Cyberhub-ը զգուշացնում է նոր կիբերհարձակումների մասին։ Իսկ ինչպես հասկանալ, որ դուք թիրախավորված եք կամ ինչպես պաշտպանվել ներկայացված է ստորև։

Ամեն ինչ սկսվում է խիստ պաշտոնական ոճով շարադրված նամակից։

«Հարգելի՛ գործընկերներ, Կցված PDF ֆայլում տեղեկատվությանը ծանոթանալու նպատակով՝
PDF ֆայլին կցված հավելվածները դիտելու համար կրկնակի սեղմեք ստորև նշված կոճակին։
Հարգանքով՝ Հայաստանի Հանրապետության ազգային անվտանգության ծառայություն»։

 

Խայծի հոգեբանությունը. խաղ՝ վստահության վրա

Հարավային Կովկասում հիբրիդային սպառնալիքներն ու օտարերկրյա տեղեկատվական մանիպուլյացիաները (FIMI) ուսումնասիրող մասնագետների համար այս հարձակման ձեռագիրը շատ պարզ է։

ԱԱԾ-ի անունից հանդես գալը միանգամից երկու խնդիր է լուծում։ Նախ՝ պետական անվտանգության կառույցի անունը մարդկանց մոտ լրջության ու հրատապության զգացում է առաջացնում՝ բթացնելով զգոնությունը։ Եվ երկրորդ՝ այն խարխլում է վստահությունը։ Երբ սփյուռքյան կառույցներն ու հասարակական կազմակերպությունները վիրուսակիր նամակներ են ստանում ՀՀ պաշտոնական գերատեսչության անունից, դա անխուսափելիորեն կասկածամտություն և լարվածություն է ստեղծում Սփյուռքի ու Հայաստանի պետական կառույցների միջև։

Հենց որ օգտատերը բացում է PDF-ը Adobe Acrobat ծրագրով և սեղմում կապույտ կոճակը, գործարկվում է փաստաթղթի մեջ թաքցված JavaScript կոդը (this.exportDataObject)։ Պատահական չէ, որ հարձակվողները հորդորում են ֆայլը բացել հենց Acrobat Reader-ով. սովորական բրաուզերները (Chrome, Edge, Safari) անվտանգության նկատառումներով արգելափակում են նման կոդերը, մինչդեռ Acrobat-ը թույլ է տալիս PDF-ի ներսում թաքցված արխիվը պահպանել համակարգչի մեջ։

Արդյունքում համակարգչում հայտնվում է NSS_FILES_Diaspora.rar անունով արխիվ, որի անվան վերջում ավելացված է անտեսանելի նշան (U+200B)՝ էլեկտրոնային փոստի անվտանգության ֆիլտրերը շրջանցելու համար։

Իրական մարդկանց տվյալները՝ որպես ծուղակ

Արխիվի մեջ չորս ֆայլ կա՝ երկու սովորական ինքնակենսագրական (CV՝ PDF և Word ձևաչափերով), անձը հաստատող փաստաթղթի պատճեն և չորրորդ ֆայլը, որի անվան մեջ գրված է -PDF-, բայց իրականում այն ծրագրային ֆայլ է (.exe)։

Ինքնակենսագրականներն ու անձնագրի պատճենը վիրուս չեն պարունակում։ Դրանք պատկանում են ԱՄԷ-ի, Իրանի և Հայաստանի հետ կապ ունեցող սփյուռքահայ իրական մասնագետների։ Ամենայն հավանականությամբ, այդ փաստաթղթերը գողացվել են ավելի վաղ տեղի ունեցած որևէ արտահոսքից։

Իրական մարդկանց փաստաթղթերը որպես «գործի նյութեր» ներկայացնելով՝ հարձակվողները արժանահավատ տեսք են տալիս փաթեթին։

Երբ օգտատերը սեղմում է չորրորդ ֆայլի վրա՝ կարծելով, թե դա ևս մեկ PDF ռեզյումե է, նա իրականում գործարկում է երկփուլանի գաղտնագրված վիրուսը։

 

Երկու փուլ, մեկ գաղտնաբառ

Կեղծ PDF-ը WinRAR-ի ինքնաբացվող արխիվ է (SFX)։ Դրա վրա կրկնակի սեղմելու պահին բացվում է իրական ու անվնաս PDF ինքնակենսագրական, որպեսզի օգտատերը ոչինչ չկասկածի, սակայն միևնույն պահին՝ ֆոնային ռեժիմում, ծրագիրը Windows-ի ժամանակավոր պանակում (%TEMP%) բացում է երկրորդ՝ գաղտնաբառով պաշտպանված արխիվը։ Գաղտնաբառը ներկառուցված է կոդի մեջ՝ VOVA (Վլադիմիր անվան ռուսական փաղաքշական ձևը)։

