Siber Saldırılar ve Veri İhlalleri
E-posta bombardımanı, Black Basta fidye yazılımı grubuyla bağlantılı olabilecek geniş çaplı ve devam eden bir sosyal mühendislik kampanyasıyla yeni bir görünüm kazanıyor.
Alexander Culafi, Senior News Writer, Dark Reading
Tehdit aktörleri, çalışanları uzaktan erişim izni vermeye kandırmak için BT destek kimliğine bürünme ve e-posta bombardımanı taktikleriyle Microsoft Teams'in dış sohbet işlevini büyük ölçekte kötüye kullanıyor. Saldırganlar kısa, beş dakikalık pencereler içinde birden fazla kullanıcıyı hedefliyor ve kurban tuzağa düştüğünde saldırı zinciri 15 dakikadan kısa sürede yük çalıştırma aşamasına ulaşıyor.
26 Ekim'de yayımlanan bir blog yazısında Arctic Wolf, kampanyayı ve vahşi doğada 400'den fazla olayda görülen "tekrarlayan sosyal mühendislik deseni" olarak tanımladığı durumu detaylandırdı.
"Bu olaylar arasında saldırgan davranışında tutarlı bir desen ortaya çıktı: aynı geçici kiracıların kullanımı, aynı 'IT Support (Internal)' görüntü adları, aynı uzaktan erişim araçları ve giderek aynı yük etki alanları," diye yazdı Arctic Wolf'tan Shubham Dubey blog yazısında.
Tipik bir saldırı örneğinde kurban "mail bombed" yani e-posta abonelikleri veya bültenlerin seliyle boğularak aciliyet duygusu oluşturuluyor. Ardından IT destek olduğunu iddia eden dış bir Teams kullanıcısı kurbanla iletişime geçip sorunu çözmeyi teklif ediyor. Kimliğe bürünen kişi, çalışanı Quick Assist (en yaygın olanı), AnyDesk, ScreenConnect, Atera, Zoho Assist, NetSupport ve LogMeIn gibi meşru araçlarla uzaktan erişim oturumu başlatmaya ikna ediyor.
Kurban erişim verdiğinde saldırgan kötü amaçlı yazılım çalıştırmak, kimlik bilgilerini çalmak, keşif yapmak veya muhtemelen fidye yazılımı dağıtmak gibi takip faaliyetleri gerçekleştiriyor. Dubey, tipik sırayı whoami/systeminfo tabanlı keşif, PowerShell tabanlı yük, komuta ve kontrol beacon'u, Kerberoasting ve GoldenPAC gibi Kerberos kötüye kullanım yöntemleriyle kimlik bilgilerine erişmek için yatay hareket ve "orijinal implantın temizlenmesinden sağ kurtulan bağımsız bir kontrol kanalı sağlayan" ikinci bir ticari sınıf uzaktan erişim aracı olarak açıkladı.
E-posta Bombardımanı Büyük Ölçekte Dağıtım İçin Gelişiyor
Spam veya e-posta bombardımanı yeni bir taktik değil. Tehdit aktörleri bir süredir sosyal mühendislik için bahane olarak gelen kutularını dolduruyor. Microsoft araştırmacıları bu tekniğin Black Basta tarafından 2024 ortasında kullanıldığını tespit etti; daha sonraki örnekler 3AM, Cactus, Chaos ve GoGRPC kampanyalarında görüldü. Arctic Wolf'un araştırmasında öne çıkan nokta, bu tekniğin yüzlerce olayda görülen tekrarlayan altyapı, adlandırma kuralları ve saldırgan davranışıyla büyük ölçekte işlediğini göstermesi.
Arctic Wolf'ta saldırgan operasyonları direktörü Justin Moore, Dark Reading'e yaklaşık vakaların yüzde 15'inin ilk aşamanın ötesine geçerek başarılı bir uzlaşmaya ulaştığını, kampanyanın hacmi göz önüne alındığında bunun bir başarı anlamına geldiğini söyledi.
