HEAVYGRAM — Windows operatsion tizimida ishlovchi, zararlangan qurilmani masofadan boshqarish va undagi maxfiy ma’lumotlarni yig‘ishga mo‘ljallangan josuslik turidagi zararli dasturdir. Uning o‘ziga xos jihati shundaki, zararli dastur an’anaviy alohida boshqaruv serveridan foydalanish o‘rniga Telegram messenjerining botlari va API imkoniyatlaridan buyruqlarni qabul qilish hamda o‘g‘irlangan ma’lumotlarni uzatish uchun foydalanadi.
Mutaxassislarning ma’lumotlariga ko‘ra, HEAVYGRAM bilan bog‘liq faoliyat 2023-yil kuzidan buyon kuzatib kelinmoqda. Mazkur hujumlarda jurnalistlar, hukumatga muxolif qarashdagi shaxslar va boshqa muayyan nishonlar ko‘zlangan. Tadqiqot davomida zararli dasturga tegishli qo‘shimcha namunalar, yuklovchi dasturlar va boshqa komponentlar ham aniqlangan. Mutaxassislar HEAVYGRAM faoliyatini Handala Hack guruhi bilan bog‘lash ehtimolini o‘rtacha darajadagi ishonch bilan baholagan.
AQSh Federal qidiruv byurosi (FBI) Telegram’dan zararli dasturlarni yetkazish va boshqarish uchun foydalanilgan hujumlar haqida ham ma’lumot bergan. FBI ma’lumotlariga ko‘ra, bunday hujumlarda jurnalistlar va davlatga muxolif shaxslar nishonga olingan, ayrim zararli dasturlar esa Pictory, KeePass yoki Telegram kabi qonuniy dastur va xizmatlar niqobi ostida tarqatilgan.
Telegram — zararli dastur uchun boshqaruv markazi
HEAVYGRAM hujumchilarga zararlangan Windows qurilmasi bilan ikki tomonlama aloqa o‘rnatish imkonini beradi. Bunda Telegram botlari vositachi vazifasini bajaradi.
Zararli dastur qurilmaga o‘rnatilgach, dastlab kompyuter nomi kabi tizim ma’lumotlarini yig‘ib, operatorlarga dastlabki signalni yuborishi mumkin. Keyinchalik qurilmaning faol yoki faol emasligini aniqlash maqsadida ma’lum vaqt oralig‘ida qayta aloqa o‘rnatadi.
Bunday yondashuv hujumchiga quyidagi imkoniyatlarni beradi:
- zararlangan qurilmaga buyruqlar yuborish;
- tizim haqida ma’lumotlarni yig‘ish;
- ekranning tasvirlarini olish;
- audio yozuvlarni yig‘ish;
- fayllarni qidirish va o‘g‘irlash;
- qo‘shimcha zararli dasturlarni yuklab ishga tushirish;
- Telegram Desktop bilan bog‘liq ma’lumotlarni yig‘ish;
- fayllarni o‘chirish;
- zararlangan qurilmani uzoq muddat davomida nazorat ostida saqlash.
FBI ma’lumotlarida ham Telegram botlari zararlangan qurilmalardan ekran tasvirlari va fayllarni olish, shuningdek, masofadan turib boshqaruvni amalga oshirish uchun ishlatilgani qayd etilgan.
Telegram kabi ommaviy va qonuniy xizmatdan foydalanish hujumchilar uchun qo‘shimcha afzallik yaratadi. Chunki tashkilot tarmoqlarida Telegram trafikini butunlay bloklash har doim ham amaliy yechim bo‘lavermaydi. Natijada zararli dastur faoliyati oddiy messenjer trafigi orasida yashirinishi mumkin.
Bu usul yangi hodisa emas: Group-IB avvalgi tadqiqotlarida ham turli zararli dasturlar hujumchilar bilan aloqa qilish uchun Telegram’dan foydalanayotganini qayd etgan.
