Қазақстанның цифрлық инфрақұрылымы жасырын кибертекетірестің ортасында қалды. Елге шабуыл жасайтын хакерлік топтардың саны рекордтық деңгейге жеткен. Мұндағы басты мақсат — ақша бопсалау емес, мемлекеттік тыңшылық. Кибербарлау сарапшысы Олег Скулкин KazHackStan форумында киберқатерлердің жаңа көрінісі мен қазіргі қаскөйлердің арсеналын ашып көрсетті, деп хабарлайды Kapital.kz іскерлік ақпарат орталығының тілшісі. Шабуылдардың күрт өсуі: Кластерлер саны неге еселеп артты? Соңғы жылдардағы геосаяси тұрақсыздық Орталық Азиядағы, соның ішінде Қазақстандағы киберқатерлерді мүлдем басқа деңгейге шығарды. Сарапшының дерегінше, 2020 жылға дейін елде 12–13 белсенді хакерлік кластер тіркелсе, бүгінде бұл көрсеткіш екі есе көбейген. «Осыдан екі апта бұрын презентация дайындаған кезде Қазақстанға бағытталған 25 белсенді кластерді бақылап отырған едік. Ал соңғы деректерді жинақтағанша, олардың саны 27-ге жеткенін көрдік. Бетбұрысты кезең 2020 жылы басталды және геосаяси дүрбелеңдер аясында шабуылдар саны одан әрі артып келеді», — деп атап өтті сыртқы киберқатерлердің алдын алу бағытының басшысы Олег Скулкин. Мұнда маман жай «топ» емес, «белсенділік кластері» терминін қолданғанды жөн санайды. Өйткені топты анықтау нақты техникалық деректерге: қолданылатын инфрақұрылымға, әдістерге және зиянды бағдарламаларға сүйенеді. Аймақта мұндай алғашқы белгілер 2004 жылы-ақ тіркелгенімен, оның бұрын-соңды болмаған шарықтау шегі дәл қазір байқалып отыр. Шынайы уәж: Ақша табу емес, мемлекеттік тыңшылық Қоғамда және B2B-сегментте хакерлердің басты мақсаты — компания деректерін бұғаттап, криптовалюта түрінде төлем талап ету деген түсінік қалыптасқан. Дегенмен, Threat Intelligence-тің нақты статистикасы бұл стереотипті толығымен теріске шығарады. Қазақстанға шабуыл жасайтын топтардың 78%-ы мемлекеттік тыңшылықпен айналысады. «Жаңалықтарда ірі қазақстандық ұйымдардың бұзылғаны туралы ақпарат неге аз? Мәселе қарапайым: тыңшылықпен айналысатын мемлекеттік топтар шу шығарғысы келмейді. Олар инфрақұрылымды бұғаттамайды және мәлімдеме жасамайды. Олардың міндеті — жүйеге білдіртпей кіріп, айлар мен жылдар бойы қажетті деректерді жылыстатып отыру», — деп атап өтті спикер. Қаржылық алаяқтықты көздейтін хакерлердің үлесі азырақ. Олар негізінен коммерциялық секторға, банктерге, ритейл мен логистикаға шабуыл жасайды. Олар логистикалық компаниялардың IT-жүйелерін сал етіп, жүк қабылдау мен жөнелту мүмкіндігінен айырады. Осылайша бизнесті бұғатты ашу үшін қомақты қаржы төлеуге мәжбүрлейді. «Тыныш майдан» феномені және «Wolf» сериясындағы топтардың географиясы Кибербарлау жіктемесінде тыңшылыққа маманданған топтарға «Wolf» (Қасқырлар) префиксі беріледі. Қазақстанға қатысты белсенділік танытып отырған негізгі кластерлерге: DevilWolves, BloodyWolf, EagleWolf, WatchWolf, CloudWolf, MidnightWolf, NinjaWolf, SevereWolf, PrivateWolf, SecretWolf және NebulaWolf жатады. Сарапшының пікірінше, «Тыныш майданның» қауіптілігі де осында — БАҚ-та шулы ақпараттың