Antino Backdoor: Çin Mənşəli Kiber Casusluq Kampaniyasında Yeni Taktika
Kibertəhlükəsizlik tədqiqatçıları Çin mənşəli (China-nexus) dövlət dəstəkli təhdid qruplarının korporativ infrastrukturlara yönəlmiş mürəkkəb kibercasusluq əməliyyatını üzə çıxarıblar. Kampaniyanın mərkəzində dayanan Antino adlı zərərli proqram (backdoor), ənənəvi əmr və idarəetmə (C2 – Command and Control) infrastrukturundan imtina edərək Microsoft-un legitim bulud ekosistemindən — xüsusilə Microsoft Outlook və OneDrive xidmətlərindən faydalanır. Bu yanaşma zərərli fəaliyyətin qlobal korporativ şəbəkə trafiki içərisində tamamilə gizlənməsinə və standart perimetr müdafiə sistemlərinin yan keçilməsinə zəmin yaradır.
İlkin Yoluxma Vektorları və Kampaniyanın Yayılma Sxemi
Antino arxa qapısının hədəf şəbəkələrə yeridilməsi yüksək səviyyəli hədəfli hücum (spear-phishing) kampaniyaları və xaricə açıq korporativ tətbiqlərdəki boşluqların istismarı ilə başlayır. Analitiklərin əldə etdiyi telemetriya məlumatlarına əsasən, hücumçular aşağıdakı metodologiyadan istifadə edirlər:
- Hədəfli Fişinq (Spear-Phishing): Təcavüzkarlar korporativ personalın maraq dairələrinə uyğunlaşdırılmış, zərərli makroslar və ya LNK faylları ehtiva edən arxivlərlə ilkin icranı təmin edirlər.
- Xarici Şəbəkə Cihazlarının İstismarı: Korporativ perimetrdə yerləşən köhnəlmiş SSL-VPN şlüzləri və ya Microsoft Exchange serverləri üzərindəki kritik zəifliklər (RCE) vasitəsilə daxili şəbəkəyə sızma həyata keçirilir.
- DLL Side-Loading: Zərərverici adətən legitim, rəqəmsal imzalı binarilər vasitəsilə yaddaşa (memory) yüklənir. Bu üsul Antino-nun fayl sistemində aşkarlanma riskini minimuma endirir.
C2 Arxitekturası: Outlook və OneDrive-dan Necə Sui-istifadə Edilir?
Antino-nu təhlükəli edən əsas amil onun “Living-off-the-Cloud” (LotC) konsepsiyasına əsaslanan əmr və idarəetmə mexanizmidir. Hücumçular xüsusi C2 domenləri qeydiyyatdan keçirmək və ya şübhəli IP ünvanları ilə əlaqə saxlamaq əvəzinə, Microsoft Graph API və legitim bulud protokolları vasitəsilə rabitə qururlar.
1. Microsoft Outlook Üzərindən Əmrlərin Alınması
Zərərverici yoluxmuş sistemdə öncədən konfiqurasiya olunmuş və ya komprometasiya edilmiş e-poçt hesablarına qoşulur. Əmrlər adi e-poçt məktubları, qaralamalar (Drafts) və ya daxili qovluqlarda yerləşdirilən xüsusi başlıqlı (Subject) mesajlar vasitəsilə çatdırılır:
- Antino müəyyən edilmiş intervallarla poçt qutusunu sorğulayır (polling).
- Təcavüzkarın göndərdiyi e-poçtun gövdəsində və ya əlavəsində şifrələnmiş (məsələn, AES və ya Base64 ilə kodlaşdırılmış) icra əmrləri yer alır.
- Əmr icra edildikdən dərhal sonra Antino izləri itirmək üçün həmin e-poçtları tamamilə silir və ya poçtun təmizlənməsi (purge) prosesini işə salır.
