Pwn2Own nima?

🧟 Pwn2Own - Zero Day Initiative (ZDI) xavfsizlik musobaqasi. Unda security researcher'lar yangi, hali topilmagan zero-day zaifliklar orqali mashxur dasturlar va zamonaviy qurilmalarni buzib ko'rsatishadi. G‘oliblar pul va Master of Pwn badge'i hamda pointlarni qo'lga kiritishadi. Exploit esa ZDI orqali vendorlarga (zaiflik topilgan dasturni ishlab chiqargan kompaniya) yopiq tarzda beriladi va keyin patch chiqariladi.

❓ Pwn2Own'ni kiberxavfsizlik olamida ajralib turuvchi jihati - targetlarning ko'lami hamda realistik cheklovlar bilan hujumni amalga oshirilishidir. Jamoalar xar xil yo'nalishlarda browser renderer + sandbox escape, OS kernel LPE, hypervisor escape, enterprise apps/servers, mobile apps kabilarga hujum qiladi. Namoyish default konfiguratsiya, minimal user interaction va aniq isbot (masalan, code execution, persistence) bilan o‘tadi.

🎯 Pwn2Own'dan foyda: Researcher'lar pulini oladi, vendorlar zaifliklarni bilib patch chiqaradi, community esa yana yangi texnika o'rganadi.

🧑‍💻 2025-yil natijalar

✉️ Telegram ✊ Forum
🌐 Linkedin 🌐 Web
📷 Instagram 🌐 Academy

Biz shunchaki o'rganuvchilarmiz !!!
@CentiSec

UNC5221, Silk Typhoon APT guruh a'zolari

🤩 Xitoy ortida turgan UNC5221 apt guruhi F5’ga bo'lgan hujumdan so‘ng F5 BIG-IP'ni ishlatuvchi tashkilotlarni faol nishonga olmoqda. Ushbu hodisada tahdid actor'lari ichki development ma’lumotlarini, jumladan BIG-IP source code'ning ayrim qismlari va xali patch qilinmagan zaifliklar haqida muhim ma’lumotlarini o‘g‘irladi.

🤔 2025-yil 15-oktyabr kuni CISA - Emergency Directive ED-26-01 bayonotini chiqardi, u yerda federal tarmoqlar uchun yaqinlashib kelayotgan tahdid haqida ogohlantirish berilgan, zararlangan F5 qurilmalarida zudlik bilan inventarizatsiya, hardening va patching choralarini ko'rishlikni buyurdi. Chunki o‘g‘irlangan code'lar internetda ochiq bo'lgan management service'larga qarshi 0-day zaifliklari xavfini keskin oshiradi.

🤔 F5 ma’lum qilishicha, tajovuzkorlar 9-avgust kuni ularning tizimlarida aniqlangan va Bloomberg xabariga ko‘ra mijozlarga xakerlar kompaniya tarmog‘ida kamida 12 oy davom bo'lganliklari bildirgan. Shu kunni o'zida tashqi kiberxavfsizlik konsultantlarini jalb etishgan va standard incident response choralarini boshlagan.

🤔 Buzilgan haqida e'lon U.S. Department of Justice ruxsatidan so‘ng berilgan, amaldagi huquqni muhofaza qilish qonunlari sababli ommaviy oshkor qilishni biroz vaqtga kechiktirib turishga ruxsat bergan — hukumat bunga "a substantial risk to national security or public safety" (milliy xavfsizlik yoki jamoat xavfsizligiga jiddiy xavf) deb baholanganda imkon beradi.

➡️ To'liqroq ma'lumot olish uchun

✉️ Telegram ✊ Forum
🌐 Linkedin 🌐 Web
📷 Instagram 🌐 Academy

Biz shunchaki o'rganuvchilarmiz !!!
@CentiSec

Operation Endgame 3.0: Rhadamanthys, VenomRAT va Elysium yakunlandi

🏦 2025-yil noyabr o‘rtalarida Europol va bir nechta davlat huquqni muhofaza qilish organlari navbatdagi yirik xalqaro operatsiyani o‘tkazdi. Bu bosqich “Operation Endgame 3.0” deb nomlandi va uning asosiy maqsadi uchta yirik kiberjinoyat vositalari bo‘ldi: Rhadamanthys, VenomRAT va Elysium.

