11:53:20

Microsoft, Rus Destekli “CaptiveCrunch" Siber Saldırısı Konusunda Uyardı

Havaalanları, oteller, konferans merkezleri ve kafeler gibi halka açık alanlarda sunulan ücretsiz Wi-Fi ağları, günlük yaşamın vazgeçilmez bir parçası haline geldi. Ancak bu ağlar, siber suçlular için de giderek daha cazip hedefler oluşturuyor. Microsoft’un yayımladığı yeni güvenlik raporu, sıradan görünen bir Wi-Fi bağlantısının bile kullanıcıların hesaplarını, cihazlarını ve kişisel verilerini riske atabilecek karmaşık bir siber saldırının başlangıç noktası olabileceğini ortaya koyuyor…

Şirket, “CaptiveCrunch" adını verdiği küresel saldırı kampanyasının, Rusya Dış İstihbarat Servisi (SVR) ile bağlantılı olduğu değerlendirilen Storm-2945 grubu tarafından yürütüldüğünü belirtiyor. Araştırmaya göre saldırganlar, özellikle oteller, kongre merkezleri ve iş seyahatlerinde sık kullanılan kablosuz ağ altyapılarını hedef alarak kullanıcıları fark edilmesi son derece zor yöntemlerle tuzağa düşürüyor.

Saldırı Nasıl Gerçekleşiyor?

Pek çok kişi bir otele giriş yaptığında ya da bir konferans salonunda internete bağlanmak istediğinde, önce tarayıcıda açılan bir giriş ekranıyla karşılaşır. “Captive portal" adı verilen bu sayfalarda kullanıcıdan oda numarası, e-posta adresi veya kullanım şartlarını kabul etmesi istenir. Bu yöntem tamamen meşru bir uygulamadır.

Ancak CaptiveCrunch saldırısında siber korsanlar tam da bu güven ilişkisini istismar ediyor.

Microsoft‘un tespitlerine göre saldırganlar, ele geçirdikleri Wi-Fi ağ geçitleri üzerinden DNS ve HTTP trafiğini manipüle ederek kullanıcıları sahte oturum açma sayfalarına yönlendiriyor. Dışarıdan bakıldığında gerçek sistemden ayırt edilmesi oldukça güç olan bu sayfalar, kurbanların Microsoft 365 hesap bilgilerini ele geçirmek veya cihazlarına zararlı yazılım yüklemek amacıyla hazırlanıyor.

Bu saldırıların özellikle iş seyahatine çıkan profesyonelleri, kurumsal çalışanları ve Windows tabanlı dizüstü bilgisayar kullanan kişileri hedef aldığı belirtiliyor.

Kurbanlar Nasıl Kandırılıyor?

Saldırganlar tek bir yöntem kullanmıyor. Bunun yerine, güvenilir görünen farklı senaryolarla kullanıcıların dikkatini dağıtmayı hedefliyor.

Bunlardan biri sahte yazılım güncellemesi uyarıları. Kullanıcılara, internete bağlanabilmek için tarayıcılarını güncellemeleri veya belirli bir güvenlik bileşeni yüklemeleri gerektiği söylenebiliyor.

Başka bir yöntemde ise bağlantının doğrulanması gerektiği iddia edilerek sahte güvenlik kontrolleri gösteriliyor. Daha gelişmiş saldırılarda ise Microsoft hesaplarında kullanılan “cihaz kodu ile kimlik doğrulama" süreci taklit edilerek kullanıcıdan oturum açması isteniyor. Bu yöntem, özellikle kurumsal kullanıcıların alışık olduğu bir doğrulama ekranını taklit ettiği için oldukça ikna edici olabiliyor.

Bu tür saldırıların ortak amacı, kullanıcıyı şüphelenmeye fırsat vermeden kritik bilgilerini kendi isteğiyle paylaşmaya yönlendirmek.

Tehlike Sadece Şifrelerin Çalınması Değil

Microsoft‘un analizine göre saldırının etkisi yalnızca kullanıcı adı ve şifrelerin ele geçirilmesiyle sınırlı değil.

Saldırganlar başarılı olduklarında tarayıcı çerezlerini, kayıtlı parolaları ve oturum belirteçlerini (session token) da çalabiliyor. Bu durum, iki faktörlü kimlik doğrulama kullanan hesapların bile belirli senaryolarda risk altına girmesine neden olabiliyor. Çünkü bazı oturum belirteçleri, kullanıcı yeniden parola girmeden hesabın açık kalmasını sağlayabiliyor.

Daha da önemlisi, kurbanın cihazına CornFlake adlı uzaktan erişim truva atı (Remote Access Trojan – RAT) yüklenebiliyor.

