Akademiya
Terminİnfrastruktur

İdarəetmə serveri

Command and Control (C2)

Hücumçunun yoluxmuş cihazlarla əlaqə saxladığı server: oğurlanmış məlumat bura göndərilir, yeni əmrlər və əlavə yüklər buradan alınır.

Axın

  1. 1Ünvanı tapır
  2. 2Konfiqurasiyanı alır
  3. 3Məlumatı göndərir
  4. 4Əlavə yük yükləyir
Əlaqəli ailələr
Lumma Stealer, Vidar, Raccoon Stealer
MITRE ATT&CK
TA0011 · Command and Control
Mənbə
10 mənbə
01

Ümumi baxış

MITRE ATT&CK idarəetməni (command and control) ayrıca taktika kimi təyin edir: hücumçunun ələ keçirdiyi sistemlərlə əlaqə qurub onları idarə etmə yolları. Hücumçular bu trafiki adətən adi şəbəkə trafikinə bənzətməyə çalışırlar. MITRE ATT&CK

Məlumat oğrularında C2-nin işi qısa, lakin kritikdir: cihazdan toplanan parollar, sessiya kukiləri və pul kisəsi məlumatları bir paketdə bu serverə göndərilir. Hücumçu məlumatı idarəetmə panelində görür; süzür, satır və ya özü istifadə edir. MITRE ATT&CK

02

Necə işləyir

  1. 1

    Ünvanı tapır

    Zərərli proqram C2 ünvanını öz içində daşıyır və ya ünvanı Steam profili, Telegram kanalı kimi qanuni bir səhifədəki mətndən oxuyur. Bu ara nöqtəyə “dead drop resolver” deyilir; ünvan dəyişəndə yalnız həmin mətn yenilənir. MITRE ATT&CK

  2. 2

    Konfiqurasiyanı alır

    Bəzi ailələr nəyi toplayacaqlarını serverdən öyrənir: hansı brauzerlər, hansı pul kisələri, hansı fayl uzantıları. Raccoon-un ikinci versiyası konfiqurasiyasını C2-dən alır. Malpedia (Fraunhofer FKIE)

  3. 3

    Məlumatı göndərir

    Toplanan məlumat adətən bir arxiv şəklində, adi veb trafikinə bənzəyən HTTP və ya HTTPS sorğuları ilə göndərilir. MITRE ATT&CK

  4. 4

    Əlavə yük yükləyir

    Server cihaza ikinci zərərli proqram yüklədə bilər. Beləliklə, məlumat oğrusu yoluxması fidyə proqramı və ya uzaqdan giriş aləti üçün qapıya çevrilir. MITRE ATT&CK

03

Real nümunələr

Lumma Stealer: infrastruktura həbs qoyulması

Lumma Stealer profili

2025-ci ilin mayında Microsoft-un Rəqəmsal Cinayətlər Bölməsi ABŞ-da alınmış məhkəmə qərarı ilə Lumma infrastrukturunun əsasını təşkil edən təxminən 2.300 domenə həbs qoydu və ya girişi kəsdi. Microsoft 16 mart–16 may 2025-ci il tarixləri arasında dünya üzrə 394.000-dən çox Windows kompüterinin Lumma ilə yoluxduğunu müəyyən etdiyini açıqladı. Microsoft On the Issues

Lumma Stealer: infrastrukturun qayıdışı

Lumma Stealer profili

Əməliyyatdan sonra Lumma infrastrukturu yenidən quruldu. C2 domenlərinə həbs qoyulması tək başına ailəni bitirmir; tərtibatçı yeni domenlərlə davam edə bilər. Trend Micro

Vidar: C2 ünvanı sosial profillərdə

Vidar profili

Vidar C2 ünvanını Telegram, Steam və ya Mastodon profillərindəki mətndən açır. İşləməsi üçün lazım olan qanuni kitabxanaları (məs. sqlite3.dll, nss3.dll) da C2-dən yükləyir. Malpedia (Fraunhofer FKIE)

04

Necə aşkar edilir

  • Bir prosesin Steam icma profilini və ya Telegram səhifəsini açıb dərhal ardınca tanınmayan domenə POST sorğusu göndərməsi ara həlledicidən istifadənin tipik izidir. MITRE ATT&CK
  • Brauzer olmayan bir prosesin qısa müddətdə bir dəfəlik böyük yükləmə etməsi; xüsusən yeni qeydiyyatdan keçmiş və ya CDN arxasındakı domenlərə. MITRE ATT&CK
  • Təhdid kəşfiyyatı axınlarındakı məlum C2 domenlərinə və IP ünvanlarına gedən bağlantılar. MITRE ATT&CK
05

Nə etməli

  • DNS və proksi qeydlərini məlum C2 göstəriciləri ilə tutuşdurun; uyğun gələn cihazı şəbəkədən ayırıb araşdırın. MITRE ATT&CK
  • C2-yə qoşulmuş cihazda oğurlanmış məlumat hücumçuya çatmış sayılır. Cihazı təmizləmək kifayət deyil: həmin cihazda saxlanmış parolları dəyişin, sessiyaları bitirin. MITRE ATT&CK
  • Serverlərin və iş stansiyalarının internetə çıxışını yalnız lazım olan hədəflərlə məhdudlaşdırın; naməlum domenlərə birbaşa çıxışı bağlayın. MITRE ATT&CK
06

MITRE ATT&CK

TA0011Command and ControlT1071.001Application Layer Protocol: Web ProtocolsT1102.001Web Service: Dead Drop ResolverT1041Exfiltration Over C2 ChannelT1105Ingress Tool Transfer
07

Əlaqəli ailələr və terminlər

Ailələr

Lumma StealerAktivVidarAktivRaccoon StealerAktiv

Hesabat

Infostealer Təhdid Hesabatı — Oktyabr 2026

Terminlər

Məlumat oğrusuMəlumatın çıxarılmasıPanel icarəsiƏlə keçirilmə göstəricisi (IOC)
08

Mənbələr

  1. 1Command and Control (TA0011) · MITRE ATT&CK
  2. 2Application Layer Protocol: Web Protocols (T1071.001) · MITRE ATT&CK
  3. 3Web Service: Dead Drop Resolver (T1102.001) · MITRE ATT&CK
  4. 4Exfiltration Over C2 Channel (T1041) · MITRE ATT&CK
  5. 5Ingress Tool Transfer (T1105) · MITRE ATT&CK
  6. 6Disrupting Lumma Stealer: Microsoft leads global action against favored cybercrime tool · Microsoft On the Issues, 2025-05-21
  7. 7Lumma Stealer returns · Trend Micro, 2025
  8. 8Vidar — ailə qeydi və hesabat indeksi · Malpedia (Fraunhofer FKIE)
  9. 9Raccoon Stealer — ailə qeydi və hesabat indeksi · Malpedia (Fraunhofer FKIE)
  10. 10Filter Network Traffic (M1037) · MITRE ATT&CK
Essential paketindən başlayaraq

Infostealer Detection

Şirkətinizin sızma səthini tək ekranda görün: neçə tapıntı, hansı şiddətdə, hansı domendə.

Məhsula baxPaketləri müqayisə edin