Microsoft Teams Zəngləri Chaos Fidye Proqramı Hücumlarına Səbəb Olur
Kibertəcavüzkarlar özlərini İT dəstək personalı kimi təqdim edərək Microsoft Teams üzərindən səsli zənglərlə korporativ şəbəkələrə sızır və Chaos fidye proqramını yayırlar. Sophos tərəfindən STAC4749 olaraq izlənilən kampaniya, əsasən Şimali Amerikadakı təşkilatları hədəf alır.
Nə Baş Verdi
Kibertəhlükəsizlik şirkəti Sophos, korporativ ünsiyyət platforması olan Microsoft Teams-in yeni və narahatedici bir hücum zəncirinin mərkəzində olduğunu açıqladı. STAC4749 olaraq adlandırılan bu kampaniyada, kibertəcavüzkarlar özlərini şirkətlərin İT dəstək və ya yardım masası personalı kimi təqdim edirlər. Hədəf seçdikləri işçilərlə Microsoft Teams üzərindən həm yazılı, həm də səsli əlaqə quraraq onların etibarını qazanır və sonra bütün korporativ şəbəkəni təhdid edən Chaos fidye proqramını işə salırlar. Fevral və İyun 2026-cı il tarixləri arasında həyata keçirilən bu mürəkkəb sosial mühəndislik kampaniyası onlarla təşkilatı hədəf almışdır.
Aparılan təhlillərə görə, bu hücumlardan ən azı üçü, təcavüzkarların son hədəflərinə çataraq Chaos fidye proqramını uğurla yayması ilə nəticələnib. Xüsusilə bir hadisədə, təcavüzkarların ilkin girişi əldə etdikdən sonra cəmi 17 saat kimi qısa bir müddətdə şəbəkədəki faylları şifrələməyə başlaması, hücumun nə qədər sürətli və dağıdıcı ola biləcəyini göstərir. Bu üsul, ənənəvi fişinq e-poçtlarının xaricinə çıxaraq, işçilərin gündəlik iş axınının bir hissəsi olan və adətən təhlükəsiz hesab edilən bir platformadan istifadə edir. Təcavüzkarlar, Teams-in səsli zəng xüsusiyyətindən istifadə edərək həyata keçirdikləri bu hücumlara 'vişinq' (səsli fişinq) adını verir və bu sayədə inandırma qabiliyyətlərini artıraraq hədəflərini daha asan manipulyasiya edirlər.
Ələ Keçirilən Məlumatlar
Mənbə hesabatında, təcavüzkarların məlumat sızdırıb sızdırmadığına dair xüsusi bir məlumat yoxdur. Hücumun əsas hədəfi, Chaos fidye proqramını yayaraq faylları əlçatmaz etmək və qarşılığında fidyə tələb etmək kimi görünür. Fidye proqramı hücumlarında, faylların şifrələnməsi ilə yanaşı, qurbana təzyiq etmək məqsədilə həssas məlumatların oğurlanması (ikiqat şantaj) geniş yayılmış bir taktikadır. Lakin Sophos-un hesabatı, STAC4749 kampaniyasının bu mərhələsinə fokuslanmır. Hücumun əsas təsirinin, şifrələnmiş fayllar səbəbindən yaranan əməliyyat fasilələri və potensial maliyyə itkiləri olduğu bildirilir.
Hücum Necə Həyata Keçirildi
Təcavüzkarların izlədiyi yol, diqqətlə planlaşdırılmış bir neçə mərhələdən ibarətdir. Bu zəncir, insan psixologiyasını hədəf alan sosial mühəndislik ilə texniki bacarığın birləşməsi nəticəsində olduqca təsirli olur.
1-ci Mərhələ: Şəxsiyyət Təqlidi və İlk Əlaqə
Təcavüzkarlar işə xarici Microsoft Teams hesabları yaradaraq başlayırlar. Bu hesabları, hədəf şirkətin İT yardım masası və ya dəstək komandasından bir işçiyə aidmiş kimi göstərirlər. Keçmişdəki bənzər hücumlarda təcavüzkarlar adətən Microsoft-un öz `onmicrosoft.com` domen adından istifadə edərək saxta kirayəçilər yaradırdılarsa, STAC4749 kampaniyası bu nöqtədə fərqlənir. Təcavüzkarlar, daha inandırıcı görünmək üçün '.top' uzantılı və İT ilə əlaqəli görünən xüsusi domen adları alırlar. Sophos tərəfindən paylaşılan nümunə domen adları arasında sequrityupdate[.]top, scan-security[.]top, system-connect[.]top, corp-connect[.]top və supportsoft[.]top kimi adlar var. Bu domen adları, korporativ bir təhlükəsizlik yeniləməsi və ya dəstək xidməti təəssüratı yaradaraq hədəfin şübhələnməsinin qarşısını alır.
