Silent Lynx va AI yordamidagi kiberjosuslik: Markaziy Osiyoda kibertahdidlar mahalliylashmoqda

01 / ASOSIY XULOSA

Bitta xodim hisobi orqali davlat hujjatlariga kirilgan

Silent Lynx haqidagi topilmalar Markaziy Osiyo tashkilotlari uchun muhim xavfni ko‘rsatmoqda. Oddiy xodim hisobining qo‘lga kiritilishi, hujjatlarga kirish huquqlarining yetarli tekshirilmasligi va tarmoqdagi uzoq muddatli persistence katta hajmdagi axborotni yig‘ish imkonini bergan. AI agent esa ushbu operatsiyaning ayrim vazifalarini avtomatlashtirish uchun ishlatilgan.

2026-yil 11-noyabrda CloudSEK operatorga tegishli deb baholangan ochiq server tahlilini e’lon qildi. Tadqiqotchilar serverdan vositalar, nishonlarga oid ishchi fayllar va AI agent yozishmalarini topganini bildirdi. Ularning hisobotida Tojikiston temir yo‘l tarmog‘i va davlat elektron hujjat aylanishi platformasiga kirish, O‘zbekistonning Smart Forestry tizimiga oid texnik izlar hamda Turkmanistonga mo‘ljallangan aldov fayllari tasvirlangan. [1]

Bizning bahomiz: bu holat davlat boshqaruvi, transport va axborot resurslarini himoyalovchi jamoalar uchun yuqori ustuvorlikdagi signal. Asosiy xavf faqat zararli faylda emas: bir tizimdagi ruxsat xatosi boshqa tizimdagi katta hajmdagi axborotga kirish imkonini berishi mumkin. Bu baho barcha mintaqaviy tashkilotlar zararlanganini anglatmaydi.

Tahlil doirasi. Material taqdim etilgan texnik hujjat va ochiq hisobotlar asosida tayyorlandi. CYBER-BRO ushbu maqola doirasida jabrlangan tarmoqlarni tekshirmagan yoki sizib chiqqan hujjatlarni mustaqil tasdiqlamagan. Rasmlar CloudSEK e’lon qilgan dalil parchalaridir; ular asl ekspertiza materiallarining o‘rnini bosmaydi.

02 / NEGA BU MUHIM

Kiberjosuslik davlat chegarasi bilan cheklanmaydi

APT (Advanced Persistent Threat) atamasi puxta rejalashtirilgan, maqsadli va uzoq muddat davom etadigan tahdid faoliyatini anglatadi. Bunday operatsiyada hujumchi xizmatni darhol ishdan chiqarishga intilmasligi mumkin. U tizimdagi kirishini saqlab, foydalanuvchilar faoliyatini kuzatishi va razvedka uchun qimmatli axborotni muntazam yig‘ishi mumkin. Shu sababli xizmatning odatdagidek ishlashi xavfsizlik hodisasi yo‘qligini bildirmaydi.

Silent Lynx misolida transportga oid xizmatlar, davlat yozishmalari va tabiiy resurslarni boshqarish platformalari bir xavf doirasida ko‘rinadi. Tashkilot o‘zini harbiy yoki moliyaviy tizim deb hisoblamasa ham, uning hujjatlari, hisoblari yoki hamkorlari hujumchiga qiziq bo‘lishi mumkin. Suv, ekologiya va o‘rmon xo‘jaligiga oid ma’lumotlar ham iqtisodiy rejalashtirish va davlatlararo munosabatlarda ahamiyatga ega.

“Tahdid chegara tanlamaydi” deganda hujumlar tasodifiy amalga oshirilishi nazarda tutilmaydi. APT guruhlari nishonlarni o‘z maqsadlariga muvofiq tanlaydi; geografik yaqinlik, hamkorlik yoki ittifoqchilik esa texnik himoyaning o‘rnini bosa olmaydi. Bir mamlakatdagi hodisa qo‘shni tashkilot uchun umumiy hisoblar, hujjat almashinuvi va ishonchli aloqa kanallari sabab dolzarb bo‘lishi mumkin. Biroq aynan shu kampaniyada bir davlatdan ikkinchisiga avtomatik tarqalish isbotlangan, deb aytish uchun dalil yetarli emas.

