--- title: "Microsoft Teams IT destek sahtekarlıklarıyla kötü amaçlı yazılım ve fidye yazılımı dağıtılıyor" url: "https://teknotayf.com/haber/microsoft-teams-it-destek-sahtekarliklariyla-kotu-amacli-yazilim-ve-fidye-yazilimi-dagitiliyor" markdown_url: "https://teknotayf.com/haber/microsoft-teams-it-destek-sahtekarliklariyla-kotu-amacli-yazilim-ve-fidye-yazilimi-dagitiliyor.md" site: "teknotayf.com" language: "tr" published: "2026-10-26 18:52:40" updated: "2026-10-27 01:54:23" category: "Siber Güvenlik" tags: ["Siber Güvenlik","Sosyal Mühendislik","Ransomware","Microsoft Teams","Tehdit Aktörü"] source: "The Hacker News" --- # Microsoft Teams IT destek sahtekarlıklarıyla kötü amaçlı yazılım ve fidye yazılımı dağıtılıyor > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/microsoft-teams-it-destek-sahtekarliklariyla-kotu-amacli-yazilim-ve-fidye-yazilimi-dagitiliyor > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** Siber güvenlik araştırmacıları, saldırganların Microsoft Teams dış sohbet özelliğini IT destek kimliğine bürünerek kötü amaçlı yazılım ve fidye yazılımı ulaştırmak için kullandığını bildiriyor. Arctic Wolf Labs, yüzlerce vakada aynı geçici kiracılar, görüntü adları ve uzaktan erişim araçlarının tekrarlandığını, vakaların önemli bir kısmında *.onmicrosoft.com etki alanlarının kullanıldığını açıkladı. - **Yayın tarihi:** 2026-10-26 18:52 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Siber Güvenlik, Sosyal Mühendislik, Ransomware, Microsoft Teams, Tehdit Aktörü - **Yazan:** TeknoTayf.com - **Kaynak:** [The Hacker News](https://thehackernews.com/2026/10/attackers-use-microsoft-teams-it.html) ![Microsoft Teams IT destek sahtekarlıklarıyla kötü amaçlı yazılım ve fidye yazılımı dağıtılıyor](https://teknotayf.com/assets/uploads/2026/10/62ee6c9c39e919ec7bb2d58dbac0abc8.jpg) Ravie Lakshmanan 26 Ekim 2026 Sosyal Mühendislik / Zararlı Yazılım Siber güvenlik araştırmacıları, tehdit aktörlerinin kimlik avı sahtekarlığı yapmak ya da kötü amaçlı yazılım ulaştırmak için **Microsoft Teams**'in dış sohbet oluşturma özelliğini kullandığı yüzlerce vakada görülen "tekrarlayan sosyal mühendislik deseni"ne dikkat çekiyor. Arctic Wolf Labs, The Hacker News ile paylaştığı raporda şunları söyledi: "Bu olaylarda ortaya çıkan tutarlı bir saldırgan davranış deseni var: aynı geçici kiracıların, aynı 'IT Support (Internal)' görüntü adlarının, aynı uzaktan erişim araçlarının kullanılması ve giderek aynı yük etki alanlarının kullanılması." Saldırılar, Teams'teki dış kullanıcı uyarılarını atlatmak için IT temalı görüntü adları ya da samimi gelen ilk isimler kullanıyor. Bu mesajlar, yeni oluşturulmuş ya da satın alınmış Microsoft 365 kiracıları üzerinden kurulan Teams kimliklerinden geliyor. Siber güvenlik şirketinin incelediği vakaların yaklaşık **yüzde 30-40**'ında, Microsoft'un bir Microsoft 365 kiracısı oluşturulduğunda otomatik olarak ürettiği kalıcı yedek etki alanı olan *.onmicrosoft[.]com kullanılıyor. Bu etki alanları IT altyapısı gibi görünüyor; kiracı adı olarak yardım masası ya da destek temalı bir kelime seçilerek güvenilirlik artırılıyor. Daha önce birçok vakada görüldüğü gibi, bu Teams oturumlarından önce mail bombing yapılıyor; mağdurun gelen kutusu kısa sürede yüzlerce bülten ya da abonelik onayı ile dolduruluyor. Yaklaşım, yanlış bir aciliyet duygusu yaratmak için tasarlanmış; Teams IT destek mesajı hemen ardından sorunun çözülmesine yardımcı olmak için geliyor. Arctic Wolf'un farklı vakalarda gözlemlediği görüntü adlarından bazıları şöyle: IT