Siber Saldırganlar Microsoft Teams Üzerinden IT Desteği Taklidi Yapıyor

Arctic Wolf araştırmacıları, kurumsal çalışanları hedef alan yeni bir sosyal mühendislik kampanyasını gün yüzüne çıkardı. Saldırganlar, kurbanların e-posta kutularını yüzlerce abonelik onayı ve bülten ile doldurarak bir kaos ortamı yaratıyor. Hemen ardından, Microsoft Teams üzerinden sahte bir IT destek personeli gibi iletişime geçerek, yarattıkları bu sorunu çözme bahanesiyle kurbanın güvenini kazanmaya çalışıyorlar.

Bu yöntem, Teams platformunun varsayılan olarak açık gelen harici erişim (federasyon) özelliğini istismar ediyor. Bu özellik, farklı Microsoft 365 kiracılarındaki kullanıcıların birbirini bulmasına ve sohbet etmesine olanak tanıyor. Saldırganlar, "helpdeskteam365" veya "itcoreportal" gibi güven veren isimler kullanarak ve bazen şirket içi çalışan gibi görünmek için isimlerine "(Internal)" ibaresi ekleyerek kurbanları kandırıyor. Araştırmacılar, bu sahte kimliklerin oluşturulmasında yapay zeka araçlarının kullanıldığını ve saldırganların artık ücretsiz onmicrosoft.com hesapları yerine.top gibi ücretli alan adlarına yöneldiğini belirtiyor.

İlginizi çekebilir · Siber GüvenlikBatılı Hükümetler Neden Acil Durum Hazırlıklarını Artırıyor

Kurbanın güvenini kazanan saldırganlar, genellikle Teams üzerinden sesli arama başlatarak Quick Assist, AnyDesk veya ScreenConnect gibi uzaktan erişim araçlarını kurduruyor. Kurbanın altı haneli kodu paylaşmasıyla birlikte sistem kontrolü tamamen saldırganlara geçiyor. Bazı vakalarda, kurbanın ilk mesajı gördüğü anda bilgisayarın çoktan ele geçirilmiş olduğu ve kimlik bilgisi hırsızlığı uyarılarının tetiklendiği kaydedildi.

Saldırganlar, Teams üzerinden link paylaşmak yerine, uzaktan erişim oturumu sırasında doğrudan zararlı dosyaları indiriyor. Bir vakada, kurbanın çalıştırdığı bir PowerShell komutu ile arka planda gizli betikler tetikleniyor. Bu betikler, Active Directory üzerindeki tüm kullanıcı ve bilgisayar hesaplarını listeleyen bir Python implantı kuruyor. Süreç, veri hırsızlığı ve fidye yazılımı saldırılarıyla sonuçlanabiliyor. Uzmanlar, kurumların harici sohbetleri yalnızca belirli iş ortağı alan adlarıyla sınırlandırmasını ve uzaktan erişim araçlarının kullanımını yetkili IT personeliyle kısıtlamasını öneriyor.