Google, Çin merkezli hacker gruplarının geliştirdiği ve yönettiği Lighthouse adlı Phishing-as-a-Service (PhaaS) platformuna karşı kapsamlı bir hukuk savaşı başlattı. Bu platform, E-ZPass, USPS gibi güvenilir kurumların isimlerini kullanarak, sahte geçiş ücretleri ve paket teslimatı bildirimleri içeren SMS oltalama (smishing) saldırıları düzenliyor. Kullanıcıları zararlı bağlantılara yönlendiren bu saldırılar, son üç yılda yasa dışı yollarla 1 milyar dolardan fazla gelir elde edilmesini sağladı.

Lighthouse ve PhaaS Ekosisteminin Teknik Yapısı

Lighthouse, Darcula ve Lucid gibi diğer PhaaS platformlarıyla birlikte, Çin merkezli Smishing Triad adlı organize bir siber suç grubunun kullandığı gelişmiş bir altyapının parçası. Bu platformlar, Apple iMessage ve Google Messages’ın RCS protokolü üzerinden binlerce smishing mesajı göndererek kullanıcıların finansal bilgilerini hedef alıyor. Özellikle, MCP istemcisi ve AsyncRAT benzeri uzaktan erişim araçlarıyla entegre çalışan altyapı, saldırganlara gerçek zamanlı kontrol imkanı sunuyor. Ayrıca, saldırı sunucuları konteyner teknolojisi kullanılarak rastgele SSH portları üzerinden erişilebilir hale getirilerek tespit edilmesi zorlaştırılıyor.

Sahte Web Siteleri ve Marka Kötüye Kullanımı

Google’ın Genel Hukuk Danışmanı Halimah DeLaine Prado, en az 107 farklı web sitesi şablonunda Google markasının giriş ekranlarının taklit edildiğini belirtti. Bu sahte siteler, kullanıcıları meşru hizmetlere giriş yaptıklarına inandırmak için özel olarak tasarlanmış. Racketeer Influenced and Corrupt Organizations (RICO) Yasası, Lanham Yasası ve Bilgisayar Dolandırıcılığı ve Suistimali Yasası kapsamında açılan davalarla, bu altyapının çökertilmesi hedefleniyor.

Geniş Hedef Yelpazesi ve Küresel Etki

Netcraft tarafından Eylül 2023’te yayımlanan rapora göre, Lighthouse ve Lucid platformları 74 ülkeden 316 farklı markayı hedef alan 17.500’den fazla oltalama alan adıyla ilişkilendirildi. Bu oltalama şablonları, haftalık 88 dolardan yıllık 1.588 dolara kadar lisanslanabiliyor. İsviçreli PRODAFT şirketinin Nisan 2023 raporu, Lighthouse’un XinXin grubundan bağımsız çalışmasına rağmen Lucid ile altyapı ve hedefleme kalıplarında yüksek uyum gösterdiğini ve PhaaS ekosisteminde iş birliği ve yenilik eğilimini ortaya koyduğunu vurguluyor.

Çalınan Kart Bilgileri ve Dijital Cüzdanlara Entegrasyon

2023 Temmuz ile 2024 Ekim arasında Çinli smishing çetelerinin ABD’de 12,7 milyon ile 115 milyon arasında ödeme kartı bilgisi ele geçirmiş olabileceği tahmin ediliyor. Son dönemde, Ghost Tap gibi gelişmiş araçlar kullanılarak çalınan kart bilgileri iPhone ve Android cihazlardaki dijital cüzdanlara ekleniyor. Bu durum, finansal dolandırıcılıkların boyutunu ve karmaşıklığını artırıyor.

Unit 42 Raporu ve Kötü Amaçlı Alan Adları

Palo Alto Networks Unit 42’nin Ocak 2024 raporu, Smishing Triad’ın 194.000’den fazla kötü amaçlı alan adı kullandığını ve bankalar, kripto para borsaları, posta ve teslimat hizmetleri, polis güçleri, devlet kurumları ve elektronik geçiş sistemleri gibi çok çeşitli sektörleri taklit ettiğini ortaya koydu. Bu alan adları, Pydantic AI destekli otomatik şablon oluşturma sistemleriyle hızla çoğaltılıyor ve saldırıların ölçeği sürekli büyüyor.

Analiz: PhaaS Platformlarının Siber Güvenlikte Yükselen Tehdidi

Lighthouse ve benzeri PhaaS platformları, siber suç dünyasında endüstriyel ölçeğe ulaşan yeni nesil tehditler olarak öne çıkıyor. MCP istemcisi ve AsyncRAT benzeri araçların entegrasyonu, saldırganlara esnek ve uzaktan yönetilebilir altyapılar sunuyor. Ayrıca, konteyner tabanlı dağıtımların rastgele SSH portları üzerinden erişilebilir olması, güvenlik araştırmacılarının tespit ve müdahale süreçlerini zorlaştırıyor. Bu durum, siber güvenlik profesyonellerinin saldırı yüzeyini daraltmak için daha gelişmiş tehdit istihbaratı ve otomatik analiz araçlarına yönelmesini gerektiriyor.

Google’ın yasal adımları, bu tür PhaaS platformlarının altyapılarına doğrudan müdahale ederek etkilerini azaltmayı amaçlasa da, teknik olarak saldırganların yeni yöntemler geliştirmesi bekleniyor. Bu nedenle, CVE-2023-XXXX gibi kritik güvenlik açıklarının kapatılması ve RCS protokolü üzerinden gelen mesajların daha sıkı filtrelenmesi önem taşıyor. Daha fazla teknik detay ve güncel zafiyetler için NIST Ulusal Güvenlik Açığı Veritabanı incelenebilir.