Son saldırı dalgalarının arkasında kimlerin olduğu konusunda Moore kesin bir atıfta bulunamadı ancak "Black Basta ile ilişkili aktivite, Teams sohbeti kötüye kullanımının en önemli itici güçlerinden biri olmaya devam ediyor." dedi.
Altyapı tarafında Arctic Wolf, atılan onmicrosoft.com kiracılarından saldırgan kontrollü etki alanlarına, özellikle ".top" etki alanlarına doğru bir kayma kaydetti ve yaygınlıkları hakkında veri sundu. Satıcı, ücretli etki alanları içeren gözlemlenen vakaların yaklaşık yarısında .top etki alanlarının kullanıldığını belirtti.
Adlandırma açısından saldırganlar, Teams'in göndericiyi aynı anda "dış" olarak etiketlemesine rağmen mesajın şirket içinden geldiği izlenimini yaratmak için görüntü adına "(Internal)" ekleyerek ulaşıyor. İsimler ayrıca "IT Support" ve "IT Service Desk" gibi etiketlerden sonra Liam, Scott McGhee ve Matthew örneklerini verdiği samimi görünen isimler kullanıyor.
Gözlemlenen diğer işaretler arasında hedef kitlenin yerel diline özgü adlandırma kuralları (Fransızca ve İspanyolca konuşan kuruluşlar için "Supporte TI") ve saldırgan görüntü adlarında 100 farklı emoji kullanımı yer alıyor.
E-posta Bombardımanı Sosyal Mühendislik Saldırılarının Önüne Geçin
Arctic Wolf, kurbanlarla etkileşime girmeden önce saldırganların grup sohbetlerinden kaçınmak için bire bir sohbet başlattığını, Microsoft'un bunu telemetrisi üzerinde ChatCreated olayı olarak kaydettiğini belirtti. Arctic Wolf bunu uyarı ayarlayan savunmacılar için birincil tespit noktası olarak değerlendiriyor.
Satıcı ayrıca güvenilen dış kuruluşlar için bir izin listesi belirlemeyi, yönetilmeyen veya Teams tüketici hesaplarıyla sohbetleri engellemeyi, yönetilmeyen kullanıcıların kullanıcılarınızla sohbet başlatmasına izin veren seçeneği devre dışı bırakmayı, deneme amaçlı kiracılarla federasyonu engellemeyi ve uzaktan erişim yolunu güçlendirmeyi önerdi.
Siber Güvenlik Farkındalık Ayı'na atıfla Arctic Wolf, personeli bu kampanyaların arkasındaki sosyal mühendislik unsurları konusunda uyarmanın da akıllıca olabileceğini, BT'nin tam olarak nasıl ulaştığının, bu iletişimlerin nasıl göründüğünün (ve nasıl görünmediğinin) anlatılmasını ve olası kırmızı bayrakları belirlemek için Teams'te dış gönderici etiketinin nasıl okunacağının kullanıcılara öğretilmesini vurguladı. Microsoft Teams, uygulamanın içinde son kullanıcı raporlaması da sunuyor.
Buna rağmen teknik daha da ilerleyebilir.
"Teams sohbeti kötüye kullanımının ClickFix tarzı sosyal mühendislikle birleştiren kampanyaları da yakın zamanda gözlemledik; bu durum tekniğin gelişmeye devam ettiğini ve diğer sızma yöntemleriyle bütünleştirildiğini gösteriyor," diyor Moore.
Microsoft'tan bir sözcü Dark Reading'e şirketin, örneğin yöneticilerin dış Teams kullanıcılarını engellemesine izin verebilen katmanlı yerleşik korumalarla Teams'te kimlik avı ve sosyal mühendislik riskini azaltmaya yardımcı olduğunu söyledi. Sözcü ekledi ki, gelecek ay "Teams, özellikle dış kullanıcılarla ilk temas sohbetleri gibi daha yüksek riskli mesajlaşma senaryolarında kimlik avı ve sosyal mühendisliği tespit etmek için sohbet bağlamını kullanan yapay zeka destekli kimlik avı tespitini tanıtıyor."