Ma’lumot o‘g‘irlanishining ta’siri kirish yopilganidan keyin ham qoladi. Parol almashtiriladi, lekin nusxalangan hujjat qaytarib olinmaydi. Shuning uchun xizmat ishlayotganining o‘zi uning xavfsizligini tasdiqlamaydi; maxfiylik va ruxsatlar nazorati ham uzluksiz tekshirilishi kerak.

03 / DALILLAR VA ATTRIBUTION

Ochiq server operatsiyaning bir nechta bosqichini ko‘rsatgan

CloudSEK 89.125.213[.]123 manzilidagi serverning 8088-portida autentifikatsiyasiz katalog mavjud bo‘lganini bildiradi. Unda hujum vositalari, yig‘ilgan ma’lumotlar va operatorning ish muhiti birga saqlangan. Bu xato alohida zararli faylni emas, operatsiyaning bir nechta bosqichini solishtirish imkonini bergan. [1]

Tadqiqotchilar serverni Silent Lynx bilan bog‘lashda Chvost implantidagi belgi satrlari va Laplas hamda Chvost dasturlarining yig‘ish yo‘llariga tayangan. Cisco Talos bu faoliyatni UAT-6275, Recorded Future esa TAG-193 nomi bilan kuzatadi. Boshqa klasterlar bilan o‘xshashlik mavjudligi ularning barchasi aynan bitta guruh ekanini anglatmaydi. [2]

Attribution bahosi davlat homiyligini o‘z-o‘zidan tasdiqlamaydi

Qozog‘iston bilan bog‘liqlik o‘rta ishonch darajasidagi baho sifatida berilgan. Operatorning tarmoq ulanishlari, rus tilidagi izlar va ish vaqti naqshlari birgalikda ko‘rib chiqilgan. IP geolokatsiyasi, til yoki vaqt mintaqasi yolg‘iz o‘zi shaxsni, tashkilotni yoki davlat buyurtmasini aniqlamaydi. Recorded Future guruhning tashkiliy mansubligi va davlat homiyligi masalasi ochiqligicha qolganini ta’kidlaydi. [3]

Diplomatik voqea bilan tarmoq faolligining bir davrga to‘g‘ri kelishi ham sababiy bog‘liqlikni isbotlamaydi. Hisobotdagi bunday kuzatuvlarni hujum maqsadini tushunishga xizmat qiluvchi kontekst sifatida baholash to‘g‘riroq.

04 / VOQEALAR KETMA-KETLIGI

Ochiq hisobotlar kampaniyaning rivojlanishini ko‘rsatadi

Voqea sodir bo‘lgan sana bilan hisobot e’lon qilingan sana farqlanadi. Ochiq topilmalar operatsiyaning faqat ko‘rinadigan qismini aks ettiradi; ularning asosida barcha hujumlarning boshlanishi yoki tugashini belgilab bo‘lmaydi. [1] [2]

05 / MINTAQAVIY TA’SIR

Nishonlar bo‘yicha dalillar bir xil darajada emas

Tojikiston temir yo‘li va davlat hujjat aylanishi

CloudSEK temir yo‘l tarmog‘ida domen darajasidagi kirish 2026-yil avgust o‘rtalaridan kamida 10-oktabrgacha saqlanganini bildiradi. Hisobotda ichki Windows tizimlarini aniqlash, hisob ma’lumotlarini qo‘lga kiritish, umumiy papkalardan hujjatlarni nusxalash va tunnellar orqali kirishni davom ettirish tasvirlangan.

