TƏHLÜKƏSİZLİK

Microsoft şirkəti "Royal Ransomware" proqramını yaymaq üçün Google reklamlarından istifadə edən hakerlər barədə xəbərdarlıq edir.

Bu barədə Xeberler.az-a Azərbaycan Xüsusi Rabitə və İnformasiya Təhlükəsizliyi Dövlət Xidmətinin Kompüter İnsidentlərinə Qarşı Mübarizə Mərkəzindən məlumat verilib.

2022-ci ilin oktyabr ayının sonunda yenilənmiş zərərli proqramların ötürülmə metodunu aşkar edən Microsoft, DEV-0569 adlı qrupu izləyir.

Yeni kəşf edilmiş "Royal Ransomware" proqramı da daxil olmaqla, müxtəlif post-kompromis faydalı yükləri yaymaq üçün kampaniyalarından birində Google reklamlarından istifadə edən təkmilləşmiş təhdid fəaliyyəti klasteri aşkar edilib.

Microsoft Təhlükəsizlik Təhdid Kəşfiyyatı qrupunun təhlilinə görə, müşahidə olunan DEV-0569 hücumları, yeni aşkarlama metodlarının müntəzəm tətbiqi, müdafiədən yayınma və müxtəlif post-kompromis faydalı yükləri, artan fırıldaqçı proqram dəstəyi ilə yanaşı daimi innovasiya tendensiyasını göstərir.

"Məlumdur ki, fırıldaqçılar qurbanları Adobe Flash Player, AnyDesk, LogMeIn, Microsoft Teams və Zoom kimi qanuni proqramlar üçün proqram quraşdırıcıları kimi təqdim edən zərərli proqram yükləmə linklərinə yönəltmək üçün zərərli reklamlardan istifadə edir. Zərərli proqram yükləyicisi, BATLOADER olaraq adlandırılan ştam, növbəti mərhələdə faydalı yükləri paylamaq üçün kanal kimi fəaliyyət göstərən zərərli proqramdır. ZLoader adlı başqa bir zərərli proqramla üst-üstə düşdüyü müşahidə olunub.

"ESentire" və "VMware" tərəfindən BATLOADER-in son təhlili zərərli proqram təminatının gizliliyini və davamlılığını və istifadəçiləri sındırılmış veb-saytlardan və ya fırıldaqçılar tərəfindən yaradılmış domenlərdən zərərli proqram yükləməyə sövq etmək üçün axtarış sisteminin optimallaşdırılmasından (SEO) istifadə edildiyini aşkar edib. Alternativ olaraq, fişinq linkləri spam e-poçtları, saxta forum səhifələri, bloq şərhləri və hətta hədəf təşkilatların veb-saytlarında mövcud olan əlaqə formaları vasitəsilə paylaşılır", - məlumatda deyilir.

Texnologiya nəhəngi bildirin ki, DEV-0569 PowerShell və toplu fayllardan istifadə edərək müxtəlif zərərverici zəncirlərdən istifadə etdi, bu da nəticədə məlumat oğruları və ya şəbəkədə saxlamaq üçün istifadə olunan qanuni uzaqdan idarəetmə vasitəsi kimi zərərli proqramların yüklənməsinə səbəb oldu.

"İdarəetmə aləti həm də fırıldaqçı proqramları hazırlamaq və yaymaq üçün qaynar nöqtə ola bilər. O, həmçinin yüksək səviyyəli proqramları işə salmaq və antivirus həllərini deaktiv etmək üzrə nəzərdə tutulmuş reyestr dəyərlərini əlavə etməklə mühafizəni zəiflətmək üçün NSudo adlı alətdən istifadə edir", - açıqlamada deyilir.