Saldırganlar Güvenli Görünen Bağlantılarla Microsoft 365 Hesaplarını Hedef Aldı
Siber saldırganlar, tanınmış teknoloji şirketlerinin bağlantı yönlendirme hizmetlerini kullanarak Microsoft 365 kullanıcılarını hedef alan yeni bir oltalama yöntemi geliştirdi. Haziran ve temmuz aylarında yürütülen saldırılarda, Proofpoint ve Intermedia gibi güvenlik şirketlerinin sistemleri istismar edildi.
Güvenilir Bağlantılarla Tehlikeli Sayfalar Maskelendi
Saldırganlar, e-posta güvenlik sağlayıcılarının kullandığı bağlantı sarma (link wrapping) özelliğini kötüye kullandı. Bu özellik, e-posta içindeki bağlantıların yeniden yazılarak güvenli bir alan adıyla değiştirilmesini ve zararlı içeriklere karşı taranmasını sağlıyor. Ancak tehdit aktörleri, bu sistemi tersine çevirerek oltalama amaçlı bağlantılarını yasal görünümlü bir yapıya büründürdü.
Cloudflare’ın E-posta Güvenliği ekibi tarafından yayınlanan rapora göre saldırganlar, daha önce ele geçirdikleri Proofpoint ve Intermedia korumasındaki e-posta hesapları üzerinden bağlantıları gönderdi. Bu yöntemle gönderilen linkler, güvenlik sistemlerini aşarak kullanıcıların oltalama sayfalarına yönlendirilmesini sağladı.
Söz konusu saldırılarda kullanıcılar, sahte sesli mesaj bildirimleri ya da sahte Microsoft Teams belgeleriyle kandırıldı. Bağlantı zincirinin sonunda Microsoft 365 giriş sayfasına benzeyen sahte bir sayfa yer aldı. Kullanıcıların e-posta adresi ve şifre bilgileri bu sahte sayfalarda toplandı.
Intermedia hizmetini kullanan saldırılarda ise “Zix” üzerinden gönderilmiş gibi görünen güvenli mesajlar ya da yeni bir Teams mesajı bildirimi gibi sahte e-postalar yer aldı. Bu bağlantılar, Intermedia’nın yönlendirme sisteminden geçerek Constant Contact platformunda barındırılan oltalama sayfalarına yönlendirme yaptı.
Saldırganlar, oltalama bağlantılarını daha da gizlemek için önce bağlantıları kısalttı ardından bu bağlantıları güvenli görünen e-posta hesaplarından gönderdi. Böylece yönlendirme sistemleri tarafından zararlı olarak algılanmadan geçebildiler. Cloudflare araştırmacıları, bu yöntemle gönderilen bağlantıların güvenilir e-posta altyapısı içinde görünmesi nedeniyle saldırının başarı ihtimalinin arttığını belirtti.
Oltalama saldırılarında yasal hizmetlerin kötüye kullanılması daha önce de görülmüştü. Ancak güvenli bağlantı yönlendirme sistemlerinin doğrudan hedef alınması, bu tür saldırılar açısından yeni bir dönemi başlatmış oldu. Uzmanlar, bu gelişmenin kullanıcıların farkındalığını zorlaştırabileceğine dikkat çekti.