Ichki host enumeration natijalarida turli Windows versiyalari, SMBv1 yoqilgan hostlar va SMB signing qo‘llanmagan tizimlar ko‘rsatilgan. CloudSEK bu topilmalarni credential dumping, serverlarga administrative access va SMB share orqali hujjat yig‘ish haqidagi qaydlar bilan birga tahlil qiladi. Enumeration jadvalidagi hostlar sonini alohida-alohida tasdiqlangan buzilishlar soni deb hisoblash to‘g‘ri emas.

Davlat elektron hujjat aylanishi — EDO tizimi bilan bog‘liq topilma alohida ahamiyatga ega. Tadqiqotchilarga ko‘ra, oddiy temir yo‘l xodimining hisobi orqali SSO (Single Sign-On) xizmatidan o‘tilgan. Keyin hujjatlar bo‘yicha ruxsat tekshiruvlarining zaifligi va autentifikatsiyasiz ilova fayllari xizmati sabab hisob vakolatidan tashqaridagi materiallar ham yig‘ilgan.

Yig‘ilgan hujjatlar orasida mudofaa bilan bog‘liq yozishmalar, parvoz ruxsatnomalari, xaridlar, xodimlarga oid ma’lumotlar va boshqa idoraviy materiallar borligi aytiladi. 2 000 dan ortiq hujjat — 2 000 ta tashkilot yoki 2 000 ta buzilgan tizim degani emas. Xuddi shuningdek, yuzdan ortiq tashkilot nomi bor katalog eksporti ularning barchasiga kirilganini tasdiqlamaydi. [1]

GKNB, Milliy gvardiya va Mudofaa vazirligiga oid kataloglar

CloudSEK e’lon qilgan katalog tasvirida Минобороны, Нацгвардия va ГКНБ nomlari bor. Ular mos ravishda Tojikiston Mudofaa vazirligi, Milliy gvardiyasi va Milliy xavfsizlik davlat qo‘mitasi bilan bog‘liq hujjatlar guruhlarini bildiradi. Ayrim papkalar yil va oy bo‘yicha tartiblangan. Bu dalil umumiy EDO platformasidagi ruxsat muammosi bir xodimning ish doirasidan tashqaridagi yozishmalarga ham ta’sir qilganini tushunishga yordam beradi.

Papka nomi tegishli idoraning ichki tarmog‘i alohida buzilganini isbotlamaydi. Bu yerda ko‘rsatilayotgan holat — umumiy hujjat platformasidan yig‘ilgan materiallarning operator tomonidan shu nomlar bilan saqlanganidir. Quyidagi xat namunasi esa yig‘ilgan to‘plamda idoralararo texnik yozishmalar ham bo‘lganini ko‘rsatadi.

O‘zbekiston Smart Forestry platformasi

CloudSEK O‘zbekistonning Smart Forestry GeoServer muhitida web application access, database access va host-level command execution bilan bog‘liq izlarni tasvirlaydi. Manbada zararli WAR komponenti, webshell, superuser vakolatiga ega PostgreSQL hisobi va persistence uchun yaratilgan cron yozuvlari keltirilgan. Bu holat ilova uchun berilgan ortiqcha vakolatlar operatsion tizimdagi buyruq bajarish imkoniyatiga aylanishi mumkinligini ko‘rsatadi.

Hisobotga ko‘ra, operator root huquqini olmagan: privilege escalation va Docker socket orqali kirish urinishlari cheklangan. Biroq bu mavjud kirishni zararsiz qilmaydi. Ma’lumotlar bazasi va xizmat saqlaydigan axborotga keng kirishning o‘zi jiddiy xavfdir. Ushbu dalillar muayyan xizmatga oid kuzatuvlardir; ular butun mamlakat infratuzilmasining yoki xizmatning bugungi holatini ko‘rsatmaydi. [1]

Turkmaniston va boshqa yo‘nalishlar

Turkmaniston temir yo‘li elektron chiptasi va Ahal viloyati hisoboti ko‘rinishidagi fayllar mahalliy mavzuga moslashtirilgan social engineering usullarini ko‘rsatadi. Ularning yaratilishi va operator tomonidan sinalishi kampaniyaga tayyorgarlik dalilidir. Muvaffaqiyatli zararlanish holatini tasdiqlash uchun esa jabrlanuvchi tomondagi qo‘shimcha dalillar kerak.

