Google Takvim Phishing Saldırısı, Oturumları Ele Geçiriyor

Son dönemde, Google Takvim üzerinden gerçekleştirilen bir phishing kampanyası, kurumsal kullanıcıların oturumlarını ele geçirmekte. Bu saldırılar, kullanıcıların güvenlik sinyallerine dayanarak kendilerini güvende hissetmelerine neden olurken, saldırganlar da bu durumu istismar ediyor. Material Security'nin Tehdit Araştırma ekibi, bu kampanyayı tespit ederek saldırganların kullandığı yüzlerce alan adını kapattı ve bu duruma "Operation CloudFire" adını verdi.

Phishing Mesajları ve Yöntemleri

Saldırganlar, Google Takvim davetleri şeklinde gelen mesajlar gönderiyor. Bu davetler genellikle BCC ile iletiliyor ve alıcının daha önce iletişim kurduğu bir organizasyondan geliyor. Mesajların içeriği genellikle sıradan konular içeriyor: sesli mesaj bildirimleri, teklif talepleri, mahkeme çağrıları ve ödenmemiş fatura bildirimleri.

Mesajlardaki bağlantıların çoğu Google'a yönlendirmekte. Saldırganlar, Google'ın kendi URL yönlendiricisini kullanarak gerçek hedefi sorgu parametresi olarak gizlemekte. Bazı durumlarda ise paylaşılan Google Drive dosyaları gibi bağlantılar kullanılıyor. Bu yöntemler, kullanıcıların güvenli bir bağlantıdaymış gibi hissetmelerine neden oluyor.

Oturum Ele Geçirme Yöntemi

Saldırgan, gerçek bir Google giriş sayfasının önünde canlı bir ters proxy çalıştırıyor. Kurban, şifresini girdiğinde, gerçek bir istem alıyor ve onaylıyor. Bu süreçte, saldırgan oturumu gerçek zamanlı olarak izliyor. Sunucu, SMS kodları, kimlik doğrulayıcı kodları ve Google'ın Tap-Yes numara eşleştirmelerini Google'a iletiyor. Bu da ikinci faktör kontrollerinin oturumun ele geçirilmesini engelleyememesi anlamına geliyor.

Saldırının Altyapısı ve Tespit Yöntemleri

Material Security, bu kampanyayı başından itibaren takip etti ve her varyasyonu kaydetti. Saldırganların kullandığı altyapı tasarımı gereği, her bir bileşeni engellemek oldukça kolay. Saldırganlar, genellikle birkaç gün içinde kaydedilen ve hemen kullanıma sunulan sahte alan adları kullanıyor.

Saldırının tespitinde, yalnızca bir güvenlik sinyali yeterli olmuyor. Mesajın teknik göstergeleri, niyeti ve bağlantıların gerçek çözüm noktaları gibi faktörler bir arada değerlendirilerek hareket ediliyor. Ayrıca, takvim davetleri kendi başına bir tehdit yüzeyi olarak ele alınıyor ve kullanıcıların geçmişi bu bağlamda kullanılıyor.

Operation CloudFire ve Sonuçları

Material Security, bu saldırılara karşı önlem almak amacıyla Operation CloudFire'ı başlattı. Bu süreçte, sahte bağlantılar ve arka uç URL'leri analiz edilerek, Cloudflare'ın kötüye kullanım raporlama sistemi üzerinden bildirildi. Cloudflare, bu sahte bağlantıları doğrulayarak, kullanıcıların bu bağlantılara tıkladıklarında bir uyarı almasını sağladı.

Elde edilen verilere göre, Operation CloudFire kapsamında 2,112 benzersiz kötü amaçlı URL analiz edildi ve 8,570 benzersiz tehlikeli gönderen adres tespit edildi. Bu kampanyanın güvenilirliği, her bir sahte adresin daha önce saldırgan tarafından kontrol edilmesiyle sağlandı.

Sonuç olarak, bu phishing kampanyası büyük bir tehdit oluşturmakta ve kullanıcıların dikkatli olmaları gerekiyor. Saldırganların altyapıyı yeniden inşa etme yeteneği, bu tür saldırıların gelecekte de devam edebileceğini gösteriyor.