Դժվար է ասել՝ VOVA գաղտնաբառը ռուսախոս հաքերի անփութությա՞ն արդյունք է, թե՞ հետքերը շփոթեցնելու և ուշադրություն շեղելու համար միտումնավոր թողնված խաբկանք։ Սակայն ֆայլերի ստեղծման ամսաթվերը ցույց են տալիս, որ այս գործիքակազմը մեկ օրում չի ստեղծվել։ Թեև վիրուսի վերջնական տարբերակը հավաքվել է 2026 թ. սեպտեմբերի 19-ին՝ հարձակումից ընդամենը օրեր առաջ, դրա հիմնական սկրիպտները ստեղծվել են դեռևս հունիսի սկզբին։ Սա նշանակում է, որ հարձակվողները ամիսներ շարունակ մշակել ու կատարելագործել են իրենց գործիքները։

Համակարգչում աննկատ մնալու համար վիրուսն օգտատիրոջ %APPDATA%deploy_my պանակում տեղադրում է AutoIt3 լեգիտիմ ծրագիրը և քողարկված հրամանային ֆայլը (a.cmd), որը գործարկվում է AutoIt3–ի կողմից։ Օրինական ծրագիր օգտագործելով՝ վիրուսը հակավիրուսների ուշադրությունը չի գրավում և Windows-ում ստեղծում է երկու ավտոմատ առաջադրանք (Scheduled Tasks)՝ GRE և GRELK անուններով, որոնք աշխատում են ֆոնային ռեժիմում՝ առանց էկրանին որևէ կասկածելի պատուհան բացելու։

• GRE-ն միանում է 3 րոպեն մեկ և VOVA գաղտնաբառով գործարկում PowerShell լրտեսական ծրագիրը։

• GRELK-ը միանում է 29 րոպեն մեկ և աշխատում որպես «հսկիչ»։ Եթե լրտեսական ծրագիրը խափանվում կամ «կախվում» է, GRELK-ն անջատում է այն, որպեսզի 3 րոպե անց GRE-ն այն նորից միացնի։

Տեսախցիկ՝ ձեր ուսի հետևում

Համակարգչի հիշողության մեջ ապագաղտնագրվելուց հետո լրտեսական ծրագիրն անցնում է իր հիմնական գործին։

Յուրաքանչյուր 10–20 վայրկյանը մեկ ծրագիրը լուսանկարում է զոհի էկրանը (screenshot) և ուղարկում հարձակվողների սերվերին՝ conference.sources-debian[.]info հասցեով։ Այդ դոմենը գրանցվել է ավելի քան երկու տարի առաջ և անվանվել է այնպես, որ անվտանգության համակարգերի համար նման լինի Linux-ի սովորական ծրագրային սերվերի։

Երբ էկրանը լուսանկարվում է ամեն 10 վայրկյանը մեկ, դա արդեն գրեթե տեսահսկում է։ Համակարգչով բացված յուրաքանչյուր Signal կամ WhatsApp նամակագրություն, աշխատանքային փաստաթուղթ կամ էկրանին հավաքված գաղտնաբառ անմիջապես հայտնվում է հարձակվողների ձեռքում։

Բացի էկրանը նկարելուց, ծրագիրը հարձակվողներին թույլ է տալիս հեռավար հրամաններով.

1. Փնտրել և գողանալ ֆայլեր. Որոնել կոնկրետ անունով փաստաթղթեր կամ ամբողջությամբ ներբեռնել համակարգչի պանակները։

2. Սեղմել և մաս-մաս ուղարկել տվյալները. Իրենց սերվերից ներբեռնել 7-Zip ծրագիրը, մեծ պանակները բաժանել 2 ՄԲ մասերի և աննկատ ուղարկել դուրս։

3. Հետախուզել գրասենյակային ցանցը. Ներբեռնել հատուկ սկրիպտ (scan.ps1), որը ստուգում է նույն Wi-Fi-ին կամ ներքին ցանցին միացված մյուս համակարգիչները, սերվերներն ու տպիչները։