⚡️ Rhadamanthys – bu infostealer, ya’ni foydalanuvchining qurilmasidan ma’lumot o‘g‘irlaydigan zararli dastur. U darkweb’da “xizmat sifatida” sotilgan: har qanday kiberjinoyatchi obuna yoki litsenziya olib, o‘z kampaniyalarida Rhadamanthys’dan foydalana olgan. Ushbu infostealer brauzerdagi cookie va session tokenlarni, saqlangan parollarni, autofill ma’lumotlarini, kriptovalyuta hamyonlari bilan bog‘liq ma’lumotlarni hamda boshqa ko‘plab credentiallarni yig‘ish uchun ideal hisoblanadi. Operatsiya davomida Rhadamanthys’ni boshqarish uchun ishlatilingan bosh serverlar va admin panel infrasi o‘chirildi, millionlab login-parollar, yuz minglab kripto hamyonlar bilan bog‘liq ma’lumotlar huquqni muhofaza qilish organlari qo‘liga o‘tdi. Yana bir qancha ma'lutmolar Have I Been Pwned kabi xizmatlarga yuborilib, foydalanuvchilar o‘z ma’lumotlari sizdirilgan-sizdirilmaganini tekshira olishlari uchun qo‘shildi.

🕷 VenomRAT – bu Remote Access Trojan, ya’ni qurilmaga to‘liq kirish imkonini beradigan trojan. Uni sotib olgan shaxs qurilmada klaviaturada bosilgan har bir keyni yozib borishi, webcam va ekranni kuzatishi, fayllarni ko‘rishi va yuklab olishi, qo‘shimcha malware (masalan, ransomware) yuklashi mumkin bo‘lgan. Yillar davomida VenomRAT yuz minglab qurilmalarni zararlagan, ko‘plab kripto hamyonlar va onlayn akkauntlar o‘g‘irlanishida ishtirok etgan. Operation Endgame 3.0 doirasida VenomRAT bilan bog‘liq asosiy developer/operatorlardan biri deb gumon qilingan shaxs Gretsiyada qo‘lga olindi. Tintuv vaqtida malware source code’lari, boshqaruv serverlari bo‘yicha ma’lumotlar va sezilarli miqdorda kriptovalyuta aktivlari topilgan.

🕷 Elysium – bu oddiy malware emas, balki kiberjinoyatchilar uchun “professional proxy tarmog‘i” rolini o‘ynagan infratuzilma. Zararlangan qurilmalar proxy node'lariga aylantirilib, jinoyatchilar o‘z trafiklarini shu orqali o‘tkazishgan. Natijada ular haqiqiy IP-manzillarini yashirishgan, credential o‘g‘irlanishi, account takeover, kriptovalyuta o‘g‘irliklari va boshqa hujumlar ortida kim turganini aniqlash ancha qiyinlashgan. Operation Endgame 3.0 doirasida Elysium’ning asosiy boshqaruv serverlari va domenlari ham to‘xtatib qo‘yildi.

😎 Umuman olganda, operatsiya natijasida mingdan ortiq zararli serverlar o‘chirildi yoki musodara qilindi, o‘nlab domenlar tortib olindi, ko‘p mamlakatlarda tintuvlar o‘tkazildi va katta hajmdagi kripto aktivlar muzlatildi. Bu ishda faqat davlat organlari emas, balki Team Cymru, Shadowserver, Spamhaus, Proofpoint, Have I Been Pwned kabi xususiy sektor va threat intelligence tashkilotlari ham faol ishtirok etgan.

✅ Bu bizga nimani ko‘rsatadi? Birinchidan, infostealerlar va RAT’lar bugungi kunda credential bozori va ransomware ekotizimining asosiy dvigateli ekanini. Ikkinchidan, yirik kiberjinoyat tarmoqlariga qarshi kurash faqat bitta davlat yoki bitta tashkilot bilan emas, balki xalqaro va sektorlar aro hamkorlik orqali amalga oshirilishini. Uchinchidan, oddiy foydalanuvchilar ham passiv tomoshabin emas: shubhali fayllarni yuklab olmaslik, “crack” va “nulled” dasturlardan voz kechish, 2FA yoqish, kuchli va noyob parollar ishlatish, credentiallari sizdirilgan bo‘lishi mumkinligini doimiy tekshirib turish orqali o‘zini himoya qilishi kerak.

