Sahte Şirket Kurup Dijital Sertifika Alan Siber Korsanlar Kurumsal Ağları Hedef Alıyor
Siber güvenlik araştırmacıları son dönemin en sıra dışı oltalama saldırılarından birini ortaya çıkardı. Microsoft bünyesinde çalışan güvenlik uzmanlarının yayınladığı rapor, saldırganların kurumsal bilgisayarlara sızmak için alışılmadık bir yöntem kullandığını gösteriyor. Saldırganlar gelişmiş güvenlik açıkları aramak yerine meşru yazılımları taklit eden bağlantılar üzerinden kullanıcıları kandırarak zararlı yazılım dağıtıyor.
Sahte Toplantı Davetleri Kullanıcıları Zararlı Dosyalara Yönlendiriyor
Araştırmacılar saldırı zincirinin genellikle sahte toplantı davetleri içeren e-postalarla başladığını belirtiyor. Saldırganlar hedef kullanıcılara gönderilen mesajlarda PDF belgeleri veya toplantı bağlantıları kullanıyor. Kullanıcı bağlantıya tıkladığında sistem onu popüler uygulamaların güncelleme sayfalarını taklit eden indirme ekranlarına yönlendiriyor. Kullanıcı sahte güncellemeyi indirdiğinde bilgisayara zararlı yazılım yükleniyor.
Saldırganlar oltalama mesajlarında genellikle Microsoft Teams, Zoom, Google Meet ile Adobe Reader gibi yaygın yazılımların adını kullanıyor. Kullanıcı tanıdık uygulama adlarını gördüğünde şüphe duymadan indirme işlemini başlatabiliyor.
Microsoft güvenlik araştırmacıları saldırıda kullanılan zararlı dosyaların dijital olarak imzalandığını belirledi. Araştırmacılar dosyaların TrustConnect Software PTY LTD adlı bir şirket adına alınmış Extended Validation sertifikası ile imzalandığını tespit etti. Extended Validation sertifikaları normal şartlarda sıkı kimlik doğrulama süreçlerinden geçerek veriliyor. Sertifika otoriteleri şirket kimliğini ayrıntılı biçimde doğruladıktan sonra bu sertifikaları onaylıyor.
Güvenlik uzmanları dijital imza taşıyan dosyaların güvenlik sistemlerinde daha yüksek güven puanı elde ettiğini ifade ediyor. Saldırganlar bu sayede zararlı dosyaların güvenlik filtrelerinden daha kolay geçmesini hedefliyor.
Zararlı yazılım indirilen bilgisayarda ilk aşamada kendisini sistem klasörlerine kopyalıyor. Zararlı yazılım Windows servisleri arasında kayıt oluşturarak her sistem açılışında otomatik olarak çalışacak şekilde yapılandırılıyor. Sistem daha sonra kodlanmış PowerShell komutları aracılığıyla uzaktan yönetim araçlarını kuruyor. Araştırmacılar saldırganların ScreenConnect, Tactical RMM ile Mesh Agent gibi araçları kurduğunu belirtiyor.
Kurumsal bilgi işlem ekipleri aynı araçları günlük yönetim süreçlerinde kullandığı için ağ trafiği sıradan yönetim işlemleri gibi görünüyor. Saldırganlar bu yöntem sayesinde kurumsal ağ içinde uzun süre fark edilmeden kalabiliyor.
Sahte Şirket Modeli Zararlı Yazılım Kiralama Hizmetine Dönüştürüldü
Siber güvenlik şirketi Proofpoint tarafından yapılan araştırma saldırının arkasındaki en ilginç ayrıntıyı ortaya çıkardı. Araştırmacılar saldırganların sertifikayı çalmak yerine sahte bir şirket kurduğunu belirledi.
Saldırganlar TrustConnect Software PTY LTD adıyla sahte bir girişim oluşturdu. Saldırganlar şirket için yapay zekâ tarafından hazırlanmış bir web sitesi kurdu. Saldırganlar site içinde uydurma müşteri yorumları ile sahte kullanım istatistikleri yayınladı.
Araştırmacılar saldırganların bu sahte kimlikle Extended Validation sertifikasını yasal süreçten geçerek satın aldığını ortaya koydu. Sertifika otoritesi yapılan başvuruyu inceleyerek onay verdi. Saldırganlar daha sonra sahte şirket sitesini zararlı yazılım kiralama platformuna dönüştürdü. Araştırmacılar saldırganların aylık 300 dolar karşılığında saldırı altyapısını diğer siber suçlulara kiraladığını belirledi.
Araştırmacılar saldırının ortaya çıkmasının ardından güvenlik topluluğunun hızlı şekilde harekete geçtiğini belirtti. Proofpoint araştırmacıları The Cert Graveyard adlı güvenlik araştırma grubuyla birlikte kullanılan EV sertifikasının iptal edilmesini sağladı. Araştırmacılar sertifikanın 6 Şubat tarihinde resmî olarak iptal edildiğini açıkladı. Araştırmacılar iptal işleminin geriye dönük uygulanmadığını belirtti.
Araştırmacılar daha önce imzalanmış zararlı dosyaların sistemlerde hâlâ güvenilir olarak tanınabildiğini vurguluyor. Araştırmacılar saldırganların DocConnect adlı yeni bir zararlı yazılım varyantını test etmeye başladığını da ifade ediyor.
Microsoft güvenlik uzmanları kurumlara indirilen dosyalar konusunda daha dikkatli davranmaları yönünde uyarı yaptı. Güvenlik ekipleri özellikle e-posta bağlantıları üzerinden indirilen yazılımların mutlaka doğrulanmasını öneriyor.
