Lühidalt: Kommertslikud ja riigiasutuste ohuluure allikad sisaldavad süsteemseid vigu pahavara liigitamisel ja indikaatorites, mis suunavad kaitsjaid aktiivselt vales suunas.
Kommertslikel ohuluure voogudel ja ametlikel riigiasutuste teadaannetel esineb märkimisväärseid vigu, mis suunavad intsidentidele reageerimise meeskonnad valedele kaitsemeetmetele. Üks intsidentidele reageerija dokumenteeris juhtumi, kus „Chalubo” nime kandev pahavara osutus tegelikult Windowsi lunavara laadijaks — kategooriline eksitus, millel olid otsesed tagajärjed turvalisusele.
Analüüsides laadija-operatsiooni taga olevat infrastruktuuri, sattus intsidentidele reageerija hostide klastri otsa, mille kommertslik ohuluure voog oli tervikuna märgistanud kui „Chalubo RAT”. Esimene kahtlust äratanud tunnus oli metaandmetes: kõikidel klastri hostidel oli täpselt sama esmakordse tuvastamise kuupäev, päevani täpselt. Tegelikus infrastruktuuris on see võimatu — operaatorid ehitavad hoste järk-järgult üles nädalate jooksul. Identne esmakordse tuvastamise kuupäev kogu klastri ulatuses viitab peaaegu alati sellele, et tegemist on kuupäevaga, mil voo andmetöötlusliin partii sisse luges, mitte päevaga, mil hostid tegelikult tööle hakkasid.
Binaarkoodi kontrollimine paljastas vea: tegemist oli pahavaraga DonutLoader — Windowsi shellcode-laadijaga, mis on tüüpiline lunavararünnakute algfaasile — mitte Linuxi-põhise Chalubo robotvõrguga, mis teostab SSH brute-force rünnakuid ja saadab DDoS-liiklust. Laadija kasutas täiesti erinevat protokolli, omaette kanaleid kasuliku koorma edastamiseks ja steganograafilisi majakaid kümne hosti suuruses klastris. Tegemist oli kategoorilise, mitte tuvastamisveaga. Põhjus oli süsteemne: voo reegel selle pordi jaoks põhines lõdval signatuuril, laadija käivitas selle ja märgistus levis üle kogu partii, kandes vaid sisselugemise kuupäeva.
Sama muster ilmnes ka ametlikes allikates. FBI ja CISA ühine teadaanne „Ghosti” (tuntud ka kui „Cring”) kohta sisaldas indikaatorite tabelit, kus olid ainult MD5-räsid — räsialgoritm, mis on aastaid olnud kompromiteeritud ega sobitu peaaegu poolte tuvastustööriistadega, mida kaitsjad tegelikult kasutavad. Sama teade eksisteerib aga ka masinloetava STIX-paketina. See versioon sisaldas SHA-256-räsisid, SHA-1-räsisid ja hägusaid räsisid kuue proovi jaoks neljateistkümnest, kuid seda infot leidus ainult STIX-versioonis, mitte PDF-tabelis.
Probleem seisneb selles, et valed märgistused ja puudulikud indikaatorid suunavad meeskondi kaitsma end vale ohu eest. Meeskond oleks kulutanud nädala Linuxi-põhise DDoS-robotvõrgu tõrjumise tugevdamisele, samal ajal kui Windowsi lunavara eelkäija istus vaikselt võrgus. Ohuluure voog, mis suunab kindlalt valesse suunda, on ohtlikum kui selle täielik puudumine.
Allikas: www.csoonline.com · Avaldatud 8. juuli 2026
Lumi AI News — tehisintellekti abil kureeritud vastavalt tehisintellektimääruse artiklile 50. Parafraseerimine ja klassifitseerimine Lumi News Pipeline v1.7.3 poolt.