Ishonchli ko‘rinishga ega fayllar — asosiy tuzoq
HEAVYGRAM bilan bog‘liq hujumlarda texnik vositalardan tashqari ijtimoiy muhandislik usullaridan ham faol foydalaniladi.
Hujumchilar jabrlanuvchiga messenjerlar yoki boshqa aloqa kanallari orqali murojaat qilib, o‘zlarini tanish shaxs, hamkasb yoki texnik yordam xodimi sifatida ko‘rsatishi mumkin. Keyin esa turli bahonalar bilan faylni ochish yoki dastur o‘rnatishni taklif qiladi.
Zararli fayllar tashqi ko‘rinishidan qonuniy dasturlarga o‘xshatiladi. Tadqiqotlarda Pictory, KeePass va Telegram nomlaridan foydalanilgan namunalar aniqlangan. Ayrim holatlarda fayllar video, hujjat yoki boshqa foydali dastur sifatida ko‘rsatilgan.
Bunday hujumlarda faqat fayl nomining o‘zi emas, balki uning jabrlanuvchi faoliyatiga mos kelishi ham muhim ahamiyatga ega. FBI ayrim zararli fayllar nishonning kundalik faoliyati va qiziqishlariga moslashtirilganini qayd etgan. Bu esa hujumdan oldin nishon haqida ma’lumot to‘plash amalga oshirilgan bo‘lishi mumkinligini ko‘rsatadi.
Shu sababli, masalan, xodimga aynan uning kasbiy faoliyatiga mos keladigan hujjat yoki dastur yuborilishi faylning xavfsiz ekanini anglatmaydi.
Qurilmaga kirgandan keyingi harakatlar
HEAVYGRAM tizimga tushganidan so‘ng oddiy foydalanuvchi ko‘zi bilan sezilishi qiyin bo‘lgan jarayonlarni amalga oshirishi mumkin.
Zararli dastur Windows tizimida qayta ishga tushirilgandan keyin ham faoliyatini davom ettirish uchun reyestrdagi avtomatik ishga tushirish mexanizmlaridan foydalanishi mumkin.
Tadqiqotlarda HEAVYGRAM bilan bog‘liq CRUDEEXCLUDE nomli komponentlar ham aniqlangan. Ayrim namunalar xavfsizlik vositalaridagi istisno (exclusion) yo‘llarini yaratish bilan bog‘liq bo‘lib, bu zararli dastur aniqlanish ehtimolini kamaytirishga xizmat qilishi mumkin.
Shuningdek, hujum zanjirida DLL side-loading kabi usullardan foydalanilishi ham qayd etilgan. Bunda qonuniy dastur ishga tushiriladi, biroq u bilan birga joylashtirilgan zararli DLL fayli yuklanib, hujumchiga qo‘shimcha imkoniyatlar yaratadi.
Natijada dastlab oddiy fayl yoki dastur sifatida ko‘ringan hujum keyinchalik qurilmada yashirin ravishda davom etishi mumkin.
HEAVYGRAM qanday ma’lumotlarni xavf ostiga qo‘yadi?
Mazkur zararli dastur oddiy fayl o‘g‘irlovchi dastur bilan cheklanib qolmaydi. U zararlangan qurilmani kuzatish va boshqarish imkoniyatlarini ham taqdim etadi.
Xususan, quyidagi ma’lumotlar xavf ostida qolishi mumkin:
Ekran tasvirlari.
Foydalanuvchi monitorida aks etayotgan ma’lumotlar, ochilgan hujjatlar, brauzer oynalari yoki boshqa maxfiy ma’lumotlar surat sifatida qo‘lga kiritilishi mumkin.
Audio ma’lumotlar.
Qurilmaning audio imkoniyatlaridan foydalanib, ovoz yozib olish imkoniyati mavjud.
Telegram Desktop ma’lumotlari.
