“Microsoft Teams” vasitəsilə yayılan “SynkLoader” zərərli proqramı saxta İT dəstək mesajları ilə əməkdaşları aldadır və “Windows” parollarını ələ keçirə bilir.

Valyuta.az xəbər berir ki, kibercinayətkarlar təxminən bir aydır “SynkLoader” adlı yeni zərərli proqramla şirkətləri hədəfə alırlar. Hücumun diqqətçəkən tərəfi isə əməkdaşların etibar etdiyi kommunikasiya vasitəsindən – “Microsoft Teams”dən istifadə edilməsidir.

“Expel” təhlükəsizlik şirkətinin araşdırmasına görə, hücum edənlər şirkətlərin İT dəstək qrupundan göndərilmiş kimi görünən “Teams” mesajları yollayırlar. Mesajda əməkdaşın kompüterində problem aşkarlandığı bildirilir və problemin həlli üçün “PowerShell Cleaner” adlı proqramın quraşdırılması istənilir.

Lakin əslində belə bir təmizləmə proqramı yoxdur. Hücumçular bu ad altında zərərli proqramı kompüterə yerləşdirirlər. Bundan əlavə, faylları “Microsoft Azure” üzərində yerləşdirərək bağlantının daha etibarlı görünməsinə çalışırlar.

“SynkLoader” hücumçulara kompüterə müxtəlif üsullarla daxil olmaq imkanı verən bir neçə komponentdən ibarətdir. Onların arasında sistem məlumatlarını toplamaq və uzaqdan bağlantı yaratmaq imkanları da var.

Ən diqqətçəkən komponentlərdən biri “PhishLocker”dir. Bu alət real “Windows” kilid ekranına bənzəyən saxta ekran açır. İstifadəçi kompüterinin kilidləndiyini düşünərək sistemə daxil olmaq üçün parolunu yazır. “SynkLoader” isə həmin parolu hücumçuya ötürür.

“BleepingComputer”ın məlumatına görə, ələ keçirilən parol vasitəsilə hücumçular zərərli proqram yoluxmuş kompüterdən istifadə edərək şirkətin sistemlərinə daxil ola bilərlər. Bu üsul yalnız müəyyən İP ünvanlarına icazə verən bəzi təhlükəsizlik tədbirlərinin də yan keçilməsinə imkan yarada bilər.

Lakin saxta ekranın bir zəifliyi var. İstifadəçi “Alt + Tab” düymələrinə basdıqda bunun real “Windows” giriş ekranı olmadığını görə bilər. Əslində “SynkLoader” tam ekran rejimində işləyən və pəncərə kənarlarını gizlədən tətbiq göstərir.

“SynkLoader”ın “Interactive Shell” adlı digər komponenti hücumçulara daha geniş giriş imkanı yaradır. Onlar bu alət vasitəsilə hədəf kompüterdə uzaqdan “PowerShell” əmrləri icra edə və nəticələri görə bilirlər.

Bu xüsusiyyət hücumçuya ələ keçirdiyi kompüter üzərində ciddi nəzarət yaratmağa imkan verir. Beləliklə, hücum yalnız parol oğurlanması ilə məhdudlaşmır.

“Expel” hücumu aşkar etmək istəyən təhlükəsizlik qrupları üçün “SynkLoader”la əlaqəli faylları, ünvanları və digər texniki göstəriciləri də yayımlayıb.

Bu hücum şirkətdaxili kommunikasiya vasitələrinin kibertəhlükələr zamanı necə istifadə oluna biləcəyini bir daha göstərir. “Microsoft Teams” və telefon danışıqları hücumçuların əməkdaşlarla ilk əlaqə yaratmaq üçün istifadə etdiyi üsullar arasında yer alır.

Şirkətlər xüsusilə gözlənilməz İT dəstək mesajları ilə bağlı əməkdaşlarını xəbərdar etməlidirlər. Əməkdaş “Teams” vasitəsilə kompüterinə hər hansı proqram quraşdırmasını tələb edən mesaj aldıqda, əməliyyatı həyata keçirməzdən əvvəl şirkətin İT qrupu ilə başqa kommunikasiya kanalı üzərindən əlaqə saxlamalıdır.

Həmçinin əməkdaşlar mənbəyinə əmin olmadıqları tətbiqləri şirkət kompüterlərinə quraşdırmamalıdırlar. Çünki “SynkLoader” nümunəsində hücumçular texniki təhlükəsizlik boşluğundan əvvəl istifadəçinin etibarını hədəfə alırlar.