🐍 Operation Endgame kiberjinoyatchilar infratuzilmasiga katta zarba berdi, lekin bu urushning yakuni emas. Infratuzilmalar qayta qurilishi mumkin. Shuning uchun ham blue team, red team va oddiy foydalanuvchilar uchun asosiy dars: kiberxavfsizlik bu bir martalik tadbir emas, bu uzluksiz jarayon ekanligini unutmasligimiz kerak.

✉️ Telegram ✊ Forum
🌐 Linkedin 🌐 Web
📷 Instagram 🌐 Academy

Biz shunchaki o'rganuvchilarmiz !!!
@CentiSec

APT24, BADAUDIO va Tayvanga qarshi bir necha yillik josuslik hujumi

⭐️ Xitoy bilan bog‘liq APT24 (Pitty Tiger nomi bilan ham tanilgan) so‘nggi uch yil davomida yangi BADAUDIO malware’idan foydalanib, Tayvandagi turli tashkilotlar va ular bilan bog‘liq 1 000 dan ortiq domenni josuslik maqsadida nishonga olgani aniqlandi.

📡 BADAUDIO – bu C++ da yozilgan, yashirincha ishlovchi first-stage dastur. U uchta asosiy ishni bajaradi:

1. Tizim haqida minimal ma’lumot to‘playdi.
2. Ushbu ma’lumotni AES bilan shifrlab, oldindan belgilangan C2 serverga yuboradi.
3. C2’dan kelgan zararli kodni (payload) diskka yozmasdan, bevosita xotirada shifrdan chiqarib ishga tushiradi.

Ko‘p holatlarda payload sifatida Cobalt Strike Beacon ishlatilgan – ya’ni BADAUDIO o‘zi faqat yuklovchi (loader), ammo u orqali tizimga to‘liq funksiyali backdoor kirib keladi.

Batafsil tahlil uchun

👽 Watering hole hujumi
Hujumning bir qismida APT24 “watering hole” usulidan foydalangan. Ya’ni ular 2022-yildan boshlab foydalanuvchilar ishonib kiradigan bir nechta odatiy saytlarni buzib, ichiga o‘zlarining zararli JavaScript kodini joylashtirishgan.Bu skript FingerprintJS yordamida foydalanuvchilarning brauzer va operatsion tizimini tekshiradi. Agar foydalanuvchi Windows ishlatayotgan bo‘lsa, unga soxta “Google Chrome yangilanishi” oynasi (pop-up) ko‘rsatiladi. Foydalanuvchi bu “update”ga ishongan zahoti, asl Chrome yangilanishi emas, balki BADAUDIO malware’i yuklab olinadi va ishga tushadi.

🔪 Supply-chain (ta’minot zanjiri) hujumi
Eng xavfli qism – supply-chain hujumi. APT24 Tayvandagi bitta mintaqaviy onlayn marketing kompaniyasini bir necha bor buzishga muvaffaq bo‘lgan. Bu kompaniya mijozlarining saytlarida ishlatiladigan umumiy JavaScript analitika faylini o‘zi hosting qilgan. Hujumchilar aynan shu umumiy JS ichiga backdoor qo‘shib qo‘yishadi.

Natijada:

bitta marketing kompaniyasi buziladi;
u bilan ishlaydigan 1 000+ sayt avtomatik ravishda xavf ostida qoladi;
foydalanuvchi mijoz saytiga kiradi → sayt o‘sha marketing firmasining JS faylini yuklaydi → u bilan birga BADAUDIO yetkazib beradigan kod ham ishga tushadi.

Ya’ni bitta “markaziy” JS fayl buzilgani butun ekotizimga zanjirsimon ta’sir qiladi.

🔵 Xulosa
APT24’ning BADAUDIO orqali olib borgan hujumlari yana bir bor shuni ko‘rsatadiki, oddiy ko‘rinadigan marketing JS fayli yoki “Chrome yangilanishi” oynasi ortida ham supply-chain va watering hole kabi murakkab hujumlar turishi mumkin. Tashkilotlar nafaqat o‘z infratuzilmasini, balki uchinchi tomon (marketing, analitika, widget, tracking) vositalari va ular yuklaydigan JS fayllarni ham doimiy ravishda tekshirib borishi kerak. Aks holda, bitta buzilgan provayder yuzlab yoki minglab saytlar va foydalanuvchilarni avtomatik ravishda APT guruhlarining nishoniga aylantiradi.


