CTM360’ın yeni analizine göre, işe alım sürecini taklit eden bir kimlik avı kampanyası iki ay içinde 3 binden fazla sahte URL üretti ve özellikle kurumsal hesapları hedef aldı. Kampanya, 14 sektörde faaliyet gösteren 50’den fazla kuruluşun gerçek işe alım süreçlerini ve işe alım uzmanlarını taklit ederek, başta pazarlama çalışanlarını oltaya düşürmeye çalıştı.
İnceleme, saldırının sıradan bir sahte giriş sayfasından ibaret olmadığını; arka planda gerçek zamanlı çalışan, oturumdan oturuma değişen bir altyapı kurulduğunu ortaya koyuyor. Saldırganlar, kurbanları ya Calendly benzeri sahte bir randevu sayfasına ya da markaya özel hazırlanmış sahte bir işe alım portalına yönlendiriyor. Her iki akış da sonunda Google ya da Facebook ile devam et seçeneğine bağlanıyor ve burada Browser-in-the-Browser, yani BitB tekniği devreye giriyor.
Taklit işe alım akışıyla kurulan parola tuzağı
Kampanya, çoğu zaman tanınan bir şirketten gelmiş gibi görünen istenmeyen bir e-posta veya toplantı davetiyle başlıyor. Mesajlarda hedef kişinin mesleki geçmişine atıf yapılıyor, görüşme ya da gayriresmî bir konuşma için zaman ayırması isteniyor. Bu yaklaşım, alıcıya gerçek bir işe alım süreci yürütülüyormuş hissi vermeyi amaçlıyor.
İlk sahte akışta saldırganlar, işveren markasını birebir kopyalayan bir planlama sayfası kullanıyor. Bu sayfada gerçek işe alım uzmanlarına ait isimler, fotoğraflar, unvanlar ve kamuya açık diğer bilgiler yeniden düzenlenerek güven duygusu oluşturuluyor. İkinci akışta ise adaydan tarih ve saat seçmesi, ardından da temel iletişim bilgilerini göndermesi isteniyor. Böylece hedef, daha ileriki aşamalarda kimlik doğrulama ekranına taşınıyor.
Her iki yol da sahte bir giriş penceresinde birleşiyor. CTM360’ın aktardığına göre bu aşamada BitB tekniği kullanılıyor; tarayıcı içinde sahte bir pencere açılıyor, adres çubuğu ve kilit simgesi de bu pencerenin parçasıymış gibi gösteriliyor. Mobil cihazlarda ise aynı düzen tam ekran sahte bir oturum açma sayfası gibi görünebiliyor. Kullanıcı gerçek bir Google ya da Facebook oturumu açtığını sanırken, aslında tarayıcı sayfasının içinde çizilmiş bir arayüzle karşılaşıyor.
Güvenlik araştırmacıları, bu kitin sabit bir parola formu gibi çalışmadığını da ortaya koydu. Svelte ve SvelteKit ile hazırlanmış ön yüz, kurbanı CAPTCHA, kullanıcı adı, parola ve çeşitli iki aşamalı doğrulama adımlarından geçiriyor. Bunlar arasında tek kullanımlık kod, telefon numarası eşleme ve sonek doğrulaması gibi yöntemler de yer alıyor. Tarayıcıya özgü bir oturum kimliği sessionStorage içinde tutulurken, arka uçla sürekli açık kalan Socket.IO kanalı hangi ekranın gösterileceğini belirliyor.
Sayfa, önce trafik filtresi uyguluyor. CAPTCHA kontrolleri ve tarayıcı yeniden yükleme denetimleri, otomatik sistemleri ya da istemedikleri ziyaretçileri ayıklamak için kullanılıyor. Ayrıca kişisel e-posta uzantıları süzülüyor; kampanya yalnızca kurumsal hesaplara ilerliyor. Bu seçim, saldırganların özellikle değerli şirket kimliklerini hedeflediğini gösteriyor.
Kurban giriş bilgilerini yazdıktan sonra saldırganlar bu verileri gerçek servise giriş yapmak için kullanıyor. Ardından aynı MFA isteği sahte sayfada yeniden gösteriliyor ve kurbanın girdiği doğrulama kodu saldırganlara aktarılıyor. Kimlik doğrulama başarılı olursa saldırgan yetkili bir oturum elde ediyor; şüphe oluşmaması için de kurban gerçek Calendly sayfasına yönlendirilebiliyor.
Binlerce alan adı, ortak altyapı ve hızlı yeniden markalama
CTM360’ın bulgularına göre tespit edilen sahte sayfaların yaklaşık yüzde 96’sı Calendly temasını kullanıyor. Bu sayfaların önemli bölümü, saldırganların gerçek sunucularını gizlemek için Cloudflare arkasına alınmış. Markaya özel hazırlanmış sahte işe alım portalında ise 116 farklı host gözlendi.
Kuruluş, bu hostların yüzde 93,1’inin özel olarak ayrılmış ya da kayıtlı hostlar olduğunu belirtiyor. Bunların yüzde 50,9’u AWS EC2 IP adresleri ve aralıkları üzerinde barındırılmıştı. Tekrarlanan hostname’ler ve tekrar kullanılan altyapı, birden fazla sahte sitenin ortak bir kurulum üzerinden yönetildiğine işaret ediyor.