болмауы қауіпсіздік белгісі емес, керісінше шабуылдаушылардың жоғары біліктілігін көрсетеді. Олар дәстүрлі қорғаныс құралдарына байқалмай, мемлекеттік, энергетикалық және ғылыми-зерттеу құрылымдарына енеді. IT-компаниялар неге «Троя атына» айналуда? Сарапшының сөзінше, мемлекеттік органның периметріне тікелей шабуыл жасау — күрделі. Өйткені онда әдетте сапалы қорғаныс жүйесі орнатылған. Сондықтан тыңшылар жеткізу тізбегіне шабуыл жасау тактикасын кеңінен қолданады. Мұндай схемада IT-мердігерлер хакерлер үшін таптырмас «Троя атына» айналады. «Тыңшыларға IT-сектор не үшін қажет? Барлығы да практикалық тұрғыда: IT-компаниялар мемлекеттік органдар мен маңызды кәсіпорындардың инфрақұрылымына заңды түрде қол жеткізе алады. Бір IT-мердігердің жүйесін бұзу бірден ондаған мекемеге жол ашады. Ал егер хакерлер IT-компания тарапындағы үшінші тұлғалардың резервтік көшірмелеріне қол жеткізсе, тапсырыс берушінің өзін бұзудың қажеті де болмай қалады», — деп түсіндіреді Олег Скулкин. ЖИ рөлі және фишингтің эволюциясы Антивирустардың талдауын айналып өту үшін шабуылдаушылар өз кодтарын үздіксіз шатастырады (обфускациялайды). Бұған жасанды интеллект үлкен көмек көрсетіп отыр. Даркнет ресурстарында хакерлер арнайы ЖИ-промпттардың көмегімен зиянды скрипттер мен бэкдорлар жасайтындарын ашық мойындайды. Олег Скулкиннің айтуынша, бастапқы қолжетімділік алудың басты әдісі — фишинг те дамып келеді. Зиянды макростары бар классикалық MS Office құжаттары артта қалды — пайдаланушылар оларға сенбеуді үйренді. Бүгінде Қазақстанға жасалатын шабуылдардың қатарында мына үш жаңа тренд бар: 1. Қос кеңейтімі бар файлдар (.pdf.exe, .docx.exe): Windows әдепкі бойынша екінші кеңейтімді жасырып қояды. Пайдаланушы қауіпсіз PDF-құжатты ашып жатырмын деп ойлап, іс жүзінде бэкдоры бар файлды іске қосады. 2. Зиянды LNK-жарлықтары: ZIP-архивтердің ішінде таралады. Жарлықты басқан кезде операциялық жүйенің ішкі утилиталары (PowerShell, mshta, rundll32) арқылы қашықтағы серверден зиянды код үнсіз жүктеледі. 3. «ClickFix» техникасы (Malicious Copy & Paste): Құрбанды капчасы бар жасанды бетке азғырып, «тексеруден өту үшін» арнайы мәтінді көшіріп, оны терминалға немесе «орындау» терезесіне қоюды сұрайды. Пайдаланушы өз қолымен хакерлердің командалық скриптін іске қосады. Қорғаныс тактикасы: Бүгінде қандай стратегия қажет? Кибербарлау сарапшысының басты түйіні: тек анықтау ережелерін жинақтауға және жаңа қорғаныс құралдарын сатып алуға ғана назар аудару — тығырыққа тірейтін жол. Оның айтуынша, Threat Intelligence деректері шынайы топтардың қалай әрекет ететінін түсінуге және қаскөйлер желі ішінде әрі қарай жылжығанға дейін — ерте кезеңде әрекет етуге мүмкіндік береді. «Жай ғана анықтау жеткіліксіз, ал стандартты қорғаныс құралдарының жиынтығы да белгілі бір дәрежеде анықтауға мүмкіндік береді. Ең бастысы — дұрыс әрекет ете білу. Егер дұрыс әрекет етпесеңіз, сізде тек ескертулердің тізбегі қалып, соңында шығынға батасыз», — деп түйіндеді Олег Скулкин.