Bundan əlavə, bu saxta şəxsiyyətləri daha da gücləndirmək üçün Anthony Brooks, Dylan Harper, Ethan Parker və Jason Mitchell kimi geniş yayılmış və etibarlı görünən adlardan istifadə edirlər. Hər bir saxta şəxsiyyətin, müəyyən bir saxta domen adıyla cütləşdirildiyi müşahidə olunur. Bu hazırlıqlardan sonra hədəf seçdikləri işçiyə Teams üzərindən bir söhbət istəyi göndərir və sonra səsli bir danışıq başladırlar.
2-ci Mərhələ: Vişinq və Uzaqdan Giriş
Səsli danışıq (vişinq), hücumun ən kritik anıdır. Sophos-un müşahidələrinə görə, bu zənglər 90 saniyədən 20 dəqiqədən çox sürə bilər, ancaq əksər danışıqlar orta hesabla iki-iki yarım dəqiqə ərzində tamamlanır. Bu qısa müddət, təcavüzkarların hazırlıqlı, özündən əmin və inandırıcı olduğunu göstərir. Danışıq zamanı saxta İT personalı, işçinin kompüterində təcili bir təhlükəsizlik problemi olduğunu və ya bir yeniləmə edilməsi lazım olduğunu iddia edərək onu bir uzaqdan dəstək sessiyası başlatmağa razı salır.
Bu məqsədlə əvvəlcə Microsoft-un qanuni uzaqdan yardım vasitəsi olan Quick Assist-dən istifadə etməyə üstünlük verirlər. Lakin, bir çox şirkətin təhlükəsizlik siyasətləri səbəbindən Quick Assist-i blokladığını və ya məhdudlaşdırdığını fərq etdikdə strategiyalarını dəyişirlər. Aprel ayından etibarən, daha az tanınan və korporativ bloklama siyahılarında yer alma ehtimalı daha aşağı olan bulud əsaslı RemSupp adlı uzaqdan idarəetmə vasitəsinə keçid edirlər. İşçi bu vasitələrdən birini qurub təcavüzkara giriş icazəsi verdikdə, təcavüzkarlar qurbanın cihazında tam nəzarəti ələ keçirirlər.
3-cü Mərhələ: Zərərli Proqramın Yüklənməsi və Qalıcılıq
Uzaqdan giriş təmin edildikdən sonra təcavüzkarlar, əmr sətiri vasitəsi olan PowerShell-dən istifadə edərək bir arxa qapı (backdoor) proqramını qurbanın kompüterindəki `%AppData%` qovluğuna yükləyirlər. Bu zərərli proqram, sistemi profilləyir, qalıcılıq mexanizmləri qurur və təcavüzkarlara şəbəkəyə davamlı giriş imkanı verir.
Təcavüzkarlar, aşkarlanmamaq üçün qurduqları qalıcılıq mexanizmlərini qanuni sistem komponentləri kimi gizlədirlər. Məsələn, Windows Reyestrində (Registry) yaratdıqları zərərli qeydlərə "Realtek HD Audio", "Realtek Audio UHD" və "WinAudio life2" kimi adlar verərək, bunların səs sürücülərinə aid standart komponentlər olduğu təəssüratını yaradırlar.
4-cü Mərhələ: Yanal Hərəkət və Fidye Proqramının Yayılması
Fidye proqramının yayılması ilə nəticələnən hadisələrdə, təcavüzkarlar ilk əldə etdikləri cihazdan şəbəkənin qalan hissəsinə yayılmaq üçün əlavə addımlar atırlar. Şəbəkə daxilində qalıcı və ehtiyatlı bir giriş təmin etmək məqsədilə DWAgent və ya AnyDesk kimi əlavə uzaqdan giriş vasitələri qururlar. Həmçinin, şəbəkədəki digər sistemlərə sızmaq üçün ələ keçirdikləri cihazlarda Uzaq Masaüstü Protokolunu (RDP) aktivləşdirməyə çalışırlar. Bu yanal hərəkət qabiliyyəti, tək bir işçinin səhvinin bütün şirkətin məlumatlarını təhlükəyə atmasına səbəb olur. Son mərhələdə isə, şəbəkə daxilində kifayət qədər giriş əldə etdikdə Chaos fidye proqramını yayaraq faylları şifrələyirlər.
