Geniş çaplı bir siber suç pazarı, dünya genelinde 1 milyardan fazla oltalama mesajının yayılmasına yardımcı olan bulut altyapısı ve oltalama araç takımları sağladı.
Çince dilli bir oltalama ekosistemi, son dokuz ayda tek başına on binlerce kuruluşa bir milyardan fazla e-posta ve SMS mesajının gönderilmesinin arkasında yer alıyor.
Microsoft Threat Intelligence ve Microsoft Digital Crimes Unit, oltalama kampanyalarını desteklemek için gerekli araç ve altyapıya odaklanan bir siber suç ekosistemine ilişkin araştırma yayımladı. Araştırma, oltalama araç takımı geliştiricilerini, oltalama altyapısı satıcılarını ve bu araç takımlarından üçünün müşterilerini kapsıyor.
Operasyonun altyapı tarafının merkezinde, Microsoft'un Storm-3119 olarak izlediği siber suç pazarı Yam Store yer alıyor. Yam Store birden fazla oltalama araç takımı satıyordu ve belki de en yenilikçi olanı, tehdit aktörlerinin kurbanlara ve otomatik savunmalara daha güvenilir görünen oltalama altyapısı işletmesine olanak tanıyan meşru, süresi dolmuş ya da daha önce kullanılmış kuruluşlara ait Microsoft ve Google alanlarıydı.
Oltalama siber suç ekosistemi son yıllarda önemli ölçüde ivme kazandı. Yeni tehdit aktörlerinin yem oluşturmasını, olası kurbanlara ölçekli mesaj göndermesini ve çalınan veriyi sömürmek için altyapıyı sürdürmesini sağlayan araç takımları ve hizmetlerin akışı bu durumu kolaylaştırdı. Büyük dil modellerinin yükselişi sorunu daha da kötüleştirdi; tehdit aktörleri artık yapay zekâyı ikna edici oltalama siteleri oluşturmak ya da hatasız e-posta yemleri üretmek için kullanabiliyor.
Microsoft ve siber güvenlik firması Resecurity, Yam Store üzerinden CoGUI, Haozi, yani Phoenix olarak da bilinen ve Iron Man System olmak üzere üç oltalama araç takımı tespit etti. Microsoft, bu araç takımlarının arkasındaki geliştiricileri ve çevresindeki faaliyetleri Storm-2990 olarak izliyor. Microsoft'a göre, "Ocak 2026'dan bu yana bu araç takımlarının arkasındaki tehdit aktörleri, dünya genelinde 75 binden fazla kuruluşa bir milyardan fazla oltalama e-postası ve SMS mesajının gönderilmesini kolaylaştırmaktan sorumlu oldu."
Çince Dilli Oltalama Ekosistemi
Microsoft, Yam Store'u Çince dilli bir suçlu ekosisteminin parçası olarak tanımlıyor ve oltalama araç takımı geliştiricilerinin Çince konuşan kişiler olduğunu değerlendiriyor. Şirket, altyapı komisyoncusunu ve oltalama araç takımı operatörlerini farklı ama yakından bağlantılı gruplar olarak izliyor.
Araştırmaya göre bu altyapı daha sonra büyük ölçekli oltalama kampanyalarını desteklemek için kullanan oltalama araç takımı operatörlerine ve diğer müşterilere sağlandı; CoGUI, Haozi ve Iron Man System gibi araç takımları da aynı geniş ekosistem üzerinden pazarlandı.
Üç araç takımı arasında Microsoft özellikle Iron Man System'i vurguladı. Araştırmacılar, Iron Man System'in Avustralya, Japonya, Hindistan ve Amerika Birleşik Devletleri dahil olmak üzere 139'dan fazla ülkeye yönelik 2 bin 335'ten fazla şablondan oluştuğunu söyledi; en fazla oltalama şablonu Amerika Birleşik Devletleri'ne aitti. Yemler yerel yönetim, kolluk kuvvetleri, sağlık, finans, ulaşım ve perakende dahil olmak üzere çeşitli güvenilir marka ve kuruluşları taklit ediyor.
Son hedef, oltalama saldırılarında sık görüldüğü gibi, potansiyel kurbanları sahte bir park cezası ödeme talebi gibi yöntemlerle hassas bilgilerini vermeye ikna etmek.
Araç takımları coğrafi filtreleme, sahte CAPTCHA kapıları, IP adresi engelleme ve izin listeleri, güvenlik araştırmacılarını atlatmak için anti-tespit yapılandırması ve Telegram bot yapılandırması gibi kaçınma teknikleri içeriyor. Telegram, kampanya koordinasyonu için popüler bir tehdit aktörü aracı; Microsoft'a göre araç takımı müşterileri, bir oltalama hedefinin kimlik bilgileri veya doğrulama kodları girme gibi bir yeme işlem yaptığında otomatik bildirim gönderen Telegram botlarını yapılandırabiliyor.