4. Բացել գաղտնի մուտք դեպի ներքին ցանց. Ներբեռնել plink.exe գործիքը և բացել գաղտնի կապուղի (reverse SSH tunnel), ինչը հարձակվողներին թույլ է տալիս շրջանցել կազմակերպության պաշտպանիչ համակարգերը (firewall) և ուղիղ մուտք գործել ներքին ցանց։

 

 

Ինչպե՞ս պաշտպանվել

Այս հարձակումը չի օգտագործում գերբարդ տեխնիկական խոցելիություններ։ Այն հիմնված է մարդկային հետաքրքրասիրության, պետական կառույցի անվան շահարկման և Adobe Acrobat-ի մի ֆունկցիայի վրա, որը սովորական օգտատերերին գրեթե երբեք պետք չէ։

Հասարակական կազմակերպությունների, լրագրողների և սփյուռքյան կառույցների համար.

• Հիշե՛ք, թե ինչպես են աշխատում պետական մարմինները. ԱԱԾ-ն կամ իրավապահ այլ կառույցներ գաղտնի գործերի նյութեր չեն ուղարկում անծանոթ PDF-ներով, որտեղ պետք է սեղմել կոճակի վրա՝ արխիվ ներբեռնելու համար։

• Անջատե՛ք JavaScript-ը Adobe Acrobat Reader-ում. Բացեք ծրագրի կարգավորումները (Edit → Preferences) → ընտրեք JavaScript բաժինը և հանեք նշումը Enable Acrobat JavaScript տողից։ Միայն այս քայլով դուք ամբողջությամբ կչեզոքացնեք այս տեսակի ծուղակները։

• Տեսանելի դարձրե՛ք ֆայլերի տեսակները Windows-ում. Բացեք ցանկացած պանակ (File Explorer), վերևի մենյուից ընտրեք View → Show → File name extensions։ Երբ ֆայլի վերջավորությունը երևում է, շատ ավելի հեշտ է նկատել, որ SarkisBelian-PDF-63DA.exe ֆայլը ոչ թե PDF փաստաթուղթ է, այլ .exe ծրագիր։

 

ՏՏ մասնագետների և անվտանգության ադմինիստրատորների համար.

• Արգելափակե՛ք դոմենը և ստուգե՛ք պատմությունը. Անմիջապես արգելափակեք conference.sources-debian[.]info և sources-debian[.]info հասցեները DNS, պրոքսի և firewall մակարդակներում։ Ստուգեք 2026 թ. հունիսից ի վեր առկա ցանցային մատյանները (logs)՝ տեսնելու, թե արդյոք եղել են հարցումներ դեպի այդ հասցե կամ հետևյալ անսովոր User-Agent-ով՝ Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:134.0) Gecko/20100101 Firefox/138.0 (ուշադրություն դարձրեք rv:134.0 և Firefox/138.0 տարբերակների անհամապատասխանությանը)։

• Ստուգե՛ք համակարգիչները. Ստուգեք, թե արդյոք աշխատակիցների համակարգիչներում կա %APPDATA%deploy_my պանակը, GRE կամ GRELK անունով ավտոմատ առաջադրանքներ (Scheduled Tasks), կամ օգտատիրոջ պանակներից գործարկված AutoIt3.exe և curl.exe -k ծրագրեր։

• Վարակման դեպքում գործե՛ք հիմնովին. Քանի որ վիրուսը ամեն 10–20 վայրկյանը մեկ նկարել է էկրանը և կարող էր թունել բացել դեպի ներքին ցանց, միայն պանակը ջնջելը բավարար չէ։ Անմիջապես անջատեք համակարգիչը ցանցից, պահպանեք տվյալները փորձաքննության համար, մեկ այլ՝ մաքուր սարքից փոխեք բոլոր գաղտնաբառերը և ստուգեք ներքին ցանցը։

 

 

Կասկածո՞ւմ եք, որ ստացել եք այս կամ նմանատիպ ֆայլ։

Եթե ներկայացնում եք Հայաստանի քաղաքացիական հասարակությունը, անկախ մեդիան, իրավապաշտպան կամ սփյուռքյան կառույց և ստացել եք կասկածելի փաստաթուղթ, մի՛ բացեք այն և մի՛ ուղարկեք այլոց սովորական կապուղիներով։ Անմիջապես դիմեք CyberHUB-AM-ի թիմին՝ անվճար և գաղտնի մասնագիտական աջակցություն ստանալու համար։