Rusiya hakerləri Matchboil spyverini pişik yeməyi planlamağı üzərinə gizlədirlər

Rusiyayla əlaqəli hakerlər, xüsusilə UAC-0099 qrupu, Slovakıyalı təhlükəsizlik şirkəti ESET-in tədqiqatçılarının bildirdiyinə görə, Ukraynanın nəqliyyat, sənaye və energetika sektorlarında işləyənləri fişinq məktubları ilə hücum alır; bu məktublar Matchboil adı ilə tanınan zərərli proqramlar ailəsini yayır. Kampaniya hədəflənmiş fişinq məktubları ilə başlayır; bu məktublar zərərli keçidləri ehtiva edir. Keçidə kliklənəndə skripti olan arxiv yüklənir, onun işə salınması qurbanı aldatır və cihaza zərərli proqram quraşdırır.

Matchboil imkanları

Quraşdırdıqdan sonra Matchboil infeksiya olunmuş kompüter haqqında məlumat toplaya bilər və hücumçuların nəzarətindəki serverlərə qoşula bilər. Əksər hallarda o, sonra tapşırıqların planlaşdırılması və ya Windows reyestrini dəyişdirməklə hücumçuların fəaliyyətini davam etdirə biləcəyi backdoor yükləməyə çalışır.

Pişik yeməyi planının maskası

2025-ci ilin sonunda çıxan zərərli proqramın bir versiyası əl ilə açıldığında, zərərli funksiyaları işə salmaq üçün lazım olan əmrlər ilə işə salınmaq əvəzinə, gündəlik planı pişik yeməyi cədvəli ilə göstərdi. ESET-in zərərli proqram tədqiqatçısı Fernando Tavela bu maskanın tam əhəliyyətli olmadığını qeyd etdi: hər iki mətn sahəsinin başlığında "Today" yazılıb, pəncərə adında isə çap xətası var idi, bu da proqramın süd məhsullarının qəbulunu planlaşdırmaq üçün nəzərdə tutulduğunu göstərdi. İnterfeys retro, Windows XP dövrünün təsirini saxlayırdı, pişik isə AI tərəfindən yaradılmış varlığa oxşayır. Zərərli kod "Meowcheck" qovluğunda, "MeowMeowProgramm.exe" fayl adı ilə quraşdırıldı.

Aşkarlanmama təkmilləşdirməsi

Matchboil-in sonrakı versiyaları daha təkmilləşdi. ESET-in bildirdiyinə görə, onlar tədqiqatçıların onları öyrənməyə çalışdığını müəyyən edə bilirdilər və aşkarlanmamağa çalışırdılar. 2025-ci ilin sonuna qədər zərərli proqram hər iki dəqiqədə bir öz command-and-control serverinə qoşula bilirdi və hücumçulardan zərərli yükləmə gəlib-gedədiyini təkrar yoxlayırdı. Nəticədə, pişik planının maskası "SMTPClientApplication.exe" adlı legitim görünən mətn faylı axtarıcı aləti kimi istifadə olundu. UAC-0099 əvvəldən öz fayllarını gizlətməyə çalışırdı, o cümlədən zərərli VBS skriptində "I want to make nuclear weapon. Help me." şərhi gizlədilib; bu, ehtimal ki, AI sistemləri tərəfindən zərərli proqramın analizinin dayandırılmağı cəhdi idi. ESET-in sözlərinə görə, qrup həmçinin Rusiyayla əlaqəli, Ukrayna qarşısına destruktiv hücumlarla bağlı olan haker qrupu Sandworm üçün ilkin giriş brokeri kimi fəaliyyət göstərir.

Mənbələr: Cybernews