Saldırının Genel Çerçevesi
Yakın zamanda ortaya çıkan yeni bir kötü amaçlı yazılım, e-ticaret platformlarından ödeme verilerini çalmak için WebRTC (Web Real-Time Communication) veri kanallarını kullanıyor. Bu yöntem, geleneksel HTTP istekleri veya resim işaretçileri (image beacons) yerine, WebRTC üzerinden doğrudan veri aktarımı yaparak güvenlik duvarları ve içerik güvenlik politikalarını (CSP) aşmayı başarıyor. Böylece saldırganlar, ödeme kartı bilgileri gibi kritik verileri daha gizli bir şekilde dışarı aktarabiliyor.
Saldırı Zinciri ve Teknik Detaylar
Bu skimmer varyantı, genellikle e-ticaret sitelerinin ödeme sayfalarına yerleştirilen zararlı JavaScript kodları aracılığıyla çalışıyor. Saldırı zinciri şu adımlardan oluşuyor:
- Enfeksiyon: Zararlı kod, üçüncü taraf reklam ağları veya tedarik zinciri saldırıları yoluyla ödeme sayfalarına enjekte ediliyor.
- Veri Toplama: Kullanıcıların ödeme formuna girdiği kart bilgileri, JavaScript tarafından yakalanıyor.
- Veri Aktarımı: Çalınan veriler, WebRTC veri kanalları üzerinden doğrudan saldırganın kontrolündeki sunucuya gönderiliyor. Bu yöntem, CSP ve geleneksel ağ güvenlik önlemlerini atlatıyor.
MITRE ATT&CK matrisinde bu saldırı, Exfiltration Over Alternative Protocol (T1048.003) kategorisine giriyor. WebRTC veri kanallarının kullanılması, standart HTTP ve HTTPS trafiğinden farklı olduğu için birçok EDR ve SIEM sistemi tarafından gözden kaçabiliyor.
Hangi Sistemler Risk Altında?
Özellikle e-ticaret platformları ve ödeme altyapısı kullanan SaaS hizmetleri bu saldırıdan etkileniyor. Türkiye dahil olmak üzere global ölçekte faaliyet gösteren online perakendeciler, ödeme sayfalarının güvenliğini artırmazsa bu tür skimmer saldırılarına maruz kalabilir. Ayrıca, WebRTC destekleyen tüm web uygulamaları için potansiyel risk söz konusu.
Siber Güvenlik Ekipleri İçin Öneriler
- WebRTC trafiğini özel olarak izleyen ve anormal veri aktarımını tespit eden gelişmiş ağ izleme araçları kullanın.
- İçerik Güvenlik Politikası (CSP) kurallarını WebRTC veri kanallarını da kapsayacak şekilde güncelleyin.
- Ödeme sayfalarında üçüncü taraf scriptlerin kullanımını minimize edin ve güvenilir kaynaklarla sınırlandırın.
- EDR çözümlerinde WebRTC tabanlı veri sızıntısı tekniklerine karşı özel kurallar oluşturun.
- Olay müdahale (incident response) planlarınızı WebRTC kaynaklı veri sızıntılarını kapsayacak şekilde güncelleyin.
- Çok faktörlü kimlik doğrulama (MFA) ve ağ segmentasyonu ile ödeme altyapısını koruyun.
- Loglama sistemlerinde WebRTC bağlantılarına dair detaylı kayıt tutun ve anormallikleri düzenli analiz edin.
- Personel ve kullanıcılar için e-posta güvenliği ve sosyal mühendislik farkındalığı eğitimlerini artırın.
Kurumsal Senaryo: E-Ticaret Sitesinde Riskler
Bir e-ticaret sitesi, ödeme sayfasına entegre ettiği üçüncü taraf reklam veya analiz scriptleri aracılığıyla bu skimmer saldırısına maruz kalabilir. Saldırgan, WebRTC veri kanalları üzerinden ödeme kartı bilgilerini dışarı aktarırken, standart HTTP trafiği üzerinden yapılan güvenlik kontrolleri bu hareketi fark edemeyebilir. Bu durum, hem müşteri güvenini zedeler hem de yasal yaptırımlara yol açabilir.
Bu nedenle, ödeme altyapısında kullanılan tüm scriptlerin düzenli olarak denetlenmesi, WebRTC trafiğinin izlenmesi ve kapsamlı olay müdahale süreçlerinin uygulanması kritik öneme sahiptir.