Yam Store'da Satılan Bulut Alanları
Microsoft'a göre Yam Store, yalnızca oltalama araçları değil, aynı zamanda tehlikeye atılmış ya da sahtekarlıkla elde edilmiş Microsoft ve Google bulut ortamlarına dayalı altyapı da satan bir ilk erişim aracısı olarak işlev gördü.
"Yam Store pazaryeri, siber suçlulara meşru, süresi dolmuş ya da daha önce kullanılmış kuruluş numarasına bağlı sahtekarlıkla elde edilmiş Microsoft ve Google alanlarını satın alma platformu sağlıyor; bu sayede aktörler görünürde meşru altyapı kullanabiliyor ve nispeten düşük maliyetle çalışma alanları elde edebiliyor" blog yazısı şöyle devam ediyor: "Storm-3119, süresi dolmuş ortam veya kuruluş adlarını belirlemek için otomasyon kullanıyor ve mevcut tespitleri atlatmaya yardımcı olmak için bunlarla ilişkili meşru müşteri bilgilerini kullanıyor."
Corsica Technologies'te CISO Ross Filipek, Dark Reading'e yaptığı açıklamada, güvenilir bulut hizmetlerinin kötüye kullanılmasının bu araştırmada günlük bir savunmacı açısından en önemli yön olduğunu söyledi.
"Çalışanlara bir bağlantının nereye gittiğini kontrol etmeleri öğretildi, ancak cihaz kodu oltalaması bu protokolü alt üst ediyor çünkü onları gerçek oturum açma sayfalarına yönlendiriyor" dedi. "Eğitim, isteğin çalışan tarafından başlatılıp başlatılmadığını ele almalı ve müdahale ekipleri şifre sıfırlamanın işi bitirdiğini varsaymak yerine verilen erişimi araştırmalı."
AttackIQ'da Adversary Research Team mühendislik yöneticisi Andrew Costis de bulut altyapısı kötüye kullanımının en yakın dikkat gerektiren konu olduğunu vurguladı; "özellikle tehlikeye atılmış ortamları yönetmek için kullanılan uygulama yalnızca erişimi".
"Bir uygulamanın kendi kimliği ve izinleri olabilir ve onu doğrulamak için bir istemci sırrı kullanılır" diye konuştu Costis. "Bir kullanıcının şifresini sıfırlamak, bu ayrı erişimin kaldırılıp kaldırılmadığını ortaya koymaz."
Yam Store Destekli Saldırılara Karşı Savunma
Microsoft'un çalışması yalnızca bir oltalama ekosisteminin tespit edilmesiyle sınırlı kalmadı. Şirket sözcüsü Dark Reading'e yaptığı açıklamada, Microsoft'un Yam Store ile bağlantılı 20 binden fazla kiracıyı devre dışı bıraktığını, bu kiracıların 140 binden fazla kötü amaçlı alan adı etkinleştirilmesini sağladığını ve "aldatıcı hesapları daha iyi tespit etmek, engellemek ve devre dışı bırakmak" için güvenlik önlemlerini güçlendirdiğini söyledi.
"Her müdahale ile yaptığımız gibi, soruşturmadan öğrendiğimiz bilgileri ürünlerimizi ve tespitlerimizi sürekli iyileştirmek için kullanıyoruz" diyen sözcü, "Burada sahtekarlıkla elde edilmiş altyapıyı belirleme yeteneğimizi ve bunun üzerinden çalışan oltalama faaliyetlerini tespit etme becerimizi geliştirdik" ifadelerini kullandı.
Blog yazısında Microsoft, kendi ürünleri için tespitler ve tehlikeye ilişkin göstergeler paylaştı; ayrıca kuruluşlara yönelik bir dizi farkındalık temelli öneride bulundu. Özellikle güvenlik ekipleri, kullanıcıları yaygın oltalama teknikleri konusunda eğitmeli, sosyal medyada kişisel ve iş verilerini nasıl koruyacakları, istenmeyen iletişimi nasıl filtreleyecekleri ve şüpheli faaliyetleri nasıl bildirecekleri konusunda bilgilendirmeli.
Microsoft'a göre, "Storm-2990 operatörlerinin kullandığı oltalama yemleri gözlemlenen vakaların neredeyse tamamında acele, resmi markalı bir bağlantıya tıklama gibi zaman duyarlı görevler de dahil olmak üzere tarifli dolandırıcılık uyarı işaretlerini takip etti." Kullanıcılar, bağlantı üzerinden sağlanan bir oturum açma sayfası kullanılmasa bile, mesajın iddia edilen göndereniyle doğrulamalı, hatta doğrudan kurum veya şirketi aramalı.