Qirg‘izistonga moslashtirilgan implantlar, Armaniston tarmoqlari va Pokiston yo‘nalishidagi urinishlar haqidagi qaydlar faoliyatning kengroq qiziqish doirasini ko‘rsatadi. Implant mavjudligi, ulanish urinishi va tasdiqlangan kirish hisobotda bir xil hodisa sifatida hisoblanmasligi kerak.

06 / TEXNIK TAHLIL

Phishing, reverse shell va persistence bir zanjirda ishlatilgan

Taqdim etilgan dalillarda spear-phishing, qo‘lga kiritilgan hisoblardan foydalanish, PowerShell script va reverse shell vositalari birgalikda qo‘llangan. Hujum natijasi har doim zero-day zaifligiga bog‘liq bo‘lmaydi. Mavjud ruxsat xatolari, foydalanuvchi harakati va nazorat qilinmagan tashqi aloqalar bir zanjirga birlashtirilsa ham katta zarar yuzaga kelishi mumkin.

1. Initial access uchun lure. PDF belgisi qo‘yilgan LNK fayli ZIP yoki ISO konteynerida foydalanuvchiga yetkaziladi.
2. User execution. Foydalanuvchi faylni ochganida decoy hujjat bilan birga yashirin jarayon ishga tushadi.
3. PowerShell va reverse shell. Script keyingi payload’ni yuklab, operatorga masofadan buyruq berish imkonini yaratadi.
4. Persistence. Implant, Windows service yoki scheduled task orqali qayta kirish imkoniyati saqlanadi.
5. Collection va log cleanup. Ichki resurslar o‘rganiladi, hujjatlar nusxalanadi va ayrim faoliyat izlari o‘chiriladi.

Bu sxema kampaniyadagi bir yetkazish yo‘lini soddalashtirib ko‘rsatadi. EDO tizimiga haqiqiy hisob bilan kirish va Smart Forestry veb-muhitidagi kirish alohida yo‘llardir; barcha nishonlar bir xil fayl orqali zararlangan deb qaralmaydi.

Implantlar va persistence belgilari

Laplas va Chvost operatorga masofadan buyruq berish imkonini beruvchi implantlar sifatida tasvirlangan. netsrvc.exe, CoreMessaging.exe va ssdspsrv.exe kabi komponentlar esa ularni Windows xizmati ko‘rinishida o‘rnatish bilan bog‘langan. Qonuniy komponentga o‘xshash nom faylni ishonchli qilmaydi; nomning o‘zi ham zararlilikni isbotlamaydi. Fayl yo‘li, imzosi, hash’i, yaratilish vaqti va tarmoq aloqasi birga tekshiriladi.

C2 listener va session loglar

Serverdagi listener kodi ulanishlarni session sifatida ro‘yxatga olish va operatorning shu session’ga ulanishini kutish mantig‘ini ko‘rsatadi. Alohida session loglar esa faoliyatni keyinchalik tahlil qilish uchun saqlangan. CloudSEK tasvirdagi ayrim manzillarni yashirgan; ushbu hisobotda o‘sha redaction saqlangan. Log fayllari soni jabrlangan tashkilotlar soniga teng emas: bitta host bir necha marta ulanishi mumkin.

Ligolo va GOST kabi tunnel vositalari, NetExec va Impacket kabi ma’muriy yoki tekshiruv vositalari ham qayd etilgan. Ular ikki maqsadli vositalardir: mavjudligining o‘zi hujum dalili emas. Ishga tushirgan hisob, foydalanish maqsadi va tashkilotning ruxsat etilgan amaliyotlari bilan solishtirish zarur.