Kompyuterda saqlanadigan Telegram bilan bog‘liq ma’lumotlar hujumchilar uchun qiziqish uyg‘otishi mumkin.
Fayllar.
Hujjatlar, arxivlar va boshqa fayllar yig‘ilishi yoki zararlangan qurilmadan tashqariga chiqarilishi mumkin.
Tizim ma’lumotlari.
Qurilmaning nomi, konfiguratsiyasi va boshqa texnik ma’lumotlar hujumchiga keyingi harakatlarni rejalashtirish imkonini beradi.
Masofadan bajariladigan buyruqlar.
Operator qurilmaga turli buyruqlar yuborib, dasturlarni ishga tushirishi yoki qo‘shimcha zararli komponentlarni yuklashi mumkin.
Shu sababli HEAVYGRAM bilan bog‘liq hodisa faqat bitta kompyuterning zararlanishi bilan cheklanmaydi. Agar qurilmada xizmat yozishmalari, maxfiy hujjatlar, mijozlar ma’lumotlari yoki boshqa muhim axborot mavjud bo‘lsa, hodisaning oqibatlari ancha kengayishi mumkin.
Tashkilotlar uchun tavsiyalar
HEAVYGRAM kabi zararli dasturlardan himoyalanishda faqat antivirus dasturiga tayanish yetarli emas. Texnik himoya vositalari, monitoring va xodimlarning kiberxavfsizlik bo‘yicha xabardorligi birgalikda ishlashi kerak.
1. Dasturlarni faqat ishonchli manbalardan yuklab oling
Dastur yoki xizmatni o‘rnatish zarur bo‘lsa, uning rasmiy ishlab chiquvchi saytidan foydalanish lozim. Messenjer orqali yuborilgan noma’lum .exe
, .msi
, .zip
, .rar
, .js
, .hta
va boshqa fayllarni tekshirmasdan ishga tushirmaslik kerak.
2. Tanish kontaktdan kelgan faylga ham darhol ishonmang
Agar hamkasb yoki tanish shaxs kutilmaganda fayl yuborsa, uni boshqa aloqa kanali orqali tasdiqlash maqsadga muvofiq.
Masalan:
“Ushbu faylni siz yubordingizmi?”
degan oddiy savolning o‘zi hujumning oldini olishga yordam berishi mumkin.
3. Telegram trafikini nazorat qiling
Agar Telegram tashkilot faoliyati uchun zarur bo‘lmasa, uning korporativ tarmoqdagi ishlatilishini cheklash yoki nazorat qilish mumkin.
Agar Telegram’dan foydalanish zarur bo‘lsa, xavfsizlik jamoalari api.telegram.org bilan bog‘liq noodatiy ulanishlar, takroriy so‘rovlar va kutilmagan qurilmalardan kelayotgan trafikni monitoring qilishi kerak.
4. Avtomatik ishga tushish mexanizmlarini tekshiring
Windows Registry’dagi noma’lum yoki shubhali autorun yozuvlari, ayniqsa foydalanuvchi profili bilan bog‘liq kataloglardan ishga tushiriladigan dasturlar muntazam tekshirilishi lozim.
5. Foydalanuvchi yozish huquqiga ega kataloglardan ishga tushiriladigan fayllarni cheklang
APPDATA, ProgramData va boshqa foydalanuvchi tomonidan yozilishi mumkin bo‘lgan kataloglardan bajarilayotgan noma’lum .exe
fayllarni nazorat qilish va imkon qadar bloklash foydali himoya qatlamini yaratadi.
6. Endpoint monitoringni kuchaytiring
EDR/XDR vositalari orqali:
- noma’lum jarayonlarning ishga tushirilishi;
- tizim kataloglaridan shubhali DLL yuklanishi;
- noodatiy PowerShell yoki CMD jarayonlari;
- noma’lum dasturlarning tarmoqqa chiqishi;
- Telegram bilan bog‘liq kutilmagan API ulanishlari;
- foydalanuvchining Telegram ma’lumotlari joylashgan kataloglariga noodatiy murojaatlar;
- yangi Registry autorun yozuvlari
kuzatilishi kerak.
