Kaspersky, finansal dokümanları işleyen çalışanları amaç alan çok adımlı bir kimlik avı saldırısını keşfetti. Taarruz, hedeflenen çalışanın bir kontrol firmasının yasal adresinden e-posta almasıyla başlıyor.
Bu birinci etkileşim alıcıyı daha az kuşkulu hale getirmeyi amaçlıyor ve bir nevi ana dolandırıcılık faaliyetine geçişi kolaylaştırmak için taban hazırlıyor. Akabinde Dropbox hizmetinden, siber hatalıların kimlik bilgilerini çalmak için tasarladıkları kimlik avı belgelerine dair arşivlere ilişkiler içeren bir bildirim geliyor.
Saldırının birinci adımı, kurbanların legal bir kontrol firmasından geldiği argüman edilen e-postalar almasıyla başlıyor. Bu e-postalar büyük olasılıkla saldırganlar tarafından ele geçirilmiş olan gerçek adreslerden gönderiliyor ve kurbanların gardını düşürmek, onları bir Dropbox arşivi almaya hazırlamak için toplumsal mühendislik taktiklerine yer hazırlıyor.
Saldırının birinci adımı: Mağdur, kelamda “denetçiden” bir e-posta alıyor
Kaspersky Güvenlik Uzmanı Roman Dedenok, şunları söylüyor: “Gönderilen e-posta hem birinci bakışta hem de muhafaza yazılımları açısından legal görünüyor. Posta resmi bir kontrol şirketinin alıcıya bilgi verdiğine dair makul bir kıssa içeriyor ve bâtın bilgilerin paylaşılmasına ait bir feragatname ile tamamlanıyor. Buna ek olarak, e-posta hiçbir irtibat yahut ek içermiyor ve kolay kolay aranabilir bir şirket adresinden geliyor. Bu da bir spam filtresinin tespit etmesini neredeyse imkansız hale getiriyor.”
Bu e-postadaki tek kuşkulu özellik, gönderenin “Dropbox Application Secured Upload” kullanması ki, bu türlü bir hizmet mevcut değil. Dropbox’a yüklenen belgeler parola muhafazalı olsa da daha fazlası yapılamıyor.
Bu e-postanın akabinde failler kurbanlarına resmi bir Dropbox bildirimi gönderiyor. Alıcı iletiye zati karşılık vermeye hazırsa, belgeyi incelemek için ilişkiyi takip etme mümkünlüğü da yüksek oluyor.
Dropbox bildirimi
Bağlantıya tıklandığında, üzerinde bir kimlik doğrulama penceresi bulunan bulanık bir doküman ortaya çıkıyor. Bu doküman, her köşesi makûs niyetli kontağa yönlendiren dev bir buton vazifesi görüyor. Tıklandığında, kullanıcı kurumsal kullanıcı ismi ve şifresini isteyen bir formla karşılaşıyor. Bilgilerini girerse, hepsi siber hatalıların aline geçiyor.
Dropbox’a yüklenen ve kimlik doğrulama isteğini taklit eden makûs maksatlı PDF dosyası
Hedefli olarak kabul edilen bu ataklar Kaspersky tarafından münferit örneklerde gözlemlendi. Hücum şeması Kdaily gönderisinde ayrıntılı olarak açıklandı. Bu üzere hücumlardan korunmak için çalışanların uyarılması ve dikkatli olmaya teşvik edilmesi tavsiye ediliyor. Ayrıyeten aşağıdaki tavsiyeleri de göz önünde tutmakta yarar var:
Kaynak: (BYZHA) Beyaz Haber Ajansı