Manbalarda AMSI bypass urinishi hamda WinRAR’ning CVE-2025-8088 zaifligidan foydalanilgan alohida yetkazish zanjiri ko‘rsatiladi. Vositalar katalogida exploit topilishi uning barcha nishonlarda muvaffaqiyatli ishlatilganini anglatmaydi. [1] [2]

MITRE ATT&CK bo‘yicha qisqa moslashtirish

Quyidagi jadval — tasvirlangan xatti-harakatlarning tahririyat tomonidan berilgan moslashtirishi. U CloudSEK tomonidan e’lon qilingan tayyor ATT&CK xaritasi emas.

07 / SUN’IY INTELLEKTNING ROLI

AI agent operatorga ko‘proq vazifani boshqarish imkonini beradi

CloudSEK ma’lumotiga ko‘ra, operator ochiq manbali Hermes agentini o‘z serverida ishga tushirib, unga “Strix” nomini bergan. Hisobotdagi sozlamalarda asosiy vazifalar uchun OpenRouter orqali DeepSeek V4.1 Flash, qo‘shimcha vazifalar uchun Gemini 2.5 Flash ko‘rsatilgan. Bular aynan tadqiqotchilar ko‘rgan sozlamalardagi nomlardir. Model yoki xizmatning tilga olinishi uning ishlab chiquvchisi operatsiyada ishtirok etganini anglatmaydi. [1]

Hisobotda agentga ichki muhitni o‘rganish, hujjat yig‘uvchi dasturlar tayyorlash, uzilgan yig‘ishni davom ettirish, jurnallarni tahlil qilish va ayrim izlarni tozalash vazifalari berilgani tasvirlanadi. Terminal, brauzer, rejalashtirilgan vazifalar va Telegram orqali boshqarish imkoniyatlari bitta ish muhitiga birlashtirilgan.

Persistent memory va Telegram orqali boshqarish

Agentning MEMORY.md faylida ish muhiti, network share, ulanishlar va oldingi vazifalar haqidagi qaydlar saqlangan. Persistent memory keyingi session’da avvalgi natijalardan foydalanishga yordam bergan. Ushbu faylni tekshirish agentning o‘zi haqidagi da’volarini avtomatik tasdiqlash degani emas: qaydlar bajarilish loglari bilan solishtirilishi kerak.

CloudSEK gateway loglari va agent session qaydlarini bitta Telegram hisobiga bog‘lagan. Telegram orqali agentga topshiriq berilgan, hujjat yig‘uvchi dasturlarning holati ham chatga yuborilgan. Bu yerda Telegram agentni boshqarish kanali sifatida ishlatilgan; implantlarning barcha C2 aloqasi Telegram orqali o‘tgan degan xulosa kelib chiqmaydi.

Bot, chat yoki LLM xizmatiga ulanishni baholashda uning nomidan ko‘ra, qaysi process va hisob orqali, qanday vazifa uchun ishlatilganini aniqlash muhim.

Xavfni kuchaytirgan omil — AI’ga berilgan keng vakolatlar. Agent uchun ayrim xavfli amallar oldindan tasdiqlangan, takroriy bajarishni to‘xtatish cheklovlari esa yumshatilgan. Natijada operator har bir mayda qadamni qo‘lda bajarmasdan, maqsad va keyingi vazifalarni berishga o‘ta olgan.

Qaysi jihatlar keskinlashishi mumkin

• Ish sur’ati. Kod tayyorlash, natijani tekshirish va keyingi urinishni tashkil etish orasidagi vaqt qisqarishi mumkin.
• Ko‘lam. Bir nechta vazifani parallel bajarish va uzilishdan keyin davom ettirish kichik jamoaning imkoniyatini kengaytiradi.
• Moslashuv. Olingan xato yoki javobga qarab ish jarayonini qayta tuzish imkoniyati oddiy, qat’iy scriptlardan kengroq bo‘lishi mumkin.
• Bilimni saqlash. Agent xotirasi va ish qaydlari operatorga avvalgi natijalardan keyingi sessiyada foydalanish imkonini beradi.

