Kaspersky, Microsoft’un kimlik doğrulama süreçlerini taklit eden yeni oltalama saldırısını ortaya çıkardı.
Şirketten yapılan açıklamaya göre, Kaspersky, saldırganların Microsoft’un kimlik doğrulama mekanizmasını kötüye kullandığı bir oltalama (phishing) kampanyasına ilişkin yeni bir rapor yayımladı.
Nisan başından mayıs ortasına kadar süren kampanyada, bir hukuk firmasından gönderilmiş izlenimi verilen mesajlarla kullanıcıların kimlik bilgilerinin ele geçirilmesi ve verilerine erişim sağlanması hedeflendi.
Microsoft’un OAuth 2.0 Device Authorization Grant (Cihaz Yetkilendirme Akışı) adı verilen kimlik doğrulama mekanizması, akıllı televizyonlar gibi doğrudan giriş yapmanın güç olduğu cihazlarda kullanıcıların Microsoft hesaplarında oturum açmasına olanak tanıyor.
Bu yöntemde kullanıcılar, akıllı telefon veya bilgisayar gibi başka bir cihaz üzerinden doğrulama kodu girerek ya da QR kodunu tarayarak hesaplarına erişebiliyor.
Saldırganlar ise söz konusu süreci kötüye kullanarak hesapları ele geçirebiliyor ve çaldıkları yenileme belirteçleri sayesinde erişimlerini sürdürebiliyor.
Saldırı kapsamında mağdurlara, bir hukuk bürosundan gönderilmiş izlenimi veren ve ekinde parola korumalı bir PDF dosyası yer alan e-postalar iletiliyor.
Siber saldırganlar tarafından yapılandırılan URL parametreleri, kullanıcıyı Microsoft sayfasını açtıktan hemen sonra oltalama kaynağına aktarıyor.
RESMİ PLATFORMLARDA BİLE DİKKAT ETMEK GEREKİYOR
Siber saldırganlar oltalama sayfasında, güvenlik tehditlerini denetleyen güvenlik tarama botlarını filtrelemek amacıyla farklı yöntemler kullanıyor. Birden fazla CAPTCHA doğrulama adımı kullanılması, bu amaç için başvurulan muhtemel yöntemler arasında yer alıyor.
Kodun girilmesinin ardından çok faktörlü kimlik doğrulama süreci tamamlanırken, saldırganlar oturum belirteçlerinin kontrolünü ele geçiriyor.
Yöntemle saldırganlar, mağdurun e-posta kutusundaki iletileri okuyup gönderebiliyor, OneDrive’daki dosyaları dışarı aktarabiliyor ve Teams görüşmelerine erişebiliyor.
Açıklamada görüşlerine yer verilen Kaspersky Anti-Spam Uzmanı Roman Dedenok, siber saldırganların hassas verilere erişmek için meşru araçları da birer silaha dönüştürebildiğine dikkati çekerek, şunları kaydetti:
“Bu nedenle kullanıcıların yalnızca şüpheli siteleri ziyaret ederken değil, resmi platformlarda gezinirken de son derece dikkatli olmaları gerekiyor. Kurumsal güvenlik ekiplerinin, Cihaz Kodu Akışı (Device Code Flow) mekanizmasının şirket altyapısındaki iş gereksinimini değerlendirmelerini öneriyoruz. Bu kimlik doğrulama yöntemi günlük operasyonlar için elzem değilse, devre dışı bırakılmalıdır.”