813 adet yinelenen kayıtlı alan adı içinde en çok kullanılan üst seviye alan adı .cfd oldu; oran yüzde 40 olarak ölçüldü. Bunu .com yüzde 25,1 ile, .info yüzde 15,1 ile, .works yüzde 10,5 ile ve .work yüzde 6,3 ile izledi. Bu dağılım, kampanyanın farklı uzantılarla kolayca çoğaltılabildiğini gösteriyor.
Raporda, aynı şablonun işveren adı, işe alım uzmanı kimliği, arka plan görseli, slogan ve kimlik doğrulama sağlayıcısı değiştirilerek kısa sürede yeniden kullanılabildiği de yer aldı. Orijinal akıştaki 30 dakikalık görüşme yapısı korunurken, sistem yalnızca dış görünüşünü değiştirerek yeni bir marka gibi davranabiliyor. Hedeflenen sektörler arasında işe alım, teknoloji, lüks tüketim ve seyahat öne çıktı; bu alanlar, kullanılan markaların yaklaşık yüzde 58’ini oluşturdu.
İşin teknik tarafında bu kampanya, sosyal mühendislik ile oturum kaçırmayı bir araya getiriyor. Saldırganlar kurbanı sahte bir işe alım temasına çekiyor, arka uç ise gerçek servis üzerinde giriş yapıp MFA kodunu da yakalayarak hesabı ele geçirmeye çalışıyor. CTM360’ın analizinde, başarılı kimlik doğrulama sonrasında saldırganın yetkili oturum elde ettiği, kullanıcının ise şüphe oluşmaması için zaman zaman gerçek bir sayfaya yönlendirildiği anlatılıyor.
CTM360, bu tür girişlerin çoğu zaman kurumsal pazarlama hesaplarına uzanabildiğini de belirtti. Kompromize edilmiş pazarlama hesapları reklam platformlarına, şirket sosyal medya profillerine, müşteri verilerine, e-postaya ve başka kritik iş servislerine erişim sağlayabiliyor. Bu nedenle kampanyanın özellikle pazarlama rolleri üzerinde yoğunlaştığı değerlendiriliyor. Kuruluşun bulgularına göre gözlenen hedeflerin çoğunu da pazarlama profesyonelleri oluşturdu.
Haberin merkezindeki BitB tekniği, tarayıcı içinde ayrı bir pencere varmış izlenimi yaratarak sahte kimlik doğrulama ekranını ikna edici hale getiriyor. Kullanıcı tarafında görünen adres çubuğu ve kilit simgesi gerçek tarayıcı bileşeni değil, sayfanın içine gömülü grafiklerden ibaret oluyor. Tarayıcı kontrolleri veya gizlilik bağlantıları da çoğu zaman dekoratif kalıyor; sayfa gerçek bir oturum penceresi gibi davranıyor ancak tarayıcı sekmesinin dışına taşamıyor.
CTM360’ın raporu, bu yöntemin tek seferlik bir oltalama düzeni değil, ölçeklenebilir bir kimlik saldırısı altyapısı olduğunu gösteriyor. Aynı şablon, farklı işveren adları ve farklı giriş sağlayıcılarıyla yeniden markalanabiliyor; böylece saldırganlar çok sayıda sahte işe alım senaryosu üretebiliyor. Kampanyanın iki ayda 3 binden fazla URL’ye ulaşması da bu üretim hızını ortaya koyuyor.
Rapor, şüpheli bir işe alım daveti alanların şirketin resmî kariyer kanalını bağımsız biçimde kontrol etmesi gerektiğini de hatırlatıyor. Gerçek bir Google oturumu accounts.google.com üzerinden açılırken, BitB saldırısında görünen adres çubuğu ve kilit simgesi sadece web sayfasının parçası olarak gösteriliyor. Araştırmacılar, parola yöneticisinin beklenen alan adını tanımaması ya da otomatik doldurma yapmamasının da uyarı işareti olabileceğini belirtiyor.
Kuruluşlar için önerilen teknik yaklaşım, oltalama dayanımı yüksek kimlik doğrulama yöntemleri kullanmak. Passkey ve donanım destekli WebAuthn gibi mekanizmalar bu gruba giriyor. Ayrıca taklit işe alım alan adlarının izlenmesi, şüpheli işe alım e-postalarıyla olağan dışı giriş denemeleri ya da yeni oturumların ilişkilendirilmesi de raporda öne çıkan başlıklar arasında yer alıyor.
Şüpheli bir işe alım sayfasına kimlik bilgisi ya da MFA kodu girenlerin ise ilgili parolayı hemen değiştirmesi, aktif oturumları ve token’ları iptal etmesi, giriş hareketlerini, posta kutusu kurallarını ve OAuth izinlerini incelemesi gerektiği aktarılıyor. CTM360’ın RecruitTrap adını verdiği kampanya, tanıdık görünen bir iş fırsatının nasıl ölçekli bir kimlik saldırısına çevrilebildiğini gösteren son örneklerden biri oldu.
Raporun tam sürümünde, sahte tarayıcı penceresinin güven duygusu yarattığı, canlı çalışan arka ucun ise bu güveni parola hırsızlığı, MFA aktarımı ve hesap ele geçirme zincirine dönüştürdüğü anlatılıyor.