Bir siber saldırı operasyonu, farklı şirketlerdeki en az 150 Microsoft Teams kullanıcısını hedef aldı. Spring Ring olarak adlandırılan bu kampanya, sesli oltalama (vishing) yöntemini kullanarak bilgisayarlara uzaktan izleme ve yönetim (RMM) araçları ile zararlı yazılımlar yüklüyor. Bazı vakalarda saldırganların kurumların domain denetleyicilerini ele geçirmeye çalıştığı da belirlendi.
Palo Alto Networks araştırmacıları, Ocak ve Nisan ayları arasında en az 10 kuruluştaki çalışanların hedef alındığını bu hafta yayımlanan bir raporla duyurdu. Kampanya, geleneksel e-posta oltalama yöntemlerinden uzaklaşıp, etkileşime güvenilirlik katan kurumsal iş birliği platformlarına yönelme eğilimini gözler önüne seriyor.
Palo Alto Networks araştırmacısı Noam Sala, Spring Ring operasyonunun sesli oltalama yöntemini Teams iş akışına entegre ederek önceki kampanyalardan farklılaştığını belirtti. Sala'ya göre bu değişim, saldırıyı pasif bir "tıkla ve topla" modelinden gerçek zamanlı bir etkileşime dönüştürüyor.
Saldırılar, aslında bir sesli oltalama araması olan masum bir sohbetle başlıyor. Bu süreçte saldırganlar, kurbanları RMM araçlarını veya özel zararlı yazılımları çalıştırmaya zorluyor. Sala, saldırının daha gelişmiş bir versiyonunda, sesli aramadan kurumun domain denetleyicisine (DC) yönelik kapsamlı bir Microsoft NT LAN Manager (NTLM) relay saldırısına geçildiğini ekledi.
Sesli Aramalardan Sistem İhlaline
CrowdStrike'ın güncel bir tehdit avcılığı raporuna göre, 2026'nın ilk yarısında sesli oltalama saldırıları iki katına çıktı. Spring Ring kampanyası, saldırganların bu ivmeyi kullanarak güvenilir iş birliği platformlarını bir sıçrama tahtası olarak kullandığını gösteriyor.
Sala, Spring Ring'in faaliyetlerinin sosyal mühendislik kampanyalarına yönelik genel bir trendi yansıttığını belirtti. Palo Alto Insights blog yazısına atıfta bulunan araştırmacı, tehdit aktörlerinin geleneksel yöntemleri bırakıp güvenilir iş birliği araçlarına yöneldiğini vurguladı.
Güvenlik firması Suzu Labs'in teknoloji başkanı Denis Calderone, Spring Ring'in yaptığı şeyin yeni olmadığını ve bu taktiği kullanan başka grupların da olduğunu, yıl boyunca bu yönde raporlar geldiğini kaydetti.
Saldırganlar, kurumun meşru iç destek birimlerini taklit eden kimliklerle Microsoft Teams sohbetleri oluşturuyor. Sala'nın aktardığına göre saldırganlar; "yardım masası", "BT desteği" veya "destek personeli" gibi profesyonel ve aciliyet hissi uyandıran isimler tercih ediyor.
Sohbet başlatıldıktan sonra kurbanla sesli görüşme yapılıyor. Kendi BT departmanıyla konuştuğunu sanan çalışan, saldırganın yönlendirmeleriyle ya uzaktan kontrol yetkisi veriyor ya da zararlı dosyaları çalıştırıyor.
Saldırganlar kurbanlarla iletişim kurmak için oldukça ısrarcı davranıyor; defalarca deneme yapıyor ve hatta sesli mesajlar bırakıyor. Sala, bağlantı kurulduğunda başarılı sesli oltalama görüşmelerinin 10 ile 15 dakika arasında sürdüğünü belirtti.