Bu xulosalar operatsion xavfga oid tahlildir. Ochiq ma’lumotlar AI tezlikni necha baravar oshirganini yoki barcha amallar inson ishtirokisiz bajarilganini aniq o‘lchamaydi. Ushbu voqeani “mintaqadagi birinchi to‘liq avtonom davlat hujumi” deb qat’iy atash uchun ham yetarli taqqoslama dalil yo‘q.

AI xatolarni yo‘qotmagan. CloudSEK qaydiga ko‘ra, izlarni tozalash jarayoni ochiq qolgan katalogni bartaraf etmagan. Demak, himoyachilar uchun aniqlash imkoniyati saqlanadi: agent ham hisoblar, jarayonlar, API so‘rovlari va tarmoq aloqalari orqali ishlaydi. Ushbu belgilar kuzatilsa, AI orqali bajarilgan faoliyat ham tekshiruvga tushadi.

08 / ANIQLASH UCHUN BELGILAR

Aniqlash uchun bir nechta signalni o‘zaro bog‘lash kerak

Faqat IP manzilni bloklash yetarli emas. Hujumchi manzilni almashtirishi yoki qonuniy xizmatlardan foydalanishi mumkin. SOC jamoasi pochta, ishchi stansiya, identifikatsiya xizmati va hujjat platformasi qaydlarini bitta vaqt chizig‘ida solishtirishi kerak.

Telegram, PowerShell yoki AI xizmatining o‘zi zararli indikator emas. Aniqlash qoidalarida ruxsat etilgan faoliyatni hisobga olish, bir nechta signalni bog‘lash va noto‘g‘ri ogohlantirishlarni kamaytirish zarur.

09 / TEXNIK INDIKATORLAR

Tekshiruv uchun IOC ro‘yxati

Quyidagi IOC (Indicators of Compromise) ro‘yxati taqdim etilgan hujjat va CloudSEK hisobotidan olingan. Tarmoq manzillari tasodifan ochilmasligi uchun defanged formatda berildi. Ularni tarixiy loglarda qidirishda kuzatuv sanasi va tashkilotingizdagi odatiy faoliyatni hisobga oling. Manzil yoki port mos kelishining o‘zi hodisani tasdiqlamaydi. [1]

Qo‘shimcha host belgilariga \chvost\Release\Netdrv.pdb yo‘li, Laplasgeneral satri, g‘ayrioddiy joydagi xizmat fayllari va ruxsatsiz agent ish kataloglari kiradi. Aniqlangan faylni ishga tushirmang; nusxasi va metama’lumotlarini tashkilotingizning dalil saqlash tartibida tekshiring.

10 / AMALIY HARAKAT REJASI

Himoya rejasi mavjud kirishni aniqlashdan boshlanadi

Dastlabki 24–72 soat

Xavfsizlik jamoasi hisobotdagi belgilarni mavjud telemetriya bilan solishtiradi. Tekshiruv doirasiga pochta va EDR hodisalari, SSO kirishlari, hujjat yuklash jurnallari, yangi xizmatlar hamda tashqi ulanishlar kiritiladi. Saqlangan jurnallar yetarli bo‘lsa, 2026-yil aprelidan keyingi davr bo‘yicha retrospektiv qidiruv o‘tkaziladi; jurnal mavjud emasligi hodisa bo‘lmaganini anglatmaydi.

Shubhali faoliyat topilsa, javobgar guruh host yoki hisobni ajratadi, dalillarni saqlaydi va ruxsatsiz sessiyalarni to‘xtatadi. Muhim transport yoki ishlab chiqarish tizimini tekshiruvsiz o‘chirish o‘rniga, uning egasi bilan xizmat uzluksizligini hisobga olgan cheklash rejasi kelishiladi. Tasdiqlangan zararli manzil va fayllar tegishli himoya vositalarida cheklanadi.

