OkoBot seed iboralarini ovlaydi: bitta bot kripto hamyonlarni qanday quritadi

Kaspersky mutaxassislari yangi tahdid haqida ogohlantirishdi: OkoBot nomli zararli bot kriptovalyuta hamyonlaridan seed iboralarini va hisob maʼlumotlarini oʻgʻirlaydi. Keling, ushbu hujum qanday qurilganini, botlar umuman nima uchun xavfli ekanligini va tangalaringizni qanday himoya qilishni koʻrib chiqaylik.

Nima sodir boʻldi

Kiberxavfsizlik boʻyicha mutaxassislar hisob maʼlumotlari va seed iboralarini oʻgʻirlash uchun 20 ga yaqin zararli dasturlarni tarqatuvchi botni aniqladilar. Ushbu bot aynan kriptovalyuta hamyonlariga qaratilgan boʻlib, bir yildan ortiq vaqt davomida sezilmasdan faoliyat yuritgan.

Bu bir martalik hodisa emas, balki butun bir platforma: bitta boshqaruvchi bot oʻnlab yordamchi modullarga vazifalar beradi, ularning har biri hujumning oʻz qismi uchun javobgardir.

Oddiy qilib aytganda bot nima

Tafsilotlarga kirishdan oldin, ushbu atamani aniqlashtiraylik. Bot — bu inson ishtirokisiz, avtomatik ravishda harakatlarni bajaradigan dastur. Foydali bot savollarga javob beradi yoki maʼlumotlarni yigʻadi, uning zararli versiyasi esa maʼlumotlarni oʻgʻirlaydi.

Aslini olganda, har qanday bunday dastur buyruqlarni bajaruvchidir. Yagona farq shundaki, bu buyruqlarni kim beradi va bunday botlar qanday maqsadda ishga tushiriladi.

Yaxshi botlar va yomon botlar

Har bir bot xavfli emas. Qidiruv botlari veb-saytlarni indekslaydi, chatbotlar yordam beradi, savdo botlari valyuta kursini kuzatadi. Bunday botlar odamlar foydasi uchun ishlaydi.

Ammo, oʻgʻirlik va aldash uchun yaratilgan zararli botlar ham mavjud. Aynan OkoBot ham shu toifaga kiradi: oddiy bot niqobi ostida hamyonlarni boʻshatish uchun eng zararli vositalardan biri yashiringan.

Bot qurilmaga qanday tushadi

Botni jabrlanuvchilarning qurilmalariga joylashtirish uchun tajovuzkorlar ClickFix hujumidan foydalanadilar — bu ijtimoiy muhandislik usuli boʻlib, unda foydalanuvchi zararli buyruqni ishga tushirishga aldangan boʻladi. Shundan soʻng, bot tizimga oʻrnashib oladi.

Ikkinchi yoʻl — qonuniy ilovalar niqobi ostidagi soxta GitHub omborlari boʻlib, ular zararli dasturlar toʻplamini oʻz ichiga oladi. Foydalanuvchi goʻyoki foydali dasturni yuklab oladi va u bilan birga bot kompyuterga kirib oladi.

Soxta dasturiy taʼminot hikoyasi

Omborlardan biri SQL Server Management Studio vositasini taklif qildi. Ammo uning niqobi ostida Audacity audio muharririning zararlangan versiyasi tarqatilgan boʻlib, u ichida botni yashirgan Trojan bilan birga edi.

Bunday zararlangan fayllar klassik oʻljadir. Jabrlanuvchi oʻzi kerakli dasturiy taʼminotni oʻrnatayotganiga ishonadi, ammo aslida oʻzi oʻz tizimiga botni ishga tushiradi.

TookPS skripti: Birinchi bosqich

Ichida TookPS deb nomlangan PowerShell skripti yashiringan edi. Aynan u butun zanjirni ishga tushiradi va qolgan botlar uchun zamin tayyorlaydi.

TookPS birinchi bosqichda SSH botini oʻrnatish va sozlash uchun ishlatiladi. Bu bot zararli dasturlar paketini joylashtiradi va boshqa zararkunandalarning butun armiyasiga eshik ochadi.

SSH boti nimalarni yigʻadi

SSH boti razvedka ishlarini olib boradi. U foydalanuvchi nomi, antivirus, IP-manzil va operatsion tizim versiyasi haqidagi maʼlumotlarni toʻplaydi, bu hujumni maʼlum bir mashinaga moslashtirish uchun kerak boʻladi.

