Siber güvenlik şirketi ReliaQuest, ABD'nin birçok şehrinde otel ve konferans merkezlerinin Wi-Fi ağlarını hedef alan sofistike bir kimlik avı kampanyası tespit etti. Saldırganlar, ağ geçitlerine yönetici erişimi sağlayarak, iş seyahatindeki kullanıcıların Microsoft 365 hesaplarına yönelik sahte giriş sayfalarına yönlendirildiğini bildirdi. Kampanyanın en az Haziran ayından bu yana aktif olduğu belirlendi.
DNS Ayarları Değiştiriliyor
Hackerlar, Wi-Fi ağ geçitlerini ele geçirdikten sonra DNS ayarlarını değiştiriyor. Kullanıcılar meşru bir Microsoft giriş sayfasına erişmeye çalıştığında, tarayıcıları saldırganların kontrolündeki sahte bir siteye yönlendiriliyor. Bu sırada cihaz normal şekilde bağlı göründüğü ve diğer web siteleri sorunsuz açıldığı için saldırının fark edilmesi oldukça zorlaşıyor.
Microsoft Terimli Sahte Alan Adları
ReliaQuest'in tespitlerine göre saldırganlar, Microsoft terimlerini içeren en az dört sahte alan adı kaydetti: m365-owa[. ]com, owa-ms365[. ]com, ms365-device[. ]com ve ms365-live[. ]com. Bu sahte sayfalar, kullanıcıların e-posta adreslerini ve şifrelerini topluyor. Ele geçirilen hesaplar, kurumsal e-postalara, belgelere ve bulut hizmetlerine tam erişim sağlayabiliyor.
Çok Faktörlü Kimlik Doğrulama Atlatılıyor
Saldırının en dikkat çekici yönü, çok faktörlü kimlik doğrulamayı (MFA) atlatabilmesi. Bazı vakalarda, saldırganlar daha karmaşık bir cihaz kodu kimlik doğrulama akışı kullandı. Kullanıcı sahte bir sayfada bir yetkilendirme istemiyle karşılaşıyor. Arka planda hacker zaten bir oturum başlatmış oluyor. Kullanıcı isteği onayladığında, Microsoft saldırganın istemcisine geçerli bir OAuth jetonu veriyor. Bu yöntem, onay kullanıcı tarafından yapıldığı için MFA'yı etkisiz hale getirebiliyor.
WPAD İstismarı Girişimleri
ReliaQuest, vakaların yaklaşık üçte birinde saldırganların Web Proxy Otomatik Keşfi'ni (WPAD) istismar etmeye çalıştığını da belirtti. Windows'un ağ proxy ayarlarını otomatik bulmak için kullandığı WPAD protokolü, kötü amaçlı bir proxy yapılandırma dosyasıyla yanıt verilerek istismar edilmeye çalışıldı. Bu girişimlerin başarılı olup olmadığı ise henüz doğrulanmadı.
Uzmanlardan Güvenlik Önerileri
Uzmanlar, özellikle otel ve konferans Wi-Fi ağlarını kullanırken aşağıdaki önlemlerin alınmasını tavsiye ediyor:
- Tam tünelli VPN kullanın: Tüm internet trafiğinizi şifreleyen bir VPN, verilerinizin ele geçirilmesini engeller.
- Mobil hotspot tercih edin: Hassas işlemler için otel ağı yerine kendi mobil verinizi kullanın.
- Giriş adreslerini doğrulayın: Şifrenizi girmeden önce tarayıcı adres çubuğundaki alan adını dikkatlice kontrol edin. Şirket portalınıza giriş için kayıtlı bir yer imi kullanın.
- Cihaz kodu isteklerine dikkat edin: Tanımadığınız bir cihazdan gelen kod onay isteklerini şüpheyle karşılayın. Beklenmedik bir istekle karşılaşırsanız BT departmanınıza danışın.
- Cihazlarınızı güncelleyin: Seyahate çıkmadan önce işletim sistemi, tarayıcı ve güvenlik yazılımlarınızın güncel olduğundan emin olun.
- Güçlü güvenlik yazılımı kullanın: Antivirüs programları, kimlik avı sayfalarını tespit etmede yardımcı olabilir.
ReliaQuest ayrıca şirketlere, Microsoft Entra ID'deki cihaz kodu kimlik doğrulamasını gereksizse devre dışı bırakmalarını ve giriş kayıtlarını anormal etkinlikler açısından düzenli olarak incelemelerini öneriyor.