✉️ Telegram ✊ Forum
🌐 Linkedin 🌐 Web
📷 Instagram 🌐 Academy

Biz shunchaki o'rganuvchilarmiz !!!
@CentiSec

🧪 Agar enumeration vaqtida package.json faylini topadigan bo'lsak, potensial dependency confusion hujumiga tekshirib ko'rishimiz mumkin. Bu uchun JSMon tomonidan chiqarilgan NPM Dependency Confusion Validator'dan foydalanib ko'ramiz.

1️⃣ Birinchi bo'lib package.json faylini yuklab olamiz:

wget https://localhost/package.json

2️⃣ Keyin dependencies ichidagi paket nomlarini ajratib olamiz:

jq -r '.dependencies // {} | keys[]' package.json

3️⃣ Chiqgan paket nomlarini NPM Dependency Confusion Validator orqali tekshiramiz.


#bb #centipede #centi #cheetsheat #BugBounty #Bug
Biz shunchaki o'rganuvchilarmiz !!!
@CentiSec

🆘 CVE-2025-55182 — React Server Components’da pre-auth RCE

👩‍💻 React 19'dagi React Server Components / Server Actions qismida kritikal zaiflik aniqlandi:
CVE-2025-55182, CVSS 10.0 — autentifikatsiyasiz remote code execution.

🔴 RSC runtime’dagi zaiflik Flight payload’larni deserializatsiya qilish jarayonida moduleExports[metadata[2]] ni hasOwnProperty tekshiruvisiz ishlatilinishi bilan bog‘liq.

🟠 Buning oqibatida hujumchi metadata ichidagi qiymatlarni o‘zgartirib, qaysi modul va qaysi funksiya chaqilishini o‘zi boshqara oladi. Masalan, vm.runInThisContext kabi funksiyani ishga tushirsa, u orqali server tomonda ixtiyoriy JavaScript kodni bajartirish (RCE) mumkin bo‘ladi.

🔵 Qisqacha aytganda, metadata orqali funksiya chaqiruvini nazorat qilish imkoni va himoya tekshiruvining yo‘qligi bu RCE'ni keltirib chiqardi.

Zararlangan paketlar va versiyalar

Zaif RSC paketlari:

• react-server-dom-webpack
• react-server-dom-parcel
• react-server-dom-turbopack

Zaif versiyalar:
• 19.0.0, 19.1.0, 19.1.1, 19.2.0

Tuzatilgan versiyalar:
• 19.0.1, 19.1.2, 19.2.1 va undan keyingi

Frameworklar:

• Next.js (CVE-2025-66478 bilan bog‘liq)
• Vite RSC plugin’lari
• Parcel RSC
• Waku
• React Router RSC, Redwood va RSC ishlatadigan boshqa stack’lar

Next.js uchun xavfsiz versiyalar: 15.0.5, 15.1.9, 15.2.6, 15.3.6, 15.4.8, 15.5.7, 16.0.7.

Hujum sxemasi (umumiy)

1. Hujumchi Server Action / RSC endpoint’iga (/_rsc, /formaction va h.k.) POST so‘rov yuboradi.

2. RSC runtime decodeAction / loadServerReference orqali payload’dan id qiymatini oladi.

3. id ko‘rinishida "vm#runInThisContext" kabi qiymat uzatiladi, argument sifatida esa hujumchi kiritgan kod/komanda beriladi.

4. requireModule(metadata) moduleExports[metadata[2]] ni hasOwnProperty tekshiruvisiz qaytaradi.

5. Chaqarilganda esa vm.runInThisContext("…") bajariladi va server tomonda RCE yuz beradi.

Bitta to'g'ri tuzilgan so‘rov bilan Node-protsess ustidan to‘liq nazoratni egallash mumkin.

