ABD ve Avrupa'daki şirketleri hedef alan son EvilTokens kampanyası, e-posta güvenliğinde yeni bir kör noktayı gözler önüne seriyor. 'Ghost phishing' (hayalet kimlik avı) olarak adlandırılan bu teknikte, kötü amaçlı sayfa kurbanın tarayıcısında şifreyi çözüp canlanana kadar gizli kalıyor.
Güvenlik liderleri için risk açık: Geleneksel URL kontrolleri saldırıyı ıskalayabilir; o sırada Microsoft 365 erişimi, hassas veriler ve müdahale süresi tehlikede oluyor.
E-posta Güvenli Görünüyor, Tarayıcı Başka Bir Gerçeği Gösteriyor
Son EvilTokens saldırısı, bir kimlik avı bağlantısının ilk incelemede nasıl masum görünebileceğini, ancak yine de Microsoft 365 hesap ele geçirmeye yol açabileceğini ortaya koyuyor.
Saldırı kiti, Microsoft Device Code Phishing yöntemini kullanarak kurbanları meşru bir Microsoft giriş akışını tamamlamaya ikna ediyor ve farkında olmadan hesaplarına erişim yetkisi vermelerini sağlıyor. Doğrudan şifre çalmaya gerek kalmıyor.
Gerçek saldırı, sayfa tarayıcıda açılana kadar gizli kalıyor. HTML, AES-GCM ile şifreleniyor ve ancak tarayıcı şifreyi çözüp kimlik avı içeriğini DOM'da görüntülediğinde ortaya çıkıyor.
Bu nedenle, statik URL kontrolleri ve ağ düzeyindeki kontroller, çalışanın gerçekte gördüğünü görmeden yalnızca ilk yanıtı yakalayabiliyor. Bu görünürlük açığı şu sonuçlara yol açabiliyor:
- Daha uzun süre Microsoft 365 hesap ele geçirme riski
- Gecikmiş müdahale ve karar alma süreçleri
- Kurumsal e-posta, dosya ve bulut hizmetlerine yetkisiz erişim
- Kıdemli analistlere yönlendirilen daha belirsiz uyarılar
- Daha yüksek soruşturma iş yükü ve operasyonel maliyetler
- İlgili altyapıyı engellemek için eksik kanıt
Ancak saldırının tüm akışı, ANY.RUN Interactive Sandbox içinde ortaya çıkarıldı. Analiz oturumunu inceleyerek tarayıcının neyi gösterdiğini ve ekiplerin bu kanıtları daha hızlı müdahale için nasıl kullanabileceğini görebilirsiniz.