Bundan tashqari, ushbu bot Windows Defender bildirishnomalarini oʻchirib qoʻyadi va kripto hamyonlar, brauzer cookie fayllari va akkauntlar haqidagi maʼlumotlarni yashirincha yigʻadi. Razvedkadan soʻng, tor ixtisoslashgan bot ishga tushadi.

ext daemon moduli

Ushbu zararli dasturlar toʻplamining birinchisi ext daemon. Bu bot Chrome brauzeriga oʻrnatiladi va Rilide kengaytmasini yashirincha oʻrnatadi.

Bu eng zararli kengaytmalardan biri: u akkaunt maʼlumotlari, cookie fayllari, moliyaviy maʼlumotlar va kriptoga oid maʼlumotlarni yigʻishga qaratilgan. Foydalanuvchi hech narsani sezmaydi, bot esa allaqachon barcha qimmatli narsalarni yigʻib oladi.

SeedHunter moduli: Seed iborasini ovlash

Toʻplamdagi zararli modullarning eng xavflisi SeedHunter. U Trezor, Ledger Wallet va Ledger Live apparat hamyonlariga oʻrnatiladi.

Bu botning vazifasi seed iborasi tiklanayotgan paytda soxta ekranni koʻrsatishdir. Jabrlanuvchi soʻzlarni kiritadi, haqiqiy ilova bilan ishlayapman deb oʻylaydi, bot esa ularni ushlab oladi va hujumchilarga uzatadi.

MC Keylogger moduli

Yana bir bot, MC Keylogger, klaviatura bosishlarini va bufer almashinuvi faoliyatini yozib oladi. Bunga nusxalangan matn, rasmlar va fayl yoʻllari kiradi.

Bu bot USB ulanishlarini ham kuzatishi va har besh daqiqada skrinshotlar olishi mumkin. Aslida, bot qurilmada sodir boʻlayotgan hamma narsani koʻradi.

OkoSpyware moduli

Oxirgi bot, OkoSpyware, kriptovalyuta hamyonlari uchun parollarni kuzatadi. Buning uchun bot FFmpeg'dan foydalanadi — u ekrandan video yozib oladi va klaviatura bosishlarini ushlab qoladi.

Bunday zararli funksiyalar toʻplami kompyuterni shaffof vitrinaga aylantiradi: har qanday foydalanuvchi harakati kuzatuv ostiga tushadi, shu bilan birga zararli bot toʻliq rasmni yigʻadi.

Nima uchun botda shuncha koʻp modullar bor

OkoBot'ning kuchi uning modulliligida. Hujumchilar bitta katta zararkunanda oʻrniga, har bir bot tor vazifa uchun masʼul boʻlgan konstruktor yigʻishdi. Bir modul parollarni oʻgʻirlaydi, boshqasi ekranni suratga oladi, uchinchisi buferni kuzatadi.

Bu yondashuv botni moslashuvchan va chidamli qiladi. Agar antivirus bitta modulni topsa, qolganlari ishlashda davom etadi va operator aniqlangan komponentni tezda yangisiga almashtiradi. Aynan shuning uchun zamonaviy zararkunanda kamdan-kam yolgʻiz boʻladi — uning ortida har doim butun modullar toʻplami turadi.

Seed-frazani oʻgʻirlash nimaga tahdid soladi

Agar hujumchilar seed-frazani qoʻlga kiritsalar, ular jabrlanuvchining kripto aktivlariga toʻliq kirish huquqiga ega boʻladilar. Bunday darajadagi maʼlumotlar oʻgʻirlanishi deyarli har doim qaytarilmasdir.

Bunday holda, xakerlar odatda mablagʻlarni oʻzlari nazorat qiladigan manzillarga oʻtkazadilar. Bunday hujumdan keyin oʻgʻirlangan kriptovalyutani qaytarish deyarli imkonsizdir.

Bot tizimda ekanligini qanday aniqlash mumkin

Botni aniqlash oson emas, ammo bilvosita belgilar mavjud. Kompyuter sekin ishlay boshlaydi, ventilyator sababsiz shovqin chiqaradi va antivirus toʻsatdan oʻchib qoladi — bularning barchasi infeksiyani gumon qilish uchun asosdir. Baʼzida zararli dastur gʻalati tarmoq faoliyati bilan oʻzini namoyon qiladi: siz hech narsa ishga tushirmagan boʻlsangiz ham, qurilma qayergadir maʼlumot yuboradi.

Muammo shundaki, yaxshi bot oʻzini tizim jarayonlari sifatida yashiradi. Foydalanuvchi oylar davomida yonida josus ishlayotganini, seed phrase'larni tinchgina yigʻayotganini sezmasligi mumkin. Shuning uchun muntazam tizim tekshiruvlari tahdidni koʻz bilan aniqlash umididan koʻra muhimroqdir.