7. Aniqlangan qurilmani tarmoqdan ajrating
Agar HEAVYGRAM yoki unga o‘xshash zararli dasturdan shubha qilinsa, qurilmani darhol tarmoqdan ajratish, dalillarni saqlab qolish va hodisani chuqur tekshirish tavsiya etiladi.
Zararli faylni shunchaki o‘chirib tashlash bilan cheklanmaslik kerak. Chunki hujumchi tizimga boshqa komponentlarni ham joylashtirgan yoki qo‘shimcha kirish mexanizmlarini yaratgan bo‘lishi mumkin.
IoC ma’lumotlaridan foydalanish
HEAVYGRAM bo‘yicha aniqlangan SHA-256, SHA-1, MD5 xeshlar hamda zararli URL manzillar SOC, SIEM, EDR/XDR, antivirus va boshqa himoya vositalariga indikator sifatida kiritilishi mumkin.
Bunda indikatorlarni quyidagi yo‘nalishlarda tekshirish maqsadga muvofiq:
- endpointlarda fayl xeshlari bo‘yicha qidiruv;
- SIEM tizimida tarixiy loglarni tekshirish;
- DNS va proxy so‘rovlarini tahlil qilish;
- firewall orqali chiqish trafikini ko‘rib chiqish;
- Telegram API bilan bog‘liq noodatiy ulanishlarni aniqlash;
- shubhali fayllarning ishga tushirilish tarixini tekshirish;
- Registry’dagi yangi autorun yozuvlarini aniqlash.
Muhim: keltirilgan domen, URL va IP indikatorlari xavfsizlik nuqtayi nazaridan ataylab hxxps://
va [.]
shaklida o‘zgartirilgan. Ularni oddiy brauzerda ochish tavsiya etilmaydi. Tekshiruv va qayta ishlash faqat MISP, VirusTotal, SIEM yoki boshqa nazorat qilinadigan tahdidlarni tahlil qilish muhitida amalga oshirilishi lozim.
HEAVYGRAM hodisasi zamonaviy kiberhujumlarning muhim xususiyatlaridan birini yaqqol ko‘rsatadi: hujumchi har doim ham o‘zining alohida boshqaruv serveridan foydalanishi shart emas. Kundalik hayotda keng qo‘llaniladigan qonuniy xizmatlar ham zararli dasturlar uchun boshqaruv va ma’lumot uzatish kanali sifatida suiiste’mol qilinishi mumkin.
HEAVYGRAM holatida Telegram botlari zararlangan Windows qurilmalari bilan aloqa qilish, buyruqlarni uzatish va ma’lumotlarni qabul qilish vositasi sifatida ishlatilgan. Hujumning yana bir xavfli jihati esa texnik vositalar bilan bir qatorda ijtimoiy muhandislikdan foydalanilgani — ya’ni jabrlanuvchini ishonchli ko‘rinadigan faylni ochishga yoki dastur o‘rnatishga ishontirishdir.
Shu bois kiberxavfsizlik faqat antivirus yoki firewall bilan cheklanmaydi. Noma’lum fayllarni ochmaslik, dasturlarni rasmiy manbalardan yuklash, shubhali xabarlarni alohida kanal orqali tekshirish, endpoint va tarmoq faoliyatini monitoring qilish hamda aniqlangan indikatorlarni o‘z vaqtida himoya vositalariga kiritish — bunday tahdidlarga qarshi kurashishning muhim qismlaridir.
Tashkilotlarda esa foydalanuvchi xabardorligi, EDR/XDR, SIEM, tarmoq monitoringi va hodisalarga tezkor javob berish mexanizmlari yagona himoya tizimi sifatida ishlashi lozim.