Son dönemde, özellikle Ukrayna merkezli kullanıcılar ve kurumlar, sahte destek mesajlarıyla kimlik bilgilerini ele geçirmeye yönelik organize siber saldırıların hedefi haline geldi. Bu saldırılar, kullanıcıları mesajlaşma platformlarının resmi destek botlarıymış gibi görünen SMS mesajlarıyla kandırarak hesap bilgilerini ifşa etmeye zorluyor.
Saldırının Genel Çerçevesi
Bu kampanyada, saldırganlar askeri, politik ve ekonomik açıdan kritik bilgileri ele geçirmek amacıyla kullanıcıların kişisel verilerini ve mesajlaşma hesaplarına erişim bilgilerini toplamaya çalışıyor. Hedefler arasında sadece resmi kurumlar ve kamu figürleri değil, aynı zamanda bireysel Ukraynalı kullanıcılar da bulunuyor. Saldırıların arkasındaki aktörler resmi olarak belirlenmemekle birlikte, benzer yöntemlerle Signal ve WhatsApp kullanıcılarını hedef alan saldırı kümeleri arasında Star Blizzard, UNC5792 (UAC-0195) ve UNC4221 (UAC-0185) gibi Rusya kaynaklı tehdit grupları yer alıyor.
Saldırı Zinciri ve Teknik Detaylar
- İlk aşama: Hedefe sahte destek mesajı gönderilerek kimlik bilgileri talep ediliyor.
- Orta aşama: Kullanıcıların hesap kurtarma anahtarları ve doğrulama kodları ele geçiriliyor.
- Son aşama: Elde edilen bilgilerle hesaplar ele geçirilip, hassas iletişim ve veriler çalınıyor.
Bu saldırıların teknik altyapısında, kimlik avı (phishing) yöntemleri, sosyal mühendislik ve SMS tabanlı oltalama teknikleri kullanılıyor. Ayrıca, bazı vakalarda OYSTERBLUES adlı bilgi hırsızı zararlı yazılımın da dağıtıldığı tespit edildi. Bu zararlı, özellikle devlet kurumlarını hedef alan karmaşık spear-phishing kampanyalarında kullanılıyor.
Siber Güvenlik Ekipleri İçin Öneriler
- Mesajlaşma uygulamalarında aktif oturumları düzenli olarak kontrol edin ve tanımadığınız cihazlardan çıkış yapın.
- İki faktörlü kimlik doğrulamayı (2FA) mutlaka etkinleştirin.
- Tanımadığınız kişilerden gelen QR kodlarını ve bağlantıları taramaktan kaçının.
- Onay kodları, PIN, şifre ve hesap kurtarma anahtarlarını kimseyle paylaşmayın.
- Şüpheli mesajları ve dosyaları açmayın; özellikle bilinmeyen kaynaklardan gelen içeriklere karşı dikkatli olun.
- EDR ve SIEM çözümlerinizde bu tür kimlik avı ve sosyal mühendislik saldırılarına karşı özel kurallar oluşturun.
- Ağ segmentasyonu ve Zero Trust prensipleri ile kritik sistemlerinizi izole edin.
- Olay müdahale süreçlerinizi güncel tutarak, şüpheli aktiviteleri hızlıca tespit edin ve müdahale edin.
Kurumsal Ortamlarda Olası Senaryo
Örneğin, bir finans kurumunda çalışan kullanıcılar, sahte destek mesajlarıyla kimlik bilgilerini ele geçiren saldırganlar tarafından hedef alınabilir. Bu durumda, saldırganlar ele geçirilen hesaplar üzerinden hassas finansal verilere erişim sağlayabilir ve kurumun itibarını zedeleyebilir. Bu tür risklere karşı, kurumların IAM (Identity and Access Management) politikalarını sıkılaştırması ve kullanıcı eğitimlerini artırması kritik önem taşır.