Jingle Thief’in Operasyon Yöntemleri ve Teknik Derinlik

Jingle Thief olarak adlandırılan tehdit aktörleri, bulut tabanlı altyapılara yönelik sofistike kimlik avı (phishing) ve kısa mesaj yoluyla kimlik avı (smishing) saldırılarıyla perakende ve tüketici hizmetleri sektörlerindeki organizasyonların Microsoft 365 hesaplarını hedef alıyor. Palo Alto Networks Unit 42 araştırmacıları Stav Setty ve Shachar Roitman’ın analizine göre, grup ele geçirdikleri kimlik bilgileriyle bulut ortamlarında yatay hareket kabiliyeti kazanarak, SharePoint, OneDrive gibi iş süreçlerine dair kritik verilere erişiyor ve hediye kartı çıkarma iş akışlarını manipüle ediyor.

Bu saldırılar sırasında, Jingle Thief’in konteyner tabanlı bulut servislerinde rastgele seçilen SSH portları üzerinden gizli erişim sağladığı, MCP istemcisi benzeri araçlarla ortam keşfi yaptığı ve Pydantic AI destekli otomatik analizlerle hedef sistemlerin zafiyetlerini tespit ettiği gözlemlenmiştir. Ayrıca, AsyncRAT benzeri uzaktan erişim araçları kullanarak kalıcı erişim sağlamakta ve çok faktörlü kimlik doğrulama (MFA) engellerini aşmak için sahte doğrulayıcı uygulamalar kaydederek Entra ID üzerinde cihazlarını yetkilendirmektedirler.

Uzun Süreli Gizli Varlık ve Erişim Yayılımı

Jingle Thief, ele geçirdiği organizasyonlarda bazen bir yılı aşan sürelerle tespit edilmeden kalabiliyor. Bu süre zarfında, gelen kutusu kuralları oluşturarak oltalama e-postalarını otomatik olarak kendi kontrolündeki adreslere yönlendirmekte ve iz bırakmamak için gönderilen e-postaları Silinmiş Öğeler klasörüne taşıyarak delilleri yok etmektedir. Bu yöntemler, grubun tespit edilmesini zorlaştırmakta ve saldırıların ölçeklenebilirliğini artırmaktadır.

Hediye Kartı Dolandırıcılığında Bulutun Rolü

Hediye kartları, az sayıda kişisel bilgi gerektirmesi ve izlenmesinin güç olması sebebiyle dolandırıcılar için cazip bir hedef oluşturuyor. Jingle Thief, bulut ortamlarındaki hediye kartı çıkarma uygulamalarına erişim sağlayarak yüksek değerli kartları minimum kayıt ve adli iz bırakma stratejisiyle üretmekte, ardından bu kartları gri piyasalarda nakde çevirmektedir. Bu süreçte, VPN yapılandırmaları, erişim rehberleri ve sanal makineler gibi altyapı bileşenlerini detaylıca inceleyerek operasyonlarını optimize etmektedir.

Hedefe Yönelik ve Kişiselleştirilmiş Saldırılar

Grup, her kurban için özel olarak hazırladığı oltalama sayfalarıyla Microsoft 365 kimlik bilgilerini çalmaya çalışmakta, ardından ele geçirilen hesaplarla hem iç iletişimleri manipüle etmekte hem de erişimlerini genişletmektedir. Bu kapsamda, BT hizmet bildirimleri veya bilet güncellemeleri gibi meşru görünen e-postalar göndererek kurbanların şüphelenmesini engellemektedir. Ayrıca, özel kötü amaçlı yazılım kullanmak yerine kimlik bilgisi kötüye kullanımına odaklanmaları, tespit edilme risklerini azaltmaktadır.

Unit 42’nin Nisan-Mayıs 2025 döneminde gözlemlediği koordineli saldırı dalgaları, Jingle Thief’in küresel çapta faaliyet gösterdiğini ve Fas kökenli finansal amaçlı bir suç grubu olduğunu ortaya koymaktadır. Bu grubun, CL‑CRI‑1032 kod adıyla takip edilen tehdit kümesi içinde orta düzey güvenle Atlas Lion ve Storm-0539 gruplarına atfedildiği bilinmektedir.