Spring Ring'in İki Farklı Saldırı Yöntemi
Araştırmacılar, kurbanla iletişim kurulduktan sonra uygulanan iki ayrı yöntem tespit etti. İlk yöntemde saldırganlar, Windows Quick Assist veya üçüncü taraf RMM yazılımları gibi meşru uzaktan erişim araçlarını kullanarak bilgisayarın kontrolünü ele geçiriyor. Ardından temel sistem ve domain keşfi yapan tehdit aktörü, gizlenmiş bir PowerShell RAT indirmeye çalışıyor; ancak bu faaliyet uç nokta koruma sistemleri tarafından engelleniyor.
İkinci ve daha karmaşık olan yöntem ise doğrudan kurum altyapısını ele geçirmeyi hedefliyor. Saldırganlar, kurbanları bulut altyapısında barındırılan ve kullanıcıya özel olduğu iddia edilen dosyalara yönlendiriyor. Bu dosyaların aslında sistemde kalıcılık sağlayan, gizli bir Microsoft Edge örneği başlatan ve bir eklenti yükleyen çalıştırılabilir dosyalar olduğu ortaya çıkıyor.
Ardından iç ağ keşfine başlayan saldırganlar, NTLM kimlik doğrulama trafiği oluşturuyor. Sala, en tehlikeli aşamanın PetitPotam tabanlı bir NTLM relay saldırısı olduğunu belirtti. Bu saldırı, domain denetleyicisini saldırganın kontrolündeki altyapıya kimlik doğrulamaya zorlayarak tüm domain seviyesinde yetki yükseltmeyi amaçlıyor. Unit 42'nin yönetilen tespit hizmeti, bu ele geçirme girişimini engelledi.
Risk yönetimi firması Hoxhunt'ın kurucu ortağı ve CEO'su Mika Aalto, operasyonun BT destek süreçlerinin nasıl suistimal edildiğini gösterdiğini söyledi. Aalto, saldırganların tek bir hesabı kırmak yerine kimlikleri yöneten sistemlerin peşinden gittiğini belirterek, "Pencereyi kırmak veya yedek anahtarı çalmak yerine doğrudan çilingici hedef alıyorlar. Yardım masası iş akışını kontrol altına alırlarsa, kurumdaki birçok sistemi açan bir anahtar anahtar elde etmiş olurlar" dedi.
Savunma Stratejileri Güncellenmeli
Sala'ya göre Spring Ring, iş birliği platformlarının sosyal mühendislik saldırıları için bir kapı olarak kullanıldığını kanıtlıyor. Saldırganların ileride tüm SaaS (yazılım hizmeti) platformlarında kalıcı yer edinmeye çalışacağı öngörülüyor.
SaaS ekosistemleri içinde faaliyet gösterme yeteneklerinin daha da gelişebileceğini belirten Sala, bu platformların sadece bir giriş noktası olmadığını; hassas belgeler, iş akışları ve iletişim kayıtları içerdiği için saldırı zincirini ilerletmek adına kritik olduğunu vurguladı.
Bu durum, güvenilir SaaS uygulamalarının doğası gereği güvenli olmadığını ve savunma yöntemlerinin evrilmesi gerektiğini gösteriyor. Sala, kimliğin artık temel güvenlik sınırı olduğunu ve günlük iletişim platformlarının birer silaha dönüştürüldüğünü kaydetti.
Çözüm olarak, iş birliği platformları üzerinden gelen istenmeyen dış iletişimler konusunda kullanıcı eğitimine öncelik verilmesi öneriliyor.
Calderone ise bu eğitimin, "bağlantıya tıklama" veya "göndereni kontrol et" şeklindeki geleneksel farkındalık eğitimlerinin ötesine geçmesi gerektiğini savundu. Kurumların, kullanıcıların riskleri gerçekten anlaması için gerçek senaryolar üzerinden eğitimler kurgulaması gerektiğini belirten Calderone, çalışanların tanımadıkları bir BT personelinin aniden ortaya çıkıp program çalıştırmasını istediğinde şüphelenmelerini sağlamak gerektiğini tavsiye etti.
Palo Alto ayrıca, kimlik tabanlı anomalilerin ağ içinde yayılmadan tespit edilebilmesi için kurumların güçlü davranışsal izleme sistemleri kurmasını önerdi.