2. OneDrive Vasitəsilə Məlumatların Sızdırılması (Exfiltration)
Hədəf sistemdən toplanan həssas sənədlər, konfiqurasiya faylları və parollar şəbəkədən kənara çıxarılmazdan əvvəl şifrələnir və arxivləşdirilir. Daha sonra Antino Microsoft OneDrive API-lərindən istifadə edərək bu faylları hücumçuların nəzarətindəki saxlama anbarına yükləyir. Təhlükəsizlik Əməliyyatları Mərkəzləri (SOC) üçün bu trafik tamamilə legitim Microsoft domenlərinə (məsələn, graph.microsoft.com) yönəlmiş HTTPS/TLS trafiki kimi göründüyündən, ənənəvi IDS/IPS sistemləri tərəfindən heç bir anomaliya qeydə alınmır.
Antino Backdoor-un Texniki Bacarıqları
Analizlər göstərir ki, Antino casusluq fəaliyyətini tam şəkildə dəstəkləmək üçün geniş funksionallığa malikdir:
- Sistem Kəşfiyyatı: Əməliyyat sistemi parametrlərini, aktiv prosesləri, domen məlumatlarını və lokal istifadəçi imtiyazlarını toplamaq.
- Uzaqdan Kod İcrası: Sistemdə PowerShell və ya Windows Command Shell (cmd.exe) vasitəsilə ixtiyari əmrləri işə salmaq.
- Fayl İdarəetməsi: Cihaza əlavə zərərli modullar yükləmək, faylları oxumaq, modifikasiya etmək və ya silmək.
- Qalıcılıq (Persistence): Qeydiyyat dəftəri (Registry Run keys) və ya Windows Planlaşdırılmış Tapşırıqları (Scheduled Tasks) vasitəsilə sistem yenidən başladıldıqda avtomatik aktivləşmə.
Aşkarlama və Təhlükəsizlik Tövsiyələri
Legitim bulud xidmətlərini hədəf alan bu cür mürəkkəb hücumların qarşısını almaq üçün təşkilatlar perimetr əsaslı yanaşmadan davranış əsaslı (behavioral) identifikasiya modelinə keçməlidirlər.
Şəbəkə və Bulud Monitorinqi
- OAuth və Tətbiq İcazələrinə Nəzarət: Microsoft Entra ID (Azure AD) mühitində qeydiyyatdan keçmiş tətbiqləri mütəmadi audit edin. Həddindən artıq geniş icazələrə (məsələn,
Mail.ReadWrite,Files.ReadWrite.All) malik olan şübhəli proqramları dərhal bloklayın. - API Zənglərinin İzlənməsi: Standart iş stansiyalarından (xüsusilə Outlook müştərisi quraşdırılmamış və ya qeyri-adi binarilərdən) birbaşa Microsoft Graph API-yə edilən sorğuları qeydə alın və təhlil edin.
- Şəbəkə Telemetriyası: Həcmli məlumatların OneDrive və oxşar bulud anbarlarına çıxışını məhdudlaşdıran DLP (Data Loss Prevention) həllərindən istifadə edin.
Uç Nöqtə (Endpoint) Müdafiəsi
- Korporativ maşınlarda EDR/XDR sistemlərinin real vaxt rejimində skanlama funksiyasını təmin edin; DLL side-loading əlamətlərini (məsələn, qeyri-adi qovluqlarda icra edilən legitim binariləri) izləyin.
- PowerShell və digər skript mühitlərində “Constrained Language Mode” tətbiq edin və Script Block Logging funksionallığını aktivləşdirin.
- Bütün inzibati və istifadəçi hesablarında FIDO2 və ya tətbiq əsaslı Çoxfaktorlu Autentifikasiyanı (MFA) məcburi edin.
Nəticə
Antino arxa qapısı Çin mənşəli kiber casusluq aktorlarının aşkarlanmadan yayınma taktikalarını inkişaf etdirdiyini nümayiş etdirir. Legitim infrastrukturun C2 kimi istifadəsi göstərir ki, təşkilatlar yalnız şəbəkə kənarlarını deyil, daxili bulud qarşılıqlı əlaqələrini və tətbiq icazələrini də sıfır etimad (Zero Trust) prinsipi ilə idarə etməlidirlər.