Siber Saldırganlar Microsoft'un Kendi Kimlik Doğrulama Sistemini Kullanarak Veri Çalıyor
Siber saldırganlar, geleneksel kimlik avı yöntemlerini terk ederek Microsoft'un kendi kimlik doğrulama sistemini istismar etmeye başladı. Check Point araştırmacıları, Haziran sonu ile Temmuz ortası arasında yaklaşık 120 kurumu hedef alan 200'den fazla zararlı e-posta tespit etti. Bu e-postalar, Microsoft Planner üzerinden gönderilmiş gibi görünen görev atama bildirimleri kullanarak çalışanlarda aciliyet hissi yaratmayı amaçlıyor.
Kullanıcılar e-postadaki bağlantıya tıkladıklarında, tarayıcıları meşru bir login.microsoft çevrimiçi.com sayfasına yönlendiriliyor. Bu durum, URL'nin güvenilir görünmesi nedeniyle kullanıcıların şüphelenmesini engelliyor. Giriş yapıldıktan sonra sistem, kullanıcıdan bir uygulama için izin talep ediyor. Kullanıcı bu izni onayladığı anda, saldırganların kontrolündeki bir AWS API Gateway uç noktasına bir yetkilendirme token'ı gönderiliyor. Saldırganlar bu token'ı kullanarak kurbanın hesabına erişim sağlıyor.
Saldırganların elde ettiği erişim düzeyi, kullanıcının onayladığı izinlere göre değişiklik gösteriyor. Bu yöntemle kötü niyetli uygulamalar; e-postalar, dosyalar, Teams sohbetleri, SharePoint, OneDrive ve takvim verileri dahil olmak üzere kurbanın tüm Microsoft 365 ortamına erişebiliyor. Check Point, bu tekniğin artık bir hizmet olarak kiralanabildiğini ve MITRE ATT&CK çerçevesinde izlenen bir yöntem haline geldiğini belirtiyor.
Güvenlik uzmanları, kullanıcıların bağlantılara tıklamadan önce fare imlecini üzerine getirerek hedef adresi kontrol etmelerini öneriyor. Ayrıca, e-postadaki tüm butonların aynı adrese yönlendirilmesi ve gönderen isminin kurum içi görünmesine rağmen adresin farklı olması, dikkat edilmesi gereken temel uyarı işaretleri arasında yer alıyor.