✔️ PoC || Nuclei uchun template

✉️ Telegram ✊ Forum
🌐 Linkedin 🌐 Web
📷 Instagram 🌐 Academy

Biz shunchaki o'rganuvchilarmiz !!!
@CentiSec

Wireshark

👽 Gerald Combs — Wireshark (oldingi nomi Ethereal) tarmoq trafikini analiz qiladigan mashhur vosita yaratuvchisi. U 1990-yillar oxirida kichik internet-provayderlardan birida sistem administratori sifatida ishlayotgan paytda bir nechta amaliy muammoga duch keladi: provayder mijozlarida tarmoq bilan bog‘liq nosozliklar ko‘p, lekin ularni aniqlash uchun qulay vosita yo‘q edi. Professional protocol analyzerlar o‘sha davrda taxminan $1500 atrofida turardi, faqat katta kompaniyalar olishi mumkin bo‘lgan darajada qimmat bo‘lgan. Eng yomoni, bu mahsulotlarning aksariyati provayder infratuzilmasida asosiy rol o‘ynagan Solaris va Linux platformalarini umuman qo‘llab-quvvatlamasdi.

📡 Shuning uchun Combs 1997–1998-yillarda Ethereal nomli bepul, ochiq kodli paket analizatorini yozishni boshlaydi. Dastlab bu faqat o‘zi ishlayotgan kichik provayderdagi muammolarni hal qilish uchun yozilgan ichki vosita edi: paketlarni real vaqt rejimida ko‘rish, protokol sarlavhalarini ochib o‘qish, qaysi joyda uzilish bo‘layotganini tez topish uchun. 1998-yilda ilk ommaviy versiya chiqadi va oradan ko‘p o‘tmay butun dunyodan developerlar loyihaga hissa qo‘sha boshlaydi: yangi protokollar uchun dissectorlar yozishadi, mavjud kodga patchlar tashlashadi, filtrlar, GUI’dagi qulayliklar, eksport/import funksiyalari kabi yangi qulayliklar qo‘shiladi. Natijada Ethereal Unix/Linux olamida juda tez “default sniffer”ga aylanadi – ya’ni “paket analiz qilish kerakmi, Ethereal ishlat” degan darajaga keladi.

🛡 2006-yilda esa huquqiy/savdo belgisi (trademark) bilan bog‘liq masalalar tufayli loyiha nomini o‘zgartirishga to‘g‘ri keladi: Ethereal → Wireshark. Muhimi – faqat nom o‘zgaradi, xolos. Kod bazasi, contributor jamoasi, GPL ochiq kodli litsenziyasi o'zgarmasdan qoladi. Eski Ethereal brendi ostidagi versiyalar esa rasman to‘xtatiladi va yangi relizlar faqat Wireshark nomi bilan chiqadigan bo‘ladi. Keyingi yillarda loyiha infratuzilmasi va “rasmiy” taraflarini avval CACE Technologies, keyin Riverbed, hozirda esa Wireshark Foundation hamda hamkor sifatida Sysdig qo‘llab-quvvatlab kelmoqda – bu esa loyiha atrofida ham professional, ham hamjamiyat ekotizimni shakllantirgan.

🧑‍💻 Gerald Combs esa hanuzgacha Wireshark loyihasining “yuragi” bo‘lib kelmoqda: u kod bazasini boshqarish, muhim relizlarni ko‘rib chiqish, yangi funksiyalar va arxitektura bo‘yicha qarorlarda xaligacha ishtirok etib kelmoqda.

✉️ Telegram ✊ Forum
🌐 Linkedin 🌐 Web
📷 Instagram 🌐 Academy

Biz shunchaki o'rganuvchilarmiz !!!
@CentiSec

Autoswagger — bu Swagger/OpenAPI dokumentatsiyasi orqali autentifikatsiyasiz endpointlarni avtomatik tarzda topish, o‘qish va tekshirish uchun mo‘ljallangan command-line vosita.

U API’larda himoyalanmagan endpointlar orqali kelib chiqishi mumkin bo‘lgan xavfsizlik muammolarini aniqlashga yordam beradi, masalan: PII (shaxsiy ma’lumotlar) sizib chiqishi yoki maxfiy ma’lumotlarning oshkor bo‘lishi kabi.

git clone https://github.com/intruder-io/autoswagger.git

cd autoswagger;python3 -m venv venv;source venv/bin/activate

pip install -r requirements.txt
python3 autoswagger.py -h

✔️ https://github.com/intruder-io/autoswagger.git

#BugBounty #cheetsheat #centi #centipede #bb #cheet #bug
Biz shunchaki o'rganuvchilarmiz !!!
@CentiSec

😈 EvilAI – soxta “AI dastur” ichiga yashiringan malware

EvilAI — Windows uchun tarqatilayotgan zararli dastur kampaniyasi. U oddiy foydalanuvchiga “AI yordamchi” yoki “productivity” ilova sifatida ko‘rinadi. Lekin aslida u infostealer/backdoor bo‘lib ishlaydi: parollar, cookie’lar va boshqa maxfiy ma’lumotlarni o‘g‘irlaydi, ba’zan esa kompyuterga masofadan boshqaruv yo‘lini ochib beradi.

