So’nggi yillarda kiberjinoyatchilar tomonidan Telegram messenjeridan buyruq va boshqaruv (Command and Control – C2) platformasi sifatida foydalanish holatlari sezilarli darajada ortmoqda. Buning asosiy sababi Telegram’ning qulay API imkoniyatlari, tezkor ishlashi hamda turli avtomatlashtirilgan botlarni yaratish imkoniyatining mavjudligidir. Natijada Telegram nafaqat oddiy muloqot vositasi, balki ayrim zararli dasturlarni masofadan boshqarish uchun ham qulay infratuzilmaga aylanmoqda.

Yaqinda kiberxavfsizlik tadqiqotchilari tomonidan aniqlangan NULLZEREPTOOL nomli yangi zararli platforma ushbu tendensiyaning yaqqol namunasidir. Mazkur vosita Telegram boti orqali masofadan boshqarilib, ko’p sonli DDoS hujumlarini amalga oshirish, proksi-serverlarni avtomatik almashtirish hamda kelajakda simsiz tarmoqlar va foydalanuvchi ma’lumotlariga qaratilgan qo’shimcha hujumlarni amalga oshirish imkoniyatlarini o’zida mujassamlashtirgan.

NULLZEREPTOOL qanday aniqlandi?

Mazkur platforma dastlab internetdagi Pastebin xizmatida joylashtirilgan Python dastur kodi orqali aniqlangan. Dastlab u oddiy DDoS skripti sifatida baholangan bo’lsa-da, chuqur tahlillar davomida uning ancha murakkab va ko’p funksiyali platforma ekanligi ma’lum bo’ldi.

Flare kompaniyasi mutaxassislari kod tarkibida uchragan NULLZEREPTOOL nomi, bir xil autentifikatsiya ma’lumotlari hamda umumiy dasturiy arxitekturaga tayangan holda ushbu platformaning avvalgi versiyalarini ham aniqlashga muvaffaq bo’ldi. Tahlillar natijasida dastur muntazam rivojlantirilayotgani va yangi imkoniyatlar qo’shib borilayotgani aniqlandi.

Telegram – boshqaruv markazi sifatida

NULLZEREPTOOL klassik botnetlardan farqli ravishda o’zini avtomatik tarqatmaydi. Uning asosiy vazifasi Telegram boti orqali hujumlarni markazlashtirilgan tarzda boshqarishdan iborat.

Operator Telegram orqali quyidagi amallarni bajarishi mumkin:

• DDoS hujumini boshlash yoki to’xtatish;
• hujum turini tanlash;
• ishlovchi oqimlar (threads) sonini boshqarish;
• proksi-serverlar ro’yxatini yangilash;
• hujum statistikasini real vaqt rejimida kuzatish;
• tizimga yangi kirish kalitlarini yaratish.

Bunda Telegram boti maxsus BOT_TOKEN orqali ishlaydi va faqat oldindan belgilangan ADMIN_ID hamda administrator paroli orqali boshqarilishi mumkin.

Bu esa Telegram’ni oddiy messenjer emas, balki zararli infratuzilmaning masofaviy boshqaruv paneliga aylantiradi.

20 xil DDoS hujum usuli

NULLZEREPTOOL tarkibida yigirmaga yaqin turli hujum usullari mavjud.

Ular orasida:

• HTTP GET Flood;
• HTTP POST Flood;
• UDP Flood;
• TCP Flood;
• HTTP HEAD Flood;
• Mixed Combo Flood;
• DNS Amplification;
• NTP Amplification;
• Socket Flood;
• Layer-7 Web Flood

kabi usullar mavjud.

Platformadagi eng xavfli mexanizmlardan biri Combo Worker hisoblanadi.

Mazkur modul bir vaqtning o’zida:

• bir nechta HTTP so’rovlarini yuboradi;
• UDP paketlarini uzatadi;
• TCP ulanishlarini yaratadi;
• har bir ishchi oqim uchun sekundiga yuboriladigan so’rovlar sonini (Requests Per Second – RPS) avtomatik hisoblaydi.

Natijada hujum maksimal samaradorlik bilan amalga oshiriladi.

Proksi-serverlardan keng foydalanish

DDoS hujumlarini uzoq vaqt davom ettirish maqsadida NULLZEREPTOOL yuzlab bepul HTTP proksi-serverlardan foydalanadi.

