Siber güvenlik araştırmacıları, 79 kuruluşun e-posta hesabına sızmak için çalınan oturum token'larını yeniden oynatan bir saldırgan-ortada (AitM) rölesi kullanan bir Microsoft 365 kampanyasını açıkladı.
Huntress, 14 Temmuz ile 22 Eylül 2026 arasında gözlemlediği aktiviteyi bildirdi. Şirket, mağdur kuruluşlarda 200 binden fazla giriş denemesinden 497 başarılı Microsoft 365 oturum açma olayı tespit ettiğini, saldırganların sonunda 97 hesabı ele geçirdiğini ve 48 sahte Entra cihazı kaydettiğini söyledi.
"Parolaları tahmin etmek yerine saldırgan, mağdurlardan çalınan oturum açma token'larını yeniden oynattı ve kampanya penceresinden 193.26.115[.]0/24 IP aralığına kadar 200 binden fazla başarısız giriş denemesi izledik" diyen Huntress araştırmacıları Andrea Hatcher, Susannah Matt, Matt Poto ve Andrew Schwartz oldu.
Saldırının, mağdurlar ile meşru Microsoft altyapısı arasına yerleşip girilen kimlik bilgilerini ve MFA kodlarını yakalayıp gerçek giriş sayfasına ileten bir AitM giriş sayfası kullandığı belirlendi.
Amaç, oturum açma sonrası Microsoft tarafından verilen erişim token'ını toplamak ve MFA'yı ikinci kez atlatmak zorunda kalmamaktı. "Oturum açma kanıtı" olarak adlandırılan token, saldırgan tarafından kendi cihazlarından dakikalar içinde yeniden oynatılarak Microsoft 365 hizmetlerine karşı otomatik giriş denemeleri yapmak için kullanıldı.
Yaklaşım, saldırganın parolaları toplu olarak denemeye benzer şekilde birçok çalınmış token'ı ölçekli olarak yeniden oynatması nedeniyle token spraying olarak adlandırıldı.
Başarılı erişim sağlandıktan sonra saldırganlar, çalınan oturum token'ı süresi dolduğunda veya mağdur tarafından iptal edildiğinde yeni oturum açmalarda MFA zorluklarını tamamlamak için kendi doğrulayıcı uygulamalarını ekleyerek kalıcılık sağlamaya çalıştı.
En az 19 kuruluşta mağdurun mevcut MFA yöntemleri kaldırıldı ve ilk oturum açmadan üç saat içinde yeni bir yöntem kaydedildi. 21 Temmuz 2026'da gözlemlenen bir olayda tehdit aktörleri, oturum ele geçirildikten 51 dakikadan kısa süre sonra "iPhone 13" adında yeni bir doğrulayıcı uygulaması etkinleştirdi.
"Sahte cihazlar aynı amaca hizmet etti" diyen araştırmacılar, "Tehdit aktörü, mağdur kuruluşların Microsoft dizinlerinde en az 48 sahte bilgisayar kaydetti. Kaydedilmiş bir cihaz, saldırgana çalınan oturumdan daha dayanıklı bir şekilde token talep etme imkanı verir ve biri silemediği sürece dizinde kalır" ifadelerini kullandı.
Ayrıca saldırganların, mağdurların gelen kutularında ".," "sss," "ss," "iT," " ,.," "........," "s," ve "d" gibi isimlerle gizli e-posta kuralları oluşturduğu görüldü. Bu kurallar maaş, havale ve prim gibi anahtar kelimeleri içeren gelen postaları silmek ya da RSS Feeds ve Conversation History gibi belirsiz klasörlere taşımak için kullanılıyordu.
Ele geçirilen bir posta kutusunda e-posta kuralı tüm gelen mesajları okundu olarak işaretleyip siliyordu. Posta kutusu daha sonra Microsoft Entra ID Protection hesabı yüksek riskli olarak derecelendirmeden önce yüzlerce dış alıcıya dışarıya spam göndermek için kullanıldı.
Huntress, token'ların sahte giriş sayfalarının arkasındaki AitM röleleri, cihaz kodu phishing'i ve meşru bir giriş sürecinde sosyal mühendislik de dahil olmak üzere birden fazla kaynaktan geldiğini söyledi.
Kampanya ilk olarak Romanya'daki "193.26.115[.]221" IP adresinden gözlemlendi. VirusTotal'a göre bu adres AsyncRAT adlı uzaktan erişim truva atı tarafından kullanılıyor. IP adresi, 1337 Services GmbH adlı Alman barındırma sağlayıcısıyla ilişkilendiriliyor.
GreyNoise verilerine göre barındırma sağlayıcısıyla eşleşen 29 IP adresi listeleniyor; bunların 10'u kötü amaçlı olarak işaretlenmiş, beş'i şüpheli olarak belirtilmiş. Kuruluşun StarkRDP ve rdp[.]sh ile bağlantılı olduğu, bu platformların ücretli müşterilere sanal sunucu kiralama imkanı sunduğu kaydedildi.
StarkRDP ve rdp[.]sh ile bağlantılı alan adları, Nulled, Cracked ve Sellix siteleriyle birlikte Ocak 2025'te Talent kod adlı uluslararası bir kolluk operasyonu kapsamında kapatıldı. Yazım sırasında iki platform da faaldi; ilki artık exy[.]sh olarak yeniden markalanmıştı.
Bağımsız siber güvenlik gazetecisi Brian Krebs'e göre 30 Ocak tarihli bir paylaşımda StarkRDP Telegram hesabı, "StarkRDP her zaman yasal olarak faaliyet gösterdi ve iddia edilen bu suçlarla ilgili değil, yasal süreç bunu doğrulayacak" dedi.
"Tek el konulan şeyler [sic] web sitesi sunucusu ve alan adımız. Ne yazık ki bunu kimin aldığı ve bunun hakkında kiminle konuşabileceğimiz belli değil. Bu yüzden 'StarkRDP' bölümünü kapatmak için yakında farklı bir isimle yeniden faaliyete geçeceğiz" mesajı paylaşıldı.
Token yeniden oynatma kompromizasyonundan şüphelenen kuruluşlara oturumları iptal etmeleri, parolayı sıfırlamaları, Entra cihazlarını denetlemeleri, MFA yöntemlerini gözden geçirmeleri, beklenmeyen gelen kutusu kuralları veya yeni kurumsal uygulamaları kontrol etmeleri ve Koşullu Erişim politikalarıyla cihaz kodu akışını kısıtlamaları önerildi.
"Koşullu Erişim Politikaları (CAP), uygun şekilde uygulandığı sürece MFA'nın kapatamadığı bazı güvenlik boşluklarını doldurmaya yardımcı olabilir" diyen Huntress araştırmacıları, "CAP kuran işletmelerin, tüm kullanıcılar, tüm bulut uygulamaları ve tüm istemci uygulama türleri için MFA'yı zorunlu kılmasını (veya engellemesini) koşulsuz olarak yapması gerektiğini" kaydetti.