Kimlər Təsirə Məruz Qalıb
Sophos-un hesabatına görə, kampaniya coğrafi olaraq böyük ölçüdə Şimali Amerikaya yönəlib. Hücumların təxminən 95%-i bu bölgədəki təşkilatları hədəf alır. Bu nisbətin 50%-i Kanadadakı, 45%-i isə Amerika Birləşmiş Ştatlarındakı şirkətlərdən ibarətdir. Təcavüzkarların hədəf seçdiyi sektorlar isə olduqca müxtəlifdir. Ən çox hücuma məruz qalan sektorlar arasında xidmət, istehsalat, enerji, tikinti və mühəndislik var. Bu müxtəliflik, təcavüzkarların müəyyən bir sektora fokuslanmaq əvəzinə, zəif təhlükəsizlik halqasına malik hər hansı bir təşkilatı hədəf ala biləcəyini göstərir.
Nə Edə Bilərsiniz
Bu cür sosial mühəndislik mərkəzli hücumlara qarşı qorunmaq həm texniki tədbirlər, həm də işçi məlumatlılığı tələb edir:
- İşçi Təlimi: İşçiləri, xüsusilə xarici hesablardan gələn gözlənilməz Microsoft Teams mesajları və zəngləri barədə xəbərdar edin. Həqiqi İT dəstək personalının heç vaxt bu şəkildə ilk əlaqəni qurmayacağını və şəxsi məlumat və ya uzaqdan giriş tələb etməyəcəyini vurğulayın.
- Doğrulama Prosedurları: İT departamentindən gəldiyi iddia edilən hər hansı bir tələbi, məlum və rəsmi bir kanal (məsələn, şirkətin daxili telefon nömrəsi və ya dəstək portalı) vasitəsilə yoxlama vərdişi aşılayın.
- Tətbiq Nəzarəti: Microsoft Quick Assist, RemSupp, AnyDesk kimi uzaqdan giriş vasitələrinin istifadəsini məhdudlaşdırın. Lazım deyilsə, bu tətbiqləri korporativ tətbiq bloklama siyahılarına əlavə edin.
- PowerShell Müşahidəsi: PowerShell istifadəsini izləyin və məhdudlaşdırın. Xüsusilə internetdən fayl endirən və ya şübhəli əmrlər icra edən PowerShell fəaliyyətləri üçün xəbərdarlıq mexanizmləri yaradın.
- Qalıcılıq Nöqtələrini İzləmə: Təcavüzkarların istifadə etdiyi üsullara qarşı hazırlıqlı olun. Xüsusilə səs sürücüsü kimi görünən şübhəli Reyestr (Registry) qeydlərini müntəzəm olaraq yoxlayın.
Şirkət Nə Deyir
Xəbər, kibertəhlükəsizlik şirkəti Sophos-un təhlil və hesabatına əsaslanır. Sophos, STAC4749 olaraq izlədiyi bu təhdid aktyorunun Fevral və May ayları arasında hücum zəncirini davamlı olaraq dəyişdirdiyini və üsullarını təkmilləşdirdiyini bildirir. Bu vəziyyət, təcavüzkarların dinamik və uyğunlaşa bilən bir quruluşa sahib olduğunu göstərir. Mənbə məqaləsində, hücumların hədəf aldığı Microsoft Teams platformu ilə bağlı olaraq Microsoft-dan bir açıqlama yer almır.
Mənbə
Bu məzmun Argus Flow tətbiqimiz vasitəsilə süni intellekt dəstəyi ilə hazırlanmışdır. Argus Flow-u daim təkmilləşdirmək üçün çalışırıq; tərcümə xətası, yanlış mənbə və ya təsdiqlənməmiş məlumat kimi hər hansı bir problemlə qarşılaşsanız, aşağıdakı düyməyə basaraq bizə bildirə bilərsiniz. Rəyləriniz üçün təşəkkür edirik.