Kiberjinoyatchilar hujumlarini yanada samaraliroq qilish uchun endi bir vaqtning o‘zida bir nechta zararli dasturlardan foydalanmoqda. Splunk Threat Research Team (STRT) tomonidan aniqlangan yangi kampaniya aynan shunday yondashuvni qo‘llaydi.
Ushbu hujumda maxsus loader yordamida ikki xil tahdid bir vaqtning o‘zida qurilmaga yuklanadi: Gh0st RAT va CloverPlus adware. Bu kombinatsiya xakerlarga ikki xil foyda beradi — tizim ustidan to‘liq nazorat va darhol moliyaviy daromad.
"Gh0st RAT hujumchiga qurilmani to‘liq boshqarish imkonini bersa, CloverPlus foydalanuvchi brauzerini o‘zgartirib, reklama orqali daromad keltiradi"
Gh0st RAT uzoq yillardan beri ishlatiladigan va ishonchli backdoor sifatida tanilgan. U tizimda yashirin ishlaydi, aniqlanishdan qochadi va doimiy kirish imkonini saqlab qoladi. CloverPlus esa foydalanuvchi uchun sezilarli noqulaylik tug‘diradi — brauzerni o‘zgartiradi, pop-up reklamalar chiqaradi va trafikni monetizatsiya qiladi.
⚙️ Hujum qanday ishlaydi?
Hujumning boshlanishi murakkab tarzda yashirilgan loader orqali amalga oshiriladi. Ushbu loader ichida ikkita shifrlangan payload yashiringan bo‘ladi.
Birinchi bosqichda CloverPlus ishga tushadi va brauzer sozlamalarini o‘zgartirishni boshlaydi.
Shundan so‘ng loader o‘zini tekshiradi va agar kerak bo‘lsa, tizimga yana nusxa ko‘chiradi. Keyin esa asosiy tahdid — Gh0st RAT’ni ishga tushiradi.
Gh0st RAT maxsus .DLL fayl sifatida yashiriladi va Windows’ning rundll32.exe orqali ishga tushiriladi.
"Malware o‘zini oddiy Windows jarayoni sifatida ko‘rsatib, xavfsizlik tizimlarini aldashga harakat qiladi"
🔐 Doimiy kirish va kuzatuv
Gh0st RAT tizimda uzoq vaqt qolish uchun bir nechta persistence mexanizmlaridan foydalanadi. U Windows registry orqali avtomatik ishga tushadi va xizmat sifatida ishlashi mumkin.
Eng xavfli jihatlaridan biri — keylogging funksiyasi. Malware foydalanuvchi yozayotgan barcha tugmalarni yozib boradi.
"Bu orqali xakerlar login-parollar, bank ma’lumotlari va boshqa maxfiy axborotlarni osonlik bilan qo‘lga kiritadi"
Shuningdek, u RDP sessiyalarni kuzatib boradi va tarmoq ichida boshqa qurilmalarga ham o‘tishga harakat qiladi.
⚠️ Nega bu hujum xavfli?
Bu kampaniya oddiy malware emas. U ikki xil maqsadni birlashtiradi: tizimni egallash va darhol daromad olish.
"Bir vaqtning o‘zida ham tizim nazoratga olinadi, ham foydalanuvchi ustidan pul ishlanadi — bu esa hujumni yanada xavfli qiladi"
🛡️ Himoya choralar
Mutaxassislar quyidagilarni tavsiya qilmoqda:
- Shubhali rundll32.exe jarayonlarini monitoring qilish
- %temp% papkadan ishga tushayotgan fayllarni tekshirish
- Registry o‘zgarishlarini kuzatish
- RDP faoliyatini nazorat qilish