Kimlar xavf ostida

Kaspersky maʼlumotlariga koʻra, jabrlangan foydalanuvchilarning aksariyati Braziliya, Vetnam, Kanada, Meksika va Turkiyada joylashgan. Oʻgʻirlangan mablagʻlarning aniq miqdori oshkor etilmagan.

Qiziqarli tafsilot: hujumning dastlabki bosqichi uchun skriptlarni joylashtirgan serverlarga Rossiya va MDH mamlakatlaridan IP manzillar uchun kirish bloklangan. Bu odatiy belgi boʻlib, bunda zararli dastur operatorlari oʻz mintaqalarida eʼtibordan chetda qolishga harakat qilishadi.

Bunday hujumlar ortida kim turadi

Zararli botlar ortida deyarli har doim yolgʻiz ishqibozlar emas, balki uyushgan guruhlar turadi. Ishlab chiqish, tarqatish va naqdlashtirish koʻpincha turli ishtirokchilar oʻrtasida taqsimlanadi: baʼzilari kod yozadi, boshqalari infratuzilmani ijaraga oladi, yana boshqalari esakriptovalyutani yuvadi. Bunday ixtisoslashuv hujumlarni konveyerga qoʻyadi.

Koʻpincha bunday vositalar "xizmat sifatida zararli dastur" modeli ostida sotiladi yoki ijaraga beriladi. Chuqur texnik bilimlarga ega boʻlmagan xaridor tayyor boshqaruv panelini oladi va oʻz kampaniyasini boshlaydi. Aynan shuning uchun hujumlar soni ortib bormoqda: yangi kelganlar uchun kirish toʻsigʻi keskin pasaydi va bitta muvaffaqiyatli seed-frazani oʻgʻirlashdan olingan foyda bir necha oylik ishni qoplashi mumkin.

Bu birinchi holat emas

Oʻtgan yili ScamSniffer mutaxassislari Phantom Wallet foydalanuvchilaridan seed-frazalarni oʻgʻirlash bilan bogʻliq shunga oʻxshash firibgarlik taktikasini aniqladilar. Xakerlar "kengaytmani yangilash" uchun qalqib chiquvchi oynalar yaratdilar.

Tasdiqlangandan soʻng, jabrlanuvchiga seed-frazani kiritish taklif qilindi — va u toʻgʻridan-toʻgʻri botlarga ketdi. Sxema OkoBot'nikiga deyarli oʻxshash, faqat boshqa turdagi zararkunandalar bilan.

Nima uchun botlar bunchalik xavfli

Botlarning asosiy tahdidi avtomatlashtirish va miqyosdir. Bitta operator minglab zararlangan mashinalarni boshqaradi va bunday qurilmalar tarmogʻi botnetni tashkil qiladi. Botnet kechayu kunduz ishlaydi va hech qachon charchamaydi.

Aynan shuning uchun bitta parolni buzish koʻpincha xaker uchun botlarning hamyonga yetib borishi uchun yetarli boʻladi. Botlarning harakat tezligi jabrlanuvchiga reaksiya berishga vaqt qoldirmaydi.

Avtomatlashtirishning teskari tomoni

Har qanday avtomatlashtirishning oʻz plyuslari va minuslari bor. Uning plyusi shundaki, foydali botlar vaqt va kuchni tejaydi: ular bozorni kuzatadi, savollarga javob beradi va tizimlarni himoya qiladi.

Minusi shundaki, xuddi shu texnologiyalar jinoyatchilar tomonidan qoʻllaniladi. Ishni tezlashtiruvchi xuddi shu vosita, yovuz operatorlar qoʻlida qurolga aylanadi va botlar armiyasi bir vaqtning oʻzida minglab odamlarga hujum qiladi.

Tarmoq skanerlari va shaxsiy maʼlumotlarni oʻgʻirlash

Alohida muammo – zaifliklarni qidirib, tarmoqni ommaviy skanerlaydigan internet botlaridir. Bunday tarmoq botlari kelajakdagi hujumlar uchun razvedka vazifasini bajaradi.

Ularning asosiy maqsadi shaxsiy maʼlumotlarni: parollar, kalitlar, toʻlov maʼlumotlarini oʻgʻirlashdir. Yigʻilgan maʼlumotlar bunday bot tomonidan operatorlarga uzatiladi, ular keyinchalik oʻgʻirlangan narsalarni pulga aylantiradi.

