Rus siber casusları Google ve WhatsApp girişlerini oltalama tuzağına dönüştürüyor

Bu yöntem, kullanıcıların çok faktörlü kimlik doğrulamadan beklediği korumayı aşabiliyor. Mağdurun parolasını vermesi gerekmeyebilir; bunun yerine bir OAuth uygulamasına izin verebilir, uygulama şifresi oluşturabilir veya yeni bir cihazı hesabına bağlayabilir. Bu işlemlerin her biri saldırgana hesaba meşru görünümlü bir erişim yolu sağlayabilir.

Üç siber casusluk kümesi hangi yöntemleri kullandı?

UNC6293: Kimliğe bürünme, uygulama şifreleri ve OAuth

UNC6293’ün ABD Dışişleri Bakanlığı yetkililerini ve diğer güvenilir kişileri taklit ettiği bildirildi. Kullanılan tuzaklar, hedefleri uygulamaya özel şifreler oluşturmaya ve bunları saldırganlarla paylaşmaya ikna edecek şekilde tasarlandı. Bu tür şifreler, normal ikinci doğrulama isteminin dışında hesap erişimi sağlayabilir. GTIG ayrıca grubun, parolayı doğrudan çalmak yerine yetkilendirilmiş erişim belirteçleri elde etmeye çalışan OAuth onay oltalaması kullandığını açıkladı.

GTIG, UNC6293’ün Google’ın daha önce APT29 olarak bilinen aktör için kullandığı ICE RELIC adlandırmasıyla ilişkilendirilen, ilk erişim odaklı bir alt küme olduğuna orta düzeyde güvenle değerlendirdi.

UNC7005 / STORM-2945: WhatsApp ve çok aşamalı tuzaklar

Microsoft tarafından STORM-2945 olarak da izlenen UNC7005, zaman içinde değişen çeşitli yöntemlere başvurdu:

• WhatsApp cihaz eşleştirme dolandırıcılıkları: Mağdurlar, saldırganın kontrolündeki bir cihazı WhatsApp hesaplarına bağlamaya yönlendirildi.
• Sahte sesli aramalar ve şifreli sohbet davetleri: Bu etkileşimler, kötü amaçlı bir bağlantı veya kod gönderilmeden önce güven oluşturmak için kullanıldı.
• Taklit edilen kurumsal iletişimler: Finlandiya Operasyon Merkezi’ne atıfta bulunan sahte mesajlar, sahte Microsoft giriş sayfalarıyla birlikte kullanıldı.
• OAuth ve kötü amaçlı yazılım: Google OAuth akışları üzerinden belirteç veya hesap erişimi elde edilmeye çalışılırken VIDAR ve ATOMIC bilgi hırsızları da kullanıldı.

UNC7005’in teknikleri ve altyapısı UNC6293’ünkinden farklıydı. Bu nedenle iki küme, hedef profilleri ve meşru kimlik doğrulama akışlarına odaklanmaları örtüşse de ayrı operasyonlar olarak izleniyor.

UNC5976: Savunma hedeflerine yönelik OAuth oltalaması

UNC5976’nın askeri, havacılık ve savunma alanlarında çalışan kişi ve kuruluşlara odaklandığı bildirildi. Hedefler arasında Ukrayna ve Ermenistan’la bağlantılı kişi ve kurumlar da yer aldı. Küme, mağdurların hesaplarına veya verilerine erişim yetkisi vermesini amaçlayan OAuth oltalama saldırıları düzenledi.

Google’ın Rusya bağlantısı değerlendirmesi

GTIG, söz konusu faaliyetlerin genelinde Rusya bağlantısı bulunduğunu yüksek güven düzeyiyle değerlendirdi. Bu, her operasyonel ayrıntının veya kümeler arasındaki ilişkinin aynı kesinlikte kanıtlandığı anlamına gelmiyor; söz konusu ifade bir ilişkilendirme değerlendirmesi niteliğinde.

Raporlarda bazı faaliyetlerle ICE RELIC/APT29 arasında olası bağlantılardan da bahsediliyor. GTIG’nin UNC6293’ü ICE RELIC ile ilişkilendirmesi orta düzeyde güvene dayanıyor. Kümeler, kullandıkları yöntemler ve altyapı birebir aynı olmadığı için ayrı izlenmeye devam ediyor.

Çok faktörlü kimlik doğrulama neden tek başına yeterli değil?

Çok faktörlü kimlik doğrulama, saldırgan bir kullanıcıyı yanlış işlemi onaylamaya ikna ettiğinde etkisiz kalabilir. Beklenmedik bir OAuth izin ekranı, uygulama şifresi oluşturma talebi veya WhatsApp cihaz eşleştirme kodu; ortada parola hırsızlığı olmasa bile hesap ele geçirme girişimi anlamına gelebilir.

Pratik ders şu: Kimlik doğrulama istemleri, tanıdık bir hizmetin içinde göründükleri için otomatik olarak güvenli kabul edilmemeli. Her istem, bir işlem onayı gibi ele alınmalı; işlemi kimin başlattığı ve talebin gerçekten gerekli olup olmadığı ayrıca doğrulanmalı.

Önerilen korunma adımları

GTIG’nin tavsiyeleri, saldırganların hızlandırmaya çalıştığı süreci yavaşlatmaya odaklanıyor:

• Oturum açmadan veya OAuth erişimini onaylamadan önce tarayıcıdaki tam adresi kontrol edin.
• Davet ve talepleri bağımsız kanallardan doğrulayın. Konferans davetleri, sesli aramalar, şifreli sohbet istekleri ve kamu kurumu ya da kuruluşlardan geliyormuş gibi görünen mesajlar için bilinen bir iletişim yöntemi kullanın.
• Uygulama şifrelerini, tek kullanımlık doğrulama kodlarını, QR kodlarını veya cihaz eşleştirme kodlarını kimseyle paylaşmayın. Beklemediğiniz bir giriş ya da OAuth isteğini onaylamayın.
• Bağlı mesajlaşma cihazlarını düzenli olarak gözden geçirin. WhatsApp ve diğer mesajlaşma uygulamalarında tanımadığınız cihazları kaldırın.
• Oltalamaya dayanıklı çok faktörlü kimlik doğrulama kullanın. Kuruluşlar, güvenlik anahtarları veya geçiş anahtarları gibi yöntemlere öncelik vermeli; mümkün olduğunda riskli OAuth uygulamalarını ve uygulamaya özel şifreleri kısıtlamalıdır.

Hassas sektörlerde çalışanlar için temel kural basit: Tanıdık bir marka, gerçek bir giriş sayfası veya hizmetin kendi kimlik doğrulama özelliği, talebin meşru olduğunu tek başına kanıtlamaz. Talebin kendisi ve talebi başlatan kişi ya da kuruluş da doğrulanmalıdır.