Microsoft 365 kullanıcılarını hedef alan oltalama kampanyaları, saldırganların sahte giriş sayfaları yerine giderek Microsoft’un meşru kimlik doğrulama altyapısına güvenmesiyle tespit edilmesi giderek zorlaşıyor. Belirtilen new research from Check Point , bu değişim, tehdit aktörlerinin kullanıcıların Microsoft’un hizmetlerine olan güveninden faydalanmasına olanak tanırken, geleneksel olarak oltalama siteleriyle ilişkilendirilen birçok göstergeden kaçınmasına olanak tanıyor.
Sahte giriş sayfaları aracılığıyla kullanıcı adları ve şifreleri çalmaya çalışmak yerine, gözlemlenen kampanyalar Microsoft’un cihaz kodu kimlik doğrulama sürecini kötüye kullanıyor; bu özellik, tam giriş arayüzünü kolayca gösteremeyen veya karmaşık kullanıcı girdisini kabul edemeyen cihazlar için tasarlanmış. Mağdurlar giriş sürecinde gerçek Microsoft alan adlarına yönlendirildiği için, talebi sorgulama olasılıkları daha düşük olur ve sahte web sitelerini tespit etmeye dayanan güvenlik kontrollerinin müdahale etme fırsatları daha az olabilir.
Check Point, saldırganların potansiyel mağdurlarla ilk olarak yasal iş iletişimi gibi görünmek üzere hazırlanmış oltalama e-postaları aracılığıyla iletişim kurduğunu buldu. Alıcılardan bir hesabı doğrulamalarını veya şifrelerini sıfırlamalarını istemek yerine, mesajlar rutin bir kimlik doğrulama adımı gibi görünen süreci tamamlamalarını teşvik ediyor. Mağdur, Microsoft’un gerçek giriş portalı üzerinden bir cihaz kodu girmesi talimatı alır; bu da farkında olmadan saldırganın başlattığı oturuma, kendi cihazıyla ilişkili bir oturum yerine yetkilendirilir.
Onay verildikten sonra, saldırgan hesap şifresine ihtiyaç duymadan mağdurun Microsoft 365 ortamına erişim sağlayan kimlik doğrulama tokenlarını elde edebilir. Verilen izinlere ve hesabın yapılandırmasına bağlı olarak, bu erişim tehdit aktörünün e-postaları görmesi, bulut kaynaklarıyla etkileşim kurması ve verilen tokenlar süresi dolmadan veya iptal edilene kadar erişimi sürdürmesine olanak tanıyabilir.
Araştırma, bu tekniğin geleneksel oltalamadan ne kadar farklı olduğunu vurgulamaktadır. Saldırganlar, sahte bir web sitesini tanıma yeteneğini engellemek yerine, tam olarak tasarlandığı gibi meşru bir özelliği kullanır; bu da saldırının sosyal mühendislik bileşenini teknik aldatmadan çok daha önemli kılar. Sonuç olarak, kullanıcılar karşılaştıkları her sayfanın Microsoft’a ait olması nedeniyle normal bir Microsoft giriş işlemini tamamladıklarını düşünebilirler.
Check Point’e göre, oltalama operasyonlarında güvenilir bulut hizmetlerinin artan kullanımı, siber suçun daha geniş bir evrimini yansıtıyor. Kuruluşlar, sahte alan ve klonlanmış giriş portallarını tespit etme yeteneklerini geliştirdikçe, saldırganlar aynı hedefi elde etmek için meşru platformları ve kimlik doğrulama iş akışlarını giderek kötüye kullanmaya yöneliyor ve tespit olasılığını azaltıyor.
Araştırmacılar, kuruluşların çalışanlar arasında cihaz kodları oltalamasına dikkat çekmelerini ve beklenmedik cihaz yetkilendirmeleri için kimlik doğrulama faaliyetlerini yakından izlemelerini öneriyor. Kullanıcılar, giriş sayfası gerçek bir Microsoft alan alanında barındırılsa bile, istenmeyen bir cihaz kodu girme talepleri aldıklarında dikkatli olmalıdır. Güvenlik ekipleri ayrıca token tabanlı kimlik doğrulama olaylarını incelemeli ve alışılmadık yetkilendirme faaliyetlerini araştırmalıdır; çünkü sahte bir web sitesinin olmaması artık giriş talebinin meşru olduğunu garanti etmiyor.