Birinchi hafta

• Hisoblar: zararlangan hisoblar, sessiyalar va tokenlar tekshiriladi; tiklash toza va ishonchli boshqaruv muhitidan bajariladi. MFA yoqiladi, biroq u hujjat darajasidagi ruxsat tekshiruvining o‘rniga qo‘yilmaydi.
• Hujjat xizmatlari: har bir fayl va so‘rov bo‘yicha server tomondagi ruxsat tekshiruvi sinovdan o‘tkaziladi. Boshqa bo‘lim fayliga faqat uning identifikatorini bilish orqali kirib bo‘lmasligi tekshiriladi.
• Internetga ochiq tizimlar: ishlatilayotgan versiyalar, boshqaruv interfeyslari, fayl yuklash imkoniyatlari va ochiq kataloglar ro‘yxatga olinadi.
• Ma’lumotlar bazasi: xizmat hisoblaridagi ortiqcha vakolatlar qisqartiriladi; ma’lumotlar bazasi orqali operatsion tizim amallarini bajarish imkoniyati alohida nazorat qilinadi.

Domen buzilgani tasdiqlansa: tiklash Active Directory bo‘yicha tajribali mutaxassislar bilan rejalashtiriladi. krbtgt parolini ikki marta almashtirish barcha tashkilotlarga bir xil tarzda beriladigan tezkor topshiriq emas. Zarur bo‘lganda bu amal replikatsiya, Kerberos chiptalari muddati va Microsoft tiklash yo‘riqnomasi talablarini hisobga olib bajariladi. [4]

Keyingi 30–90 kun

Eskirgan operatsion tizimlar va arxiv dasturlari yangilanadi. SMBv1 ehtiyoji bartaraf etiladi, SMB signing va ilovalarni ishga tushirish siyosati moslik sinovidan keyin kuchaytiriladi. Pochta orqali keladigan LNK, ISO va parolli arxivlar ish ehtiyojiga qarab cheklanadi yoki xavfsiz tahlildan o‘tkaziladi. Muhim tizimlar, ofis tarmog‘i va boshqaruv segmentlari orasidagi ruxsatlar qayta ko‘rib chiqiladi.

Jurnallar markaziy, hujumchi oson o‘zgartira olmaydigan joyga yuboriladi. Xodimlar kutilmagan “rasmiy” hujjatni boshqa aloqa kanali orqali tasdiqlashga o‘rgatiladi. Shubhali ilovani ochib yuborgan foydalanuvchi tez xabar bera oladigan tushunarli va jazolashga qaratilmagan tartib yaratiladi.

11 / AI VA XAVFSIZLIK BOSHQARUVI

AI agent vakolatlari alohida nazorat qilinishi kerak

Tashkilotning o‘z AI agentlari uchun ham shu voqeadan saboq bor. Agentga keng terminal yoki ma’lumotlar bazasi vakolati berilsa, xato topshiriq, buzilgan hisob yoki ishonchsiz tashqi matnning ta’siri kuchayadi. Har bir agentning egasi, vazifasi, ulangan tizimlari va foydalanadigan credentials toifasi inventarizatsiya qilinishi kerak. Parol yoki API key’ning o‘zi bunday ro‘yxatga ochiq yozilmaydi.

Least privilege tamoyili qo‘llanadi: agentga faqat vazifasi uchun zarur vakolatlar beriladi. Qisqa muddatli tokenlar, alohida service account va muhim amallar uchun human approval joriy qilinadi. Katta hajmdagi ma’lumot olish, o‘chirish yoki ruxsatlarni o‘zgartirish kabi harakatlar uchun mustaqil chegaralar belgilanadi. Jurnalni agentning o‘zi tozalay oladigan muhitda saqlash bilan cheklanilmaydi.