Service Desk – Liam / IT Service Desk (Liam) IT Service Desk – Matt / IT Service Desk – Scott IT Support – Christopher Thomas Enterprise IT & Security (Internal) IT Tech Support Internal Business IT Solutions & Support (Internal) Son yinelemelerde saldırganların mesajlara ek meşruiyet kazandırmak için görüntü adlarına hedef kuruluşun etki alanı ya da şirket adını eklediği gözlemlendi. ![](https://teknotayf.com/assets/uploads/2026/10/e37c2d5cf072a4d6f7fb96710ae68a2d.webp) Arctic Wolf şunları söyledi: "Kiracı oluşturmak için ücretli üst düzey etki alanlarına (TLD) doğru yakın bir kayma da gözlemledik. Son aylarda bu tür sahtekarlıklarda tespit ettiğimiz ücretli etki alanlarının yaklaşık yüzde 50'sinde sahte kimlikler .top TLD'sini kullanıyor, yaklaşık yüzde 40'ı standart bir .com etki alanı kullanıyor ve sadece yüzde beşten biraz fazlası .com.pl, .com.vn ve .com.br gibi çok seviyeli etki alanları kullanıyor." Bu faaliyet, ".top" TLD'si altında IT temalı bulut etki alanları oluşturma geçmişine sahip ve hesapları gerçekçi göstermek için makul çalışan kullanıcı adları kullanan STAC4749 ile uyumlu. Sophos'a göre bu saldırılar **Chaos ransomware**'in dağıtılmasına yol açtı. Saldırılar özellikle dış erişimin etkin olduğu kuruluşları hedef alıyor. Bu aynı zamanda mağdurları Quick Assist, AnyDesk, ScreenConnect (ConnectWise), TeamViewer, Atera, Zoho Assist, NetSupport ve LogMeIn gibi meşru bir uzaktan izleme ve yönetim (RMM) aracı üzerinden ellerini klavyeye koymaları için kandırmak amacıyla vishing unsurunu da içeriyor. Uzaktan erişim, keşif yapmak, GoGRPC arka kapısı gibi ek yükler dağıtmak, etki alanı denetleyicilerine yatay hareket sağlamak ve yedeklilik için Level gibi ek RMM araçları kurmak, hassas verileri dışarı aktarmadan önce ve fidye yazılımı ikili dosyasını bırakmak için kötüye kullanılıyor. Arctic Wolf şunları söyledi: "Bazı vakalarda saldırganlar Microsoft'un notlarını kullandı. Saldırganlar genellikle Safe Links / ZAP taramasını tetikleyeceği için Teams'e doğrudan bir URL yapıştırmaktan kaçınır ve yükü uzaktan oturum sırasında kendileri açarlar. Sonuç olarak, mesaj taramasının yanı sıra uç nokta ve kimlik telemetrisi de önemli izleme yüzeyleridir." Siber güvenlik satıcısının tespit ettiği bir vakada, tehdit aktörünün kullanıcıyı bir dosya indirmek ve ardından çalıştırmak için bir PowerShell komutu çalıştırması talimatı verdiği belirtiliyor. PowerShell komutu, Microsoft Azure Blob Storage'dan bir MSI yükleyici indirmek üzere tasarlanmış. Mağdur yükleyiciyi çalıştırdığında, içinde gömülü bir Python implantını ayıklayan ve çalıştıran bir PowerShell betiği başlatılıyor. Arka kapı ardından Active Directory'deki tüm bilgisayar ve kullanıcı nesneleri için LDAP sorguları yürüten ve bilgileri harici bir sunucuya gönderen başka bir MSI işlemi çalıştırıyor. Arctic Wolf şunları söyledi: "Dış Microsoft Teams sohbeti, bir yazılım açığından ziyade güveni istismar ettiği için etkili bir ilk erişim vektörü haline geldi." Arctic Wolf şunları söyledi: "İncelenen faaliyetler boyunca saldırganlar, mağdurları görünüşte rutin bir sohbetten uzaktan erişime, yük yürütmeye ve bazı durumlarda daha geniş kapsamlı uzlaşmaya taşımak için e-posta bombardımanı, ikna edici IT destek taklidi, yeni oluşturulmuş kiracılar ve etki alanları ile hızlı sosyal mühendisliği birleştirdi." --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/microsoft-teams-it-destek-sahtekarliklariyla-kotu-amacli-yazilim-ve-fidye-yazilimi-dagitiliyor Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.