Platforma avtomatik ravishda bir nechta ochiq manbalardan proksi-serverlarni yig’adi.

Jumladan:

• ProxyScrape;
• GeoNode;
• Free Proxy List;
• GitHub’dagi ochiq proksi ro’yxatlari.

Yig’ilgan proksi-serverlar maxsus tekshiruvdan o’tkaziladi.

Faqat ishlayotgan va tezkor javob qaytarayotgan proksilar proxy.txt fayliga yoziladi hamda keyingi hujumlarda foydalaniladi.

Har bir HTTP so’rovi davomida boshqa proksi tanlanadi.

Bu esa:

• IP-manzillarni tez-tez almashtirish;
• bloklanish ehtimolini kamaytirish;
• oddiy Rate Limit mexanizmlarini chetlab o’tish;
• Web Application Firewall (WAF) tizimlarini chalg’itish

imkonini beradi.

Hujumlarning avtomatik boshqarilishi

Telegram orqali yuboriladigan /proxy buyrug’i mavjud proksi bazasini to’liq yangilaydi.

/attacks buyrug’i faol hujumlarni boshqaradi.

Administrator esa real vaqt rejimida quyidagilarni kuzatishi mumkin:

• faol oqimlar soni;
• yuborilgan paketlar soni;
• sekundiga yuborilayotgan so’rovlar;
• muvaffaqiyatli ulanishlar;
• ishlayotgan proksilar statistikasi.

Bu esa operatorga hujum samaradorligini doimiy nazorat qilish imkonini beradi.

Botnet arxitekturasi shakllanmoqda

Tahlillar davomida platformada BOTNET_HIERARCHY deb nomlangan yangi modul aniqlangan.

Unda quyidagi API nuqtalari mavjud:

• /slave_register
• /slave_get_task
• /slave_report

Bu modullar orqali kelajakda minglab zararlangan qurilmalarni yagona markazdan boshqarish rejalashtirilgan.

Hozircha mazkur funksiyalar to’liq ishlamasa-da, platformaning rivojlanish yo’nalishini yaqqol ko’rsatadi.

Wi-Fi va Bluetooth hujumlari

NULLZEREPTOOL’ning yangi versiyasi faqat DDoS bilan cheklanib qolmaydi.

Unda quyidagi funksiyalar ham aniqlangan:

• Wi-Fi deauthentication hujumlari;
• Wi-Fi parollarini yig’ish;
• Handshake fayllarini ushlash;
• Lug’at (dictionary) asosida parollarni buzish;
• Bluetooth qurilmalariga xalaqit berish.

Mazkur imkoniyatlar quyidagi vositalardan foydalanadi:

• aireplay-ng;
• hcxdumptool;
• hashcat;
• nmcli;
• netsh wlan;
• hcxpcapngtool.

Shuni ta’kidlash joizki, ushbu modullar hozircha to’liq ishlash holatiga kelmagan hamda tashqi vositalarga bog’liq.

«Quantum» nomi ortidagi haqiqat

Platformada WiFi7QuantumExploit va Bluetooth6QuantumExploit kabi balandparvoz nomlangan modullar ham mavjud.

Biroq Flare mutaxassislari tahliliga ko’ra, ushbu modullar kvant hisoblash texnologiyalaridan foydalanmaydi.

Ular odatiy kriptografik funksiyalar:

• SHA3-512;
• PBKDF2-HMAC;
• random generatorlar;
• token generatorlari

asosida ishlaydi.

Shu sababli «Quantum» atamasi texnik imkoniyatni emas, balki marketing maqsadini ifodalaydi.

Tijoratlashishga qaratilgan infratuzilma

NULLZEREPTOOL tarkibida:

• litsenziya kalitlarini yaratish;
• foydalanuvchilarni boshqarish;
• hujum tarixini saqlash;
• SQLite ma’lumotlar bazasi;
• CVV yozuvlarini saqlash;
• kirish kalitlarini boshqarish

uchun alohida modullar mavjud.

Bu esa platformaning kelajakda Malware-as-a-Service (MaaS) modeli asosida pullik xizmat sifatida tarqatilishi mumkinligini ko’rsatadi.