Nima uchun apparat hamyon barcha kasalliklarga davo emas?

Koʻpchilik apparat hamyon har qanday tahdiddan himoya qiladi deb ishonadi. Bu qisman toʻgʻri: shaxsiy kalit qurilmani tark etmaydi va uni masofadan turib oʻgʻirlash qiyin. Ammo SeedHunter hikoyasi zaif nuqtani – insonni ochib beradi.

Agar foydalanuvchi seed-frazani soxta oynaga oʻzi kiritsa, hech qanday apparat uni qutqara olmaydi. Firibgarlar qurilmaga emas, balki ishonch va beparvolikka zarba beradi. Shuning uchun apparat hamyon xavflarni kamaytiradi, ammo raqamli gigiyenaning asosiy qoidalarini bekor qilmaydi.

Kripto aktivlaringizni qanday himoya qilish kerak

Endi himoya haqida. Hamyonni xavfsiz saqlash uchun seed-frazani hech qachon veb-saytlarga yoki qalqib chiquvchi oynalarga kiritmang – haqiqiy qurilma uni shunchaki soʻramaydi.

Dasturlarni faqat rasmiy manbalardan yuklab oling va repozitoriylarni tekshiring. Apparat hamyon, seed-frazani oflayn saqlash va tafsilotlarga eʼtibor berish botlarning tangalaringizga yetib borish ehtimolini keskin kamaytiradi.

Parollar va asosiy raqamli gigiyena

Qoʻshimcha toʻsiq – bu kuchli parol va ikki faktorli autentifikatsiya. Bu sizni toʻgʻridan-toʻgʻri seed-fishingdan qutqarmaydi, ammo botlarning boshqa sohalardagi ishini murakkablashtiradi.

Tizimingizni va antivirus dasturingizni muntazam yangilab turing, himoya bildirishnomalarini oʻchirmang va tasdiqlanmagan koʻrsatmalardagi buyruqlarni ishga tushirmang. Ushbu oddiy qoidalar bunday hujumlarning koʻpchiligini bartaraf etadi.

Agar bot maʼlumotlarni oʻgʻirlagan boʻlsa, nima qilish kerak

Agar bot hamyonga yetib borgan degan shubha boʻlsa, darhol harakat qilish kerak. Aktivlarni toza qurilmada yaratilgan yangi seed phrase bilan yangi hamyonga oʻtkazing — zararkunanda eski seed phrase'ni allaqachon buzgan boʻlishi mumkin.

Keyin tizimni antivirus bilan toʻliq skanerlang yoki qayta oʻrnating: infeksiya xotirada qolar ekan, har qanday yangi hamyon yana xavf ostida boʻladi. Yodda tutingki, bitta yuqtirilgan modul koʻpincha boshqalarga yoʻl ochadi, shuning uchun qurilmani butunlay tozalash kerak.

Kundalik xavfsizlik nazorati roʻyxati

Qisqa odatlar roʻyxati xavfni minimal darajaga tushirishga yordam beradi. Seed phrase'ni faqat oflayn rejimda saqlang va uni hech qachon suratga olmang. Hamyonlar va yordamchi dasturlarni faqat rasmiy veb-saytlardan yuklab oling va chatlar hamda elektron pochtadagi havolalarni eʼtiborsiz qoldiring.

Qabul qiluvchining manzilini toʻliq tekshiring, iloji boricha ikki faktorli autentifikatsiyani yoqing va haqiqiy ehtiyojsiz brauzer kengaytmalarini oʻrnatmang. Nihoyat, tizimingizni muntazam yangilab turing: yangi patchlar infeksiya koʻpincha kirib keladigan teshiklarni yopadi.

Xulosa

OkoBot hikoyasi zamonaviy zararli dasturlar va botlar oilalari qanchalik murakkablashganini koʻrsatadi. Bitta boshqaruvchi bot, oʻnlab modullar va bitta maqsad — sizning seed phrase'laringiz va hamyoningizdagi tangalar.

Siz oʻzingizni toʻliq sugʻurtalay olmaysiz, ammo xabardorlik va asosiy raqamli intizom har qanday antivirusdan koʻra yaxshiroq ishlaydi. Seed iborasini oflayn saqlang, qalqib chiquvchi oynalarga ishonmang va yodda tuting: kriptovalyuta bor joyda, uni birinchi xatoda oʻgʻirlashga tayyor botlar doimo boʻladi. Ehtiyotkorlik va bir nechta asosiy odatlar yoʻqolgan hamyonning qiymatidan koʻra koʻproq narsani tejaydi.