AI provayderlari va tashkilotlar suiiste’mol holatlari haqida tezkor xabar berish tartibini kelishishi, xavfli sessiyalarni tekshirish hamda zarur dalillarni saqlash imkoniyatini yaratishi maqsadga muvofiq. Mintaqaviy CERT va xavfsizlik jamoalari esa tekshirilgan indikatorlarni kuzatuv sanasi, ishonch darajasi va ruxsat etilgan tarqatish doirasi bilan almashishi mumkin.

Himoyada AI jurnal tahlili va hodisalarni saralashni tezlashtirishi mumkin. Ammo avtomatik xulosa tekshiriladigan dalilga bog‘lanishi, hisobni yopish yoki muhim xizmatni to‘xtatish kabi oqibatli amallar nazorat ostida qolishi kerak.

12 / YAKUNIY BAHO

Tezlashayotgan hujumlarga izchil himoya bilan javob berish kerak

Silent Lynx bo‘yicha topilmalar AI agentlari kiberjosuslikdagi ayrim vazifalarni bajaruvchi amaliy vositaga aylanganini ko‘rsatadi. Ular hujumchining ish sur’ati va bir vaqtda bajaradigan vazifalari ko‘lamini oshirishi mumkin. Biroq ushbu hodisaning o‘zi barcha APT guruhlari to‘liq avtonom ishlay boshlaganini yoki kibertahdidlar har bir davrda bir xil sur’atda oshishini isbotlamaydi.

O‘zbekiston tashkilotlari uchun asosiy xulosa aniq: himoya faqat perimetr yoki antivirus bilan cheklanmaydi. Xodim hisobi nimaga kira olishi, hujjat xizmati har bir so‘rovda ruxsatni tekshirishi, server qanday tashqi aloqalarni boshlashi va xavfsizlik jamoasi bu holatlarni qanchalik tez ko‘rishi hal qiluvchi ahamiyatga ega.

Chegara, tashkilot nomi yoki faoliyat sohasi o‘z-o‘zidan himoya bermaydi. Tekshirilgan ruxsatlar, kuzatiladigan amallar va mashq qilingan javob jarayoni xavfni kamaytiradi.

13 / MANBALAR

Dalillar va qo‘shimcha o‘qish

1. CloudSEK — Off the Rails: Inside an Exposed Silent Lynx Server

   2026-yil 11-noyabr. Ochiq server, nishonlar, agent izlari, texnik indikatorlar va maqoladagi 19 ta dalil rasmining asl manbasi. Sarlavha fonidagi lynx tasviri ham shu manbaning muqova illustratsiyasidan olingan; u guruhning tasdiqlangan rasmiy logotipi sifatida taqdim etilmaydi.

2. Cisco Talos — Break the silence: Kazakhstan-nexus UAT-6275 targets CIS government organizations

   2026-yil 14-oktabr. Kampaniya tarixi, vositalar va geografik bog‘liqlik bahosining chegaralari.

3. Recorded Future Insikt Group — TAG-193’s Regional Espionage Operations

   Nishonlar, tabiiy resurslarga qiziqish va tashkiliy mansublik bo‘yicha ochiq qolgan savollar.

4. Microsoft Learn — Active Directory Forest Recovery: Reset the krbtgt password

   Domenni tiklash doirasida krbtgt parolini yangilash tartibi. Texnik ishni boshlashdan oldin joriy yo‘riqnoma tekshiriladi.

5. MITRE ATT&CK

   6-bo‘limdagi texnika identifikatorlari tegishli rasmiy sahifalarga bog‘langan.

Hisobot 2026-yil 11-noyabr holatidagi ma’lumotlar asosida tayyorlandi. Asosiy voqea tafsilotlari va IOC ro‘yxati taqdim etilgan texnik hujjat asosida qayta yozildi hamda ochiq manbalar bilan solishtirildi. Tahliliy baholar va himoya ustuvorliklari CYBER-BRO tahririy talqinidir. CloudSEK rasmlari asl ko‘rinishda, manba ko‘rsatilgan holda keltirilgan.