Teknik destek ekibini taklit etme saldırıları Microsoft Teams'i hedef alıyor: meşru araçlardan faydalanılıyor.
Microsoft Teams'te teknik destek kimliğine bürünme saldırıları yeniden başladı. Korsanların saldırılarını gizlemek için meşru araçları nasıl kullandıklarını keşfedin ve kuruluşunuzu korumak için ipuçları alın!
Bilmeniz gereken en önemli şeyler
- Teknik destek sahtekarlığı saldırıları, kötü amaçlı yazılımlarla başlayıp veri çıkarma veya fidye yazılımına kadar ilerleyen ve ADSI gibi yerel araçları yatay hareket için kullanan çok aşamalı bir süreçtir.
- Cozy Bear, FIN7 ve ShinyHunters gibi birden fazla tehdit grubu, Teams tabanlı teknik destek taklit tekniklerini kullanıyor; bunlardan bazıları fidye yazılımı yerine veri hırsızlığına odaklanıyor.
- Microsoft, kullanıcıların farkındalığını artırmayı ve istenmeyen destek iletişimlerini kontrol etmeyi, ayrıca tehditleri etkisiz hale getirmek için Microsoft Defender for Office 365, Güvenli Bağlantılar ve ZAP özelliklerini kullanmayı önermektedir.
Microsoft, Teams üzerinden gönderilen bir mesajla başlayan ve fidye yazılımı bulaşması ve veri hırsızlığıyla sonuçlanan devam eden bir siber saldırı kampanyası konusunda uyarıda bulundu.
Microsoft blogunda yayınlanan yeni ve ayrıntılı bir raporda, bilinmeyen tehdit aktörlerinin, teknik destek personeli gibi davranarak çeşitli şirketlerdeki hedefleriyle Teams sohbeti üzerinden iletişime geçtiği belirtildi.
Saldırganlar, kurbanlarını ekran paylaşımı veya uzaktan izleme ve yönetim araçları aracılığıyla uzaktan erişim izni vermeye zorluyor ve bu izni elde ettikten sonra, kötü amaçlı yazılım indiricileri ve çeşitli diğer zararlı yazılımları yüklemek için kullanıyorlardı.
Teams üzerinden yapılan kimlik avı saldırılarına karşı nasıl korunulur?
Kötü amaçlı yazılım, saldırının yalnızca ilk aşamasıydı. Sonraki aşamalar arasında sunucunun keşfi, güvenlik ve sanallaştırma ürünlerinin bulunması ve "periyodik masaüstü ekran görüntüsü alma" -yani ortamın haritasını çıkarma ve gözetim yapma- yer alıyordu.
Dolandırıcılar daha sonra yerel araçları ve Active Directory Hizmet Arayüzleri (ADSI) sorgularını kullanarak etki alanı hesaplarını, sunucuları ve kullanıcıları listeler ve yatay olarak ilerlemeye başlarlar.
Son aşama, değerli verilerin belirlenmesi ve çıkarılması, ardından fidye yazılımı bulaştırma işlemidir.
Microsoft, faillerin isimlerini vermiyor ve genellikle onları "tehdit unsurları" olarak adlandırıyor. Bu da mantıklı, çünkü "Teams üzerinden sahte teknik destek" tekniği şu anda birden fazla grup tarafından kullanılıyor. Rus grupları Cozy Bear, FIN7 ve Storm-1811 belki de en belirgin örnekler.
Dünyanın en büyük gasp grubu ShinyHunters'ın da kurbanları kandırarak erişim izni almak için Teams'i kullandığı biliniyor, ancak bu grup nadiren şifreleme yazılımı kullanıyor ve bunun yerine yalnızca veri hırsızlığına odaklanıyor.
Saldırganların kim olduğu ve amaçlarının ne olduğu fark etmeksizin, tek bir şey kesin: kurumsal ortamdaki risk hiç bu kadar büyük olmamıştı.
Bu nedenle Microsoft, dahili yardım masası kimlik doğrulama ifadeleri oluşturarak ve çalışanları üçüncü taraf göstergelerini tanımaları konusunda eğiterek kullanıcı farkındalığını artırmayı önermektedir.
Microsoft ayrıca şirketleri , istenmeyen destek taleplerini araştırmaya ve Microsoft Teams ile e-postanın sosyal mühendislik saldırılarına karşı güvenliğini güçlendirmeye çağırıyor . Microsoft şu tavsiyede bulunuyor: “Kötü amaçlı mesajların ve URL'lerin tıklandığı anda etkisiz hale getirilmesini ve teslim edildikten sonra kaldırılmasını sağlamak için Microsoft Defender for Office 365'i Güvenli Bağlantılar ve Sıfır Saat Otomatik Temizleme (ZAP) özellikleriyle kullanın.”
Yoruma kapalı.