Bunday yondashuv kiberjinoyatchilar uchun texnik bilimga ega bo’lmagan shaxslarga ham murakkab hujum vositalaridan foydalanish imkonini yaratadi.

Aniqlangan komprometatsiya indikatorlari (IoC)

Tahlil davomida quyidagi muhim indikatorlar aniqlangan:

Domenlar:

• shopmuabancf[.]com
• shopbloxfruits[.]com
• trangchubloxfruit[.]com
• daula[.]shop
• shoptienzombie[.]net

Amplituda hujumlarida foydalanilgan servislar:

• 8.8.8.8
• 1.1.1.1
• time.google.com
• pool.ntp.org

Proksi manbalari:

• api.proxyscrape[.]com
• proxylist.geonode[.]com
• free-proxy-list[.]net

Fayllar:

• proxy.txt
• c2.db
• keys.json
• history.json

Autentifikatsiya ma’lumotlari:

• Telegram BOT_TOKEN
• ADMIN_ID
• ADMIN_PASSWORD

Mazkur indikatorlar MISP, SIEM, EDR va Threat Intelligence platformalariga kiritilishi orqali xavfni erta aniqlash imkoniyati oshiriladi.

Himoyalanish bo’yicha tavsiyalar

NULLZEREPTOOL kabi platformalarga qarshi kurashishda tashkilotlar quyidagi choralarni ko’rishlari tavsiya etiladi:

• DDoS himoya xizmatlaridan foydalanish;
• WAF (Web Application Firewall) tizimlarini joriy etish;
• Layer-7 darajasidagi hujumlarni aniqlash imkoniyatlarini kuchaytirish;
• SIEM va Threat Intelligence tizimlariga IoC ma’lumotlarini muntazam yuklab borish;
• MISP platformasi orqali indikatorlarni almashish;
• Telegram botlari bilan bog’liq noodatiy tarmoq faolligini monitoring qilish;
• DNS va NTP amplifikatsiya hujumlarini aniqlash uchun tarmoq jurnalini doimiy tahlil qilish;
• Reverse Proxy hamda CDN xizmatlaridan foydalanish;
• Rate Limiting, CAPTCHA va Bot Management mexanizmlarini joriy etish;
• Tarmoq segmentatsiyasini kuchaytirish;
• IDS/IPS tizimlari yordamida UDP va TCP Flood hujumlarini erta aniqlash;
• Tashqi manbalardagi Pastebin, GitHub, Telegram va Dark Web monitoringini muntazam yo’lga qo’yish.

Bundan tashqari, tashkilotlar o’zlarining favqulodda vaziyatlarga javob berish (Incident Response) rejalarini yangilab borishlari, DDoS hujumlari vaqtida xizmatlarning uzluksiz ishlashini ta’minlash uchun zaxira infratuzilma va trafikni filtrlash xizmatlaridan foydalanishlari muhim ahamiyatga ega.

NULLZEREPTOOL bugungi kunda to’liq shakllangan ko’p funksiyali botnet bo’lmasa-da, uning rivojlanish yo’nalishi zamonaviy kiberjinoyatchilikning qanday evolyutsiya qilayotganini yaqqol namoyon etadi. Telegram orqali markazlashtirilgan boshqaruv, avtomatik proksi almashinuvi, yigirmadan ortiq DDoS usullarini qo’llab-quvvatlashi, Wi-Fi va Bluetooth hujumlarini amalga oshirishga qaratilgan eksperimental modullar hamda tijoratlashishga mo’ljallangan litsenziyalash tizimi ushbu platformaning kelgusida yanada xavfli ko’rinishga kelishi mumkinligini anglatadi.

Shu sababli tashkilotlar faqat mavjud tahdidlarga javob berish bilan cheklanib qolmasdan, tahdid razvedkasi (Threat Intelligence), MISP platformalari, SIEM tizimlari va doimiy monitoring orqali bunday vositalarni dastlabki bosqichidayoq aniqlash hamda ularning komprometatsiya indikatorlarini himoya vositalariga integratsiya qilishlari zarur. Proaktiv yondashuv, muntazam monitoring va tezkor axborot almashinuvi zamonaviy DDoS kampaniyalari hamda Telegram orqali boshqariluvchi zararli infratuzilmalarga qarshi eng samarali himoya choralaridan biri hisoblanadi.