Bu zararlı yazılım saldırganlara şu yetenekleri kazandırabiliyor:

• Klavyede yazılan tuşları kaydetmek,

• Düzenli aralıklarla ekran görüntüsü almak,

• Dosyalara uzaktan erişmek,

• Mikrofon ve kamerayı kontrol etmek,

• Sistemi uzaktan yönetmek.

Başka bir ifadeyle, saldırgan yalnızca hesabınıza değil, bilgisayarınıza da tam anlamıyla erişim sağlayabilir.

Neden Özellikle Microsoft 365 Hedef Alınıyor?

Microsoft 365, dünya genelinde milyonlarca kurum tarafından kullanılan en yaygın üretkenlik platformlarından biri.

Bir çalışanın Microsoft 365 hesabının ele geçirilmesi; e-postalara, bulut depolama alanlarına, şirket belgelerine, toplantı kayıtlarına ve kurumsal ağlara erişim anlamına gelebilir. Bu nedenle siber casusluk faaliyetleri yürüten gruplar için kurumsal kimlik bilgileri son derece değerli hedefler arasında yer alıyor.

Özellikle uluslararası konferanslar, fuarlar ve iş seyahatleri sırasında kullanılan ortak Wi-Fi ağları, aynı anda çok sayıda kurumsal kullanıcının internete bağlanması nedeniyle saldırganlar açısından cazip fırsatlar sunuyor.

Kendinizi Bu Tür Saldırılardan Nasıl Koruyabilirsiniz?

Microsoft‘un önerileri, aslında günlük alışkanlıklarda yapılacak birkaç önemli değişikliğin büyük riskleri ortadan kaldırabileceğini gösteriyor.

Öncelikle internet bankacılığı, kurumsal hesaplara giriş veya hassas veri paylaşımı gibi işlemleri mümkün olduğunca halka açık misafir ağlarında gerçekleştirmeyin. Bunun yerine telefonunuzun mobil erişim noktasını (hotspot) veya doğrudan hücresel veri bağlantısını kullanmanız çok daha güvenlidir.

Wi-Fi ağına bağlandıktan sonra karşınıza çıkan beklenmedik yazılım güncellemeleri, sertifika yükleme istekleri veya tarayıcı yamaları konusunda son derece temkinli olun. Meşru bir otel ağı sizden internet erişimi için tarayıcınızı güncellemenizi ya da ek bir yazılım yüklemenizi istemez.

Adres çubuğunu dikkatle kontrol etmek de önemli bir güvenlik alışkanlığıdır. Beklenmedik yönlendirmeler, olağan dışı alan adları veya HTTPS sertifika uyarıları dikkate alınmalı ve şüpheli görünen sayfalarda kesinlikle oturum açılmamalıdır.

Kurumsal kullanıcılar açısından ise yalnızca bireysel dikkat yeterli değildir. Microsoft; Koşullu Erişim (Conditional Access) ilkelerinin güçlendirilmesini, kimlik avına karşı dayanıklı doğrulama yöntemlerinin kullanılmasını ve ihtiyaç duyulmuyorsa cihaz kodu ile kimlik doğrulama mekanizmasının devre dışı bırakılmasını öneriyor.

Güvenlik Zinciri En Zayıf Halka Kadar Güçlüdür

CaptiveCrunch kampanyası, siber saldırganların artık yalnızca bilgisayarları değil, kullanıcıların günlük alışkanlıklarını da hedef aldığını gösteriyor. Ücretsiz internet erişimi sunan güvenilir görünen bir otel ağı bile, doğru güvenlik önlemleri alınmadığında kurumsal hesapların ele geçirilmesine giden ilk adım olabilir.

Bu nedenle siber güvenlik artık yalnızca antivirüs yazılımı kullanmakla sınırlı değil. Bağlandığınız ağ, ziyaret ettiğiniz web sayfası ve karşınıza çıkan her oturum açma ekranı, dikkatle değerlendirilmesi gereken potansiyel riskler taşıyor.

Özellikle sık seyahat edenler, uzaktan çalışanlar ve kurumsal hesap kullanan profesyoneller için en etkili savunma yöntemi, halka açık Wi-Fi ağlarına varsayılan olarak güvenmemek ve mümkün olduğunca mobil veri bağlantısını tercih etmektir. Basit görünen bu alışkanlık, kimlik bilgilerinizin çalınmasını ve cihazınızın tamamen ele geçirilmesini önleyebilecek en etkili güvenlik önlemlerinden biri olabilir.

Bu içeriği beğendiyseniz lütfen çevrenizle paylaşınız…