Kaspersky, Microsoft'un kimlik doğrulama süreçlerini taklit eden yeni oltalama saldırısını ortaya çıkardı.

Şirketten yapılan açıklamaya göre, Kaspersky, saldırganların Microsoft'un kimlik doğrulama mekanizmasını kötüye kullandığı bir oltalama (phishing) kampanyasına ilişkin yeni bir rapor yayımladı.

Nisan başından mayıs ortasına kadar süren kampanyada, bir hukuk firmasından gönderilmiş izlenimi verilen mesajlarla kullanıcıların kimlik bilgilerinin ele geçirilmesi ve verilerine erişim sağlanması hedeflendi.

Microsoft'un OAuth 2.0 Device Authorization Grant (Cihaz Yetkilendirme Akışı) adı verilen kimlik doğrulama mekanizması, akıllı televizyonlar gibi doğrudan giriş yapmanın güç olduğu cihazlarda kullanıcıların Microsoft hesaplarında oturum açmasına olanak tanıyor.

Bu yöntemde kullanıcılar, akıllı telefon veya bilgisayar gibi başka bir cihaz üzerinden doğrulama kodu girerek ya da QR kodunu tarayarak hesaplarına erişebiliyor.

Saldırganlar ise söz konusu süreci kötüye kullanarak hesapları ele geçirebiliyor ve çaldıkları yenileme belirteçleri sayesinde erişimlerini sürdürebiliyor.

Saldırı kapsamında mağdurlara, bir hukuk bürosundan gönderilmiş izlenimi veren ve ekinde parola korumalı bir PDF dosyası yer alan e-postalar iletiliyor.

Dosyayı açıp parolayı giren kullanıcılar, çeşitli belgelerin listelendiği bir internet sayfasına yönlendiriliyor. Belgeleri görüntülemek isteyen kullanıcıların verilen bağlantıya tıklaması isteniyor.

Siber saldırganlar tarafından yapılandırılan URL parametreleri, kullanıcıyı Microsoft sayfasını açtıktan hemen sonra oltalama kaynağına aktarıyor.

"Kullanıcıların resmi platformlarda gezinirken de dikkatli olması gerekiyor"

Siber saldırganlar oltalama sayfasında, güvenlik tehditlerini denetleyen güvenlik tarama botlarını filtrelemek amacıyla farklı yöntemler kullanıyor. Birden fazla CAPTCHA doğrulama adımı kullanılması, bu amaç için başvurulan muhtemel yöntemler arasında yer alıyor.

Kullanıcı doğrulamaları tamamladıktan sonra, tek kullanımlık bir kodu kopyalamasının istendiği son sayfaya yönlendiriliyor. Siber saldırganlar burada, kendi taraflarında başlattıkları oturum açma işlemi sırasında önceden elde ettikleri doğrulama kodunu, tıklaması için kullanıcıya gösteriyor.

Kullanıcının ekranda gösterilen koda tıklamasıyla kod otomatik olarak panoya kopyalanırken, kullanıcı eş zamanlı olarak Microsoft'un resmi kimlik doğrulama sayfasına yönlendiriliyor. Bu aşamada kullanıcıdan kopyalanan kodu ilgili alana yapıştırması isteniyor.

Kodun girilmesinin ardından çok faktörlü kimlik doğrulama süreci tamamlanırken, saldırganlar oturum belirteçlerinin kontrolünü ele geçiriyor.

Yöntemle saldırganlar, mağdurun e-posta kutusundaki iletileri okuyup gönderebiliyor, OneDrive'daki dosyaları dışarı aktarabiliyor ve Teams görüşmelerine erişebiliyor.

Açıklamada görüşlerine yer verilen Kaspersky Anti-Spam Uzmanı Roman Dedenok, siber saldırganların hassas verilere erişmek için meşru araçları da birer silaha dönüştürebildiğine dikkati çekerek, şunları kaydetti:

"Bu nedenle kullanıcıların yalnızca şüpheli siteleri ziyaret ederken değil, resmi platformlarda gezinirken de son derece dikkatli olmaları gerekiyor. Kurumsal güvenlik ekiplerinin, Cihaz Kodu Akışı (Device Code Flow) mekanizmasının şirket altyapısındaki iş gereksinimini değerlendirmelerini öneriyoruz. Bu kimlik doğrulama yöntemi günlük operasyonlar için elzem değilse, devre dışı bırakılmalıdır."