🧩 Qanday ko‘rinadi?

• Nomlari oddiy bo‘ladi: AppSuite, OneStart, PDF Editor, Recipe Lister, TamperedChef va shunga o‘xshash.
• Tashqi tomondan “haqiqiy ilova”dek ishlaydi: masalan PDF tahrirlaydi yoki retseptlarni ko‘rsatadi — shu sabab foydalanuvchi shubhalanmaydi.
• Ba’zi variantlari raqamli imzo bilan chiqadi: Windows’da “trusted/ishonchli” ko‘rinib, odamni aldashi osonroq bo‘ladi.

🧬 Aslida nima qiladi?

• O‘rnatilgandan keyin yashirincha fon rejimida qo‘shimcha .exe yoki script’larni ishga tushiradi.
• Brauzerlardan ma’lumot yig‘adi: Chrome/Edge profil fayllaridan parol, cookie, session va boshqa shaxsiy ma'lumotlarni yeg'adi.
• Kompyuter haqida ham ma'lumot to'playdi: qurilma/OS ma’lumotlari kabi narsalarni to‘plab, hammasini shifrlab C2 serverga yuboradi.
• Keyin C2 orqali hujumchi yana qo‘shimcha “payload” yuklashi mumkin: masalan RAT, ransomware va boshqa zararli dasturlar.

🛡 Nima qilish kerak?

– Har qanday “yangi AI ilova”ni faqat IT/Sec tasdiqlagan rasmiy manbadan o‘rnating. Noma’lum sayt, Telegram link, “free/pro cracked” variantlardan yiroq bo‘ling.
– Yangi ro‘yxatdan o‘tgan domenlardan kelayotgan “AI tool” yuklab olish fayllarini avval sandbox (izolyatsiya qilingan muhit)da tekshiring.
– Xodimlarga oddiy qoida qilib tushuntiring: “AI” deb nomlangan har bir app xavfsiz emas. Code-signing (raqamli imzo) ham 100% kafolat bermaydi — u ham aldov uchun ishlatilishi mumkin.

✉️ Telegram ✊ Forum
🌐 Linkedin 🌐 Web
📷 Instagram 🌐 Academy

Biz shunchaki o'rganuvchilarmiz !!!
@CentiSec

🪦 CloudRip — Cloudflare himoyasi bo'lgan serverlarning subdomenlarini tekshirib, haqiqiy IP manzilini topishga yordam beradi.

git clone https://github.com/moscovium-mc/CloudRip

cd CloudRip;python3 -m venv venv;source venv/bin/activate

pip install -r requirements.txt
python3 cloudrip.py -h

✅ https://github.com/moscovium-mc/CloudRip.git

#BugBounty #cheetsheat #centi #bb #cheet #bug #Cloud #Hack
Biz shunchaki o'rganuvchilarmiz !!!
@CentiSec

Transparent Tribe (APT36) Hindistonga qarshi yangi RAT hujumi

👽 Transparent Tribe (APT36) Hindistondagi tashkilotlarga qarshi josuslik hujumini yanada kuchaytirgani kuzatilmoqda. Bu safar hujumchilar foydalanuvchiga oddiy hujjat sifatida ko‘rinadigan fayllar orqali yashirin boshqaruv dasturini o'rnatib, zararlanish jarayonini maksimal darajada sezilmas tarzda olib bormoqda.

🎠 Ular RAT (Remote Access Trojan) dan foydalanib, Hindistonning davlat, akademik va strategik tashkilotlarini nishonga olyapti. Bunday zararli dastur hujumchiga qurilmani masofadan boshqarish, ma’lumotlarni kuzatish va tizimda uzoqroq muddat yashirin qolish imkonini beradi.

