Lühidalt: Plokiahelapõhine C2-analüüs näitab, et sama käsu- ja juhtimisinfrastruktuuri tarkvarapaketti kasutas ligikaudu 30 erinevat osalist, kellest vaid kaks olid riigiga seotud, mistõttu klassikalised tehnilised sõrmejäljed muutuvad atribuutika alusena kasutuskõlbmatuks.
Riigiga seostatud ründekampaania taga oleva käsu- ja juhtimisinfrastruktuuri (C2) analüüs näitab, et sama plokiahelapõhist C2-tehnikat kasutas ligikaudu 30 erinevat operaatorit – neist vaid kahte saab siduda riiklike programmidega, ülejäänud on tavalised kurjategijad. CISO-de jaoks tähendab see, et tehniline sõrmejälg üksinda ei ütle enam midagi selle kohta, kes tegelikult organisatsiooni võrgus tegutseb.
Uurimuse lähtepunktiks oli pahavara, mis lahendas oma C2-aadressi avaliku plokiahela nutilepingu päringu kaudu. Avalikud raportid olid seni dokumenteerinud vaid ühe konkreetse lepingu. Analüüsides ahelat ennast – mitte ainult pahavaraproovi – leidis autor umbes kaks tosinat baidi tasandil identset lepingut ning mitmeid variante, mis kõik käivitavad sama sündmuse ja on ilmselgelt loodud ühise generaatori abil. Nende taga oli ligikaudu 30 erinevat operaatori rahakotti. Vaid kahte neist rahakottidest sai usutavalt siduda riiklike programmidega – seda teiste teadlaste eraldiseisva pahavaraperekondade atribuutika, mitte ahela enda andmete põhjal. Ülejäänud umbes 28 rahakotti näitasid tavaliste kurjategijate käitumismustreid.
Artikli põhisõnum seab kahtluse alla ohuanalüüsis levinud eelduse: jagatud C2-tarkvarapakett ei ole mitte nõrk atribuutikasignaal, vaid pigem vastupidine signaal. Mida iseloomulikum on sõrmejälg sellisele paketile, seda usaldusväärsemalt grupeerib see kokku osalisi, kellel omavahel mingit seost ei ole. Autor rõhutab selgesõnaliselt enda andmete piiratust: plokiahela-analüüsist ei saa tuletada operaatori atribuutikat ning ühine lepinguperekond ei tähenda, et kliendid tunnevad üksteist, koordineerivad tegevust või jagavad tellimusi. Ahel näitab vaid seda, et üks tarkvarapaketi looja müüs paljudele ostjatele – mitte seda, millised ostjad on riiklikud.
Autor viitab teistele sarnase struktuuriga juhtumitele oma senisest tööst: ühe Iraaniga seostatud botneti puhul selgus, et kasutatud tööriistade alus pärines Venemaa kuritegelikult pakutavast teenusest, mille osaline oli lihtsalt üle võtnud. Mitme Hiinaga seostatud laadurite (loaders) analüüsi puhul tuli atribuutika samal põhjusel hoida madalal usaldustasemel, sest külgladimisketid (side-loading) ja standardsed Cobalt Strike’i kasulikud koormad on nii riiklike kui ka kuritegelike osaliste ühiselt kasutatav “ühisvara”. Ühel juhul koosnes kogu kasulik koormus muutmata, tavapärasest kaubanduslikust Cobalt Strike’ist – binaarfailist, mis ei võimalda saatja kohta mingeid järeldusi teha.
Artikkel seob selle leiu laiema trendiga: ka Mandiant on teisest vaatenurgast – võrguperspektiivist – dokumenteerinud, kuidas Hiinaga seostatud osalised suunavad oma operatsioonid läbi töövõtjate hallatavate releevõrkude, mis õõnestab veelgi kontseptsiooni osalise kontrollitavast infrastruktuurist ja lühendab klassikaliste kompromiteerimisnäitajate (IoC) eluiga.
Turvajuhtidele tuleneb sellest praktiline järeldus igapäevaseks SOC-tööks: sõrmejälgi, mis põhinevad ühiselt kasutatavatel kommertslikel või kuritegelikel C2-tarkvarapakettidel, ei tohiks kasutada iseseisva atribuutikatunnusena hoiatus- ega raporteerimisprotsessides. Selle asemel on vaja täiendavaid, operaatorispetsiifilisi indikaatoreid – näiteks käitumismustreid, sihtmärkide valikut või infrastruktuuri ajastust –, et eristada riiklikult juhitud kampaaniaid puhtalt kuritegelikest, enne kui ressursse eraldatakse intsidentidele reageerimiseks või teavitamiskohustuste täitmiseks.
Allikas: www.csoonline.com · Avaldatud 5. augustil 2026
Lumi AI News — tehisintellekti abil kureeritud vastavalt tehisintellektimääruse artiklile 50. Parafraseerimine ja klassifitseerimine Lumi News Pipeline v1.8.3 poolt.