Son analizlere göre, Çin bağlantılı Smishing Üçlüsü adlı tehdit aktörleri, 194.000’den fazla kötü amaçlı alan adı kullanarak küresel çapta kapsamlı bir phishing operasyonu yürütüyor. Bu alan adlarının büyük çoğunluğu Hong Kong merkezli Dominet (HK) Limited aracılığıyla tescillenmiş ve ABD bulut altyapılarında, özellikle Cloudflare (AS13335) üzerinde barındırılıyor. Saldırganlar, mobil kullanıcıları sahte ücret ihlali ve paket teslimatı hatası bildirimleriyle kandırarak hassas banka kimlik bilgileri ve doğrulama kodlarını ele geçiriyor.

Operasyonun Teknik Altyapısı ve Yöntemleri

Phishing kitleri, PhaaS (Phishing-as-a-Service) ekosisteminde kritik rol oynayan farklı aktörler tarafından geliştiriliyor ve dağıtılıyor. Bu ekosistemde, veri brokerleri hedef telefon numaralarını sağlarken, spamcılar mesajları ölçekli olarak mağdurlara ulaştırıyor. Ayrıca, canlılık tarayıcıları telefon numaralarının doğruluğunu kontrol ederken, kara liste tarayıcıları phishing alan adlarının tespit edilmesini zorlaştırıyor. İlginç bir şekilde, konteyner tabanlı altyapılar rastgele SSH portları üzerinden yönetiliyor ve MCP istemcisi gibi otomatikleştirilmiş araçlar ile saldırı süreçleri optimize ediliyor.

Hızlı Döngü ve Tespitten Kaçış Stratejileri

Unit 42’nin raporuna göre, alan adlarının %29’u iki gün veya daha kısa süre aktif kalıyor. Bu hızlı alan adı değişimi, tespitten kaçınmak için sürekli yeni kayıtlı alan adları döngüsüne dayanıyor. Ayrıca, AsyncRAT benzeri uzaktan erişim araçları kullanılarak ele geçirilen hesaplar üzerinde ‘ramp and dump’ taktikleriyle borsa fiyatları manipüle ediliyor. Bu yöntemler neredeyse hiç dijital iz bırakmadığı için finansal riskler artıyor.

Küresel Etki ve Hedef Sektörler

Kampanyalar, ABD Posta Servisi (USPS) gibi devlet kurumları başta olmak üzere, bankalar, kripto para borsaları, sosyal medya ve e-ticaret platformlarını taklit ediyor. Rusya, Polonya ve Litvanya gibi ülkelerdeki finansal ve kamu kurumları da hedefler arasında. Özellikle ücretli hizmet tuzakları ve ClickFix gibi CAPTCHA tabanlı kötü amaçlı kod çalıştırma yöntemleri kullanılarak kullanıcılar kandırılıyor. Bu geniş kapsamlı operasyon, merkeziyetsiz yapısıyla her gün binlerce yeni alan adı kaydı yaparak tespit edilmesini zorlaştırıyor.

Bu gelişmeler, siber güvenlik profesyonelleri için tehdit istihbaratında yeni zorluklar yaratırken, saldırıların teknik karmaşıklığı ve ölçeği, savunma stratejilerinin sürekli güncellenmesini gerektiriyor.