🔪 Hujum boshlanishi

Hujum odatda aniq bir shaxs yoki guruhni nishonga olgan spear-phishing xati bilan boshlanadi. Xatda ZIP fayl bo'ladi, ZIP ichidan esa PDFga o‘xshab ko‘rinadigan fayl chiqadi.

Lekin bu fayl haqiqiy PDF emas — u `.LNK` Windows shortcut fayl. Hujumchilar ishonchni oshirish uchun shu shortcut ichiga haqiqiy PDF kontentini ham qo'shib qo‘yishadi. Shuni hisobiga foydalanuvchi faylni ochganda ekranda rostdan ham PDF'dek ko‘rinadi va shubha uyg‘onmaydi.

Ammo aynan shu vaqtda, foydalanuvchi sezmagan holda, orqa fonda zararli kodlar ishga tushadi — ya’ni shortcut orqali zararli buyruqlar bajarilib, tizimga keyingi bosqichdagi zararli dasturlar yuklanishi yoki ishga tushirilishi mumkin.

😈 Supply Chain

Zanjirning asosiy ishlash usuli Windows’ning `mshta.exe` kabi o‘zining tizim komponentlariga tayangan. Hujumchi aynan shundan foydalanib, faoliyatini “oddiy tizim jarayoni”ga o‘xshatib ko‘rsatishga harakat qiladi — ya’ni tashqaridan qaraganda hammasi odatiydek ko‘rinadi.

Zararli kod bir martada tayyor holatda kelmaydi. U bir necha bosqichda “ochib boriladi” — ya’ni avval kodlangan/shifrlangan bo‘ladi, keyin bosqichma-bosqich decode/decrypt qilinadi. Yakunda esa u kompyuterga alohida `.exe` yoki `.dll` fayl sifatida yozilmaydi, balki to‘g‘ridan-to‘g‘ri RAM (xotira) ichida ishga tushadi. Shu usul bilan hujumchilar oddiy fayl tekshiruvlaridan chetlab o‘tishga harakat qilishadi.

Oxirgi bosqichda tizimga `RAT` (Remote Access Trojan) o‘rnatilib, hujumchiga qurilmani masofadan boshqarish imkonini beradi. Bunday malware'larda odatda quyidagi funksiyalar bo'ladi:
• fayllarni ko‘rish/ko‘chirish/o‘chirish kabi boshqaruv
• tizimdan ma’lumot yig‘ish va tashqariga chiqarish
• ekrandan skrinshot olish
• clipboard (copy/paste buferi) bilan ishlash
• jarayonlarni (process) kuzatish va nazorat qilish

🔴 Yana bir xavfli jihat — persistence (tizimda “doimiy saqlanib qolish”) masalasi. Ayrim holatlarda zararli dastur qurilmada qaysi antivirus yoki himoya vositasi borligini tekshirib, o‘zini tizimda doimiy saqlab qolish usulini shunga moslab o‘zgartirishi mumkin. Bu esa hodisani (incident) tozalash va zararli dastularni butunlay olib tashlashni ancha qiyinlashtiradi.

✉️ Telegram ✊ Forum
🌐 Linkedin 🌐 Web
📷 Instagram 🌐 Academy

Biz shunchaki o'rganuvchilarmiz !!!
@CentiSec

O'rta Osiyoda Bug Hunting bo'yicha CentiSec jamoa a'zosi top birinchida

tumar.one O'rta Osiyoda Bug Bounty platformasi bo'yicha tashkilot hisoblanadi, ammo ushbu platformada aktiv tarzda boshqa mamlakatlar ham qatnashib borishadi.

Biz hursand bo'lib aytamizki tumar.one platformasida o'zbek yigiti birinchilarni egallab turibdi va ushbu yigit CentiSec jamoa a'zosi hisoblanadi, bu albatta O'zbekistonda kiberxavfsizlik rivoji uchun qo'shilgan katta hissalarimizdan biridir.

O'zining shaxsiy sahifasi ham mavjud obuna bo'lishingiz va kuzatishingiz mumkin

✉️ Telegram ✊ Forum
🌐 Linkedin 🌐 Web
📷 Instagram 🌐 Academy

Biz shunchaki o'rganuvchilarmiz !!!
@CentiSec