toplayır və böyük miqyaslı hücum üçün zəmin hazırlayırlar.

Məhz bu ssenari Morphisec Təhlükə Laboratoriyaları tərəfindən ABŞ-ın böyük əmlak şirkətini hədəf alan son hücumda müşahidə edilib. Bu, kütləvi fişinq kampaniyası deyil, Süni İntellektlə (Sİ) gücləndirilmiş kodlar, gizli təsvirlər (steganoqrafiya) və diskdə iz buraxmayan yaddaşda icra kimi qabaqcıl yayınma mexanizmlərindən istifadə edən “Tuoni” əmr və nəzarət (C2) zərərli proqramı (ZPT) vasitəsilə həyata keçirilmiş, diqqətlə planlaşdırılmış hücum idi.

“Tuoni C2” zərərli proqramı müasir təhdidlərin necə inkişaf etdiyini nümayiş etdirir. Ənənəvi hücumlar iz qoyan faylları sabit diskə yazırdı, bu isə təhlükəsizlik alətlərinə aşkarlama imkanı verirdi. Lakin “Tuoni” diskə toxunmur, nəticədə imza aşkarlanması, davranış monitorinqi və son nöqtə aşkarlama və cavab (EDR) sistemləri tərəfindən tamamilə görməzdən gəlinir.

Texniki Detallar

“Tuoni” çərçivəsi təhlükəsizlik qatlarını aşmaq üçün bir neçə innovativ texniki üsul tətbiq edir. Bu mexanizmlərin əsas məqsədi ZPT-nin icrasını dinamik şəkildə dəyişdirmək və sistemlərin monitorinq alətlərini yanıltmaqdır.

Zərərli proqramın əsas yayınma vektorları aşağıdakılardır:

• Steqanoqrafiya: Hücumun infeksiya mexanizmi, yüklənəcək zərərli kodun vizual olaraq günahsız görünən BMP tipli təsvir fayllarının içərisində gizlədilməsinə əsaslanır. Bu, ənənəvi imzaya əsaslanan skanerlərin bu faylları təhlükəsiz hesab etməsinə səbəb olur.
• Əks etdirən Yaddaş Yüklənməsi (Reflective Memory Loading): Hədəf istifadəçi təsvir faylını açdıqda, “Tuoni” heç bir fayl yaratmadan birbaşa kompüterin operativ yaddaşına (RAM) yüklənir. Bu üsul, kodun yaddaşda, müvəqqəti sahədə icra edilməsinə imkan verir.
• Diskə Toxunmama (Fileless Execution): Zərərli proqramın diskdə heç bir fiziki iz (fayl, imza, qeydiyyat girişi) buraxmaması, bütün antivirus (AV), EDR sistemlərini və hətta qabaqcıl “sandbox” (qum qutusu) mühitlərini dəf edir. Çünki bu alətlər əsasən diskdəki dəyişiklikləri və ya məlum fayl imzalarını axtarır.
• Süni İntellektlə Gücləndirilmiş Loaderlər: “Tuoni” hücumun icrasını maskalamaq və aşkarlanmadan yayınmaq üçün kodu dinamik olaraq generasiya edən Sİ dəstəkli yükləyicilərdən istifadə edir. Bu, ZPT-nin davranışının standart monitorinq alqoritmləri üçün proqnozlaşdırılmaz olmasını təmin edir.

Təhlükənin Miqyası

“Tuoni” C2 çərçivəsinin əsas funksionallığı daxilində şəbəkədə uzunmüddətli davamlılıq (persistence) əldə etmək və böyük miqyaslı zərər hazırlamaq dayanır. Bu, sadə bir məlumat sızması deyil, gələcək fidyə proqramı (ransomware) hücumları üçün ilkin hazırlıq mərhələsidir.

Zərərli proqramın hədəfləri əsasən istifadəçi identifikasiya məlumatlarını (login credentials) oğurlamaq, sistemdə nəzarəti saxlamaq və şəbəkə daxilində yan hərəkət (lateral movement) etməkdir. Morphisec analitikləri bu hücumun ənənəvi müdafiə sistemlərini nə qədər effektiv şəkildə atlada biləcəyini vurğulayır.

Aşkarlanmağa yönəlmiş ənənəvi təhlükəsizlik yanaşmaları bu cür “yalnız yaddaşda” işləyən təhdidlər qarşısında acizdir. Tuoni aylar boyu fəaliyyət göstərərək, həssas məlumatları toplaya və şəbəkəyə tam nəzarəti ələ keçirə bilər. Hücumun bu səviyyədə mürəkkəbliyi, təhdid aktorlarının artıq yalnız bir təhlükəsizlik qatını deyil, bütün ənənəvi müdafiə arxitekturasını aşmaq üçün proqram təminatı hazırladığını göstərir.

Tövsiyələr və Həll Yolları

“Tuoni” kimi faylsız (fileless) və yaddaşa əsaslanan hücumlar qarşısında korporativ təhlükəsizlik strategiyaları yenidən nəzərdən keçirilməlidir. Yalnız diskdəki imzaları və ya fayl davranışlarını yoxlayan sistemlər bu növ təhlükələri aşkar edə bilmir.

Təşkilatlar aşağıdakı müdafiə mexanizmlərini gücləndirməlidirlər:

• Profilaktik Müdafiə (Prevention-Focused Protection): Yalnız aşkarlama deyil, icranın qarşısını almağa yönəlmiş (məsələn, yaddaşda icra edilən kodu bloklayan) sistemlərin tətbiqi.
• Davranış Analizi (Behavioral Analysis): Diskdə fayl olmasa belə, yaddaşda və ya sistem API zənglərində qeyri-adi fəaliyyəti (məsələn, əks etdirən yaddaş yüklənməsi) müəyyən edən qabaqcıl SNA/EDR həllərinin istifadəsi.
• Yaddaşın Bütövlüyü Monitorinqi: Əməliyyat sisteminin yaddaşında baş verən dəyişiklikləri, xüsusən də proseslərə kənar kodun daxil edilməsini (injection) fasiləsiz izləyən alətlər.
• Zəifliklərin İdarə Edilməsi: Zərərli proqramların yaddaşa sızmaq üçün istifadə etdiyi əməliyyat sistemi zəifliklərinin (vulnerabilities) mütəmadi olaraq yamalanması.

Nəticə

“Tuoni C2” zərərli proqramı kiber təhlükəsizlik mütəxəssisləri üçün kritik bir xəbərdarlıqdır. O, Sİ-nin zərərli kod yaratmaq və təhlükəsizlik sistemlərini aldatmaq üçün istifadəsini, eləcə də steqanoqrafiya kimi köhnə üsulların yeni mürəkkəbliklərlə birləşdirilməsinin effektivliyini sübut edir. Şirkətlər artıq sadəcə aşkarlama alətlərinə güvənməməli, bütün müdafiə qatlarında sıfır iz (fileless) hücumlarına qarşı dayanıqlıq təmin edən qabaqcıl arxitekturalara sərmayə qoymalıdırlar.