Kimlik avı için kullanılan yasal SharePoint bildirimlerine dikkat

Siber suçlular artık kullanıcılardan kurumsal kimlik bilgilerini sızdırmak için kimlik avı bağlantılarını ele geçirilmiş SharePoint sunucusundaki dosyaya gizliyor ve bunları yerel bir bildirim mekanizması üzerinden dağıtıyor. Bu tür e-postalar spam filtrelerini atlatmada daha başarılı olmanın yanı sıra, özellikle şirket bu hizmeti kullanıyorsa kullanıcılar açısından daha ikna edici görünüyor.

Günümüz spam filtreleri e-posta mesajının gövdesinde bağlantı olması durumunda hemen her koşulda kimlik avı e-postalarını tespit edebiliyor. Bu nedenle siber suçlular, güvenlik çözümlerini atlatmak için kullandıkları araçları sürekli olarak geliştirme yoluna gidiyorlar. Artık daha önce bilinen yöntemlerde olduğu gibi kimlik avı bağlantılarını SharePoint sunucusuna gizlemiyor, bağlantıları meşru SharePoint bildirimlerini üzerinden dağıtıyorlar. Kaspersky güvenlik çözümleri, 2023’ün başlarında bu şekilde dağıtılan bin 600'den fazla kötü amaçlı bildirimi filtreledi. Siber suçlular Avrupa, Kuzey Amerika ve diğer bölgelerdeki şirketlerden bu yolla veri sızdırmaya çalıştı.

Meşru bildirimler üzerinde yapılan bu hile, teknoloji konusunda uzman çalışanların bile dikkatini dağıtacak ölçüde başarılı. Bildirimler gerçek bir şirketin hizmetlerini taklit ederek gönderiliyor ve özellikle şirketin SharePoint'i günlük rutinin bir parçası olarak kullanması durumunda hiç şüphe uyandırmıyor.

SharePoint bildirimleri aracılığıyla kimlik avı saldırısı nasıl yapılıyor?

Çalışan, birinin kendisiyle bir OneNote dosyası paylaşmak istediğini söyleyen standart bir SharePoint bildirimi alıyor. Son derece doğal ve yasal görünümlü olan bu bildirim, e-posta spam filtresini SharePoint sunucusuna gizlenmiş bir kimlik avı bağlantısına kıyasla daha kolay atlatabiliyor.

Normal bir SharePoint bildirim örneği

Çalışan söz konusu OneNote dosyasını açacağını düşündüğü bağlantıyı takip ediyor. Ancak notun gövdesinde farklı bir dosya türünün (örneğin PDF) büyükçe bir simgesi ve standart bir kimlik avı bağlantısı içeren ikinci bir 'bildirim' yer alıyor.

SharePoint sunucusundaki PDF simgesine sahip kötü amaçlı OneNote dosyası

Bu kimlik avı bağlantısı, kullanıcıyı Microsoft OneDrive oturum açma sayfasını taklit eden bir kimlik avı web sitesine yönlendiriyor. Siber suçlular bunu Yahoo!, AOL, Outlook, Office 365 ve diğerleri gibi çeşitli e-posta hesaplarının kimlik bilgilerini çalmak için de kullanıyor.

Microsoft OneDrive oturum açma sayfasını taklit eden sahte bir web sitesi

Şirketler kendilerini bu saldırılardan nasıl koruyabilir?

 Bu tür oltalama mesajları ikna edici olsa da, çalışanlara açıklanabilecek bir dizi kırmızı bayrakla ayırt edilmeleri mümkün.

Kaspersky Spam Analiz Uzmanı Roman Dedenok, bu konuda şunları söyledi:

""Bu tarz saldırılarda dosyanın da gönderenin de bilinmemesi ilk uyarı olmalı. Çalışma arkadaşlarınız normalde belgeleri sisteme giriş olmadan paylaşmazlar. Yukarıdaki örnekte başka uyarılar da söz konusu. Bildirimde OneNote dosyasına bir bağlantı var ama PDF dosyası sunucuda aniden beliriyor. Ayrıca söz konusu indirme bağlantısı, tıklayanı kurumla veya SharePoint sunucusuyla hiçbir ilgisi olmayan üçüncü parti bir siteye yönlendiriyor. Kimlik avı sitesi, SharePoint ile ilgisi olmayan başka bir Microsoft hizmeti olan OneDrive için oturum açma sayfasını taklit ediyor. Bu tür saldırılara karşı güvende olmak için tüm şüpheli e-postalara dikkatli yaklaşmak ve örnekteki gibi tutarsızlıklara dikkat etmek gerekiyor.” 

Kaspersky blogunda SharePoint bildirimleri ile kimlik avı hakkında daha fazla bilgi bulabilirsiniz. Kaspersky, ayrıca küçük, orta ve büyük ölçekli işletmeleri hedef alan çeşitli kimlik avı tekniklerinden korunmak için aşağıdaki önlemlerin uygulanmasını öneriyor:

"Kimlik avı önleme teknolojilerine sahip güvenlik çözümlerini yalnızca şirketin posta sunucularında değil, tüm çalışanların iş cihazlarında da kullanın.

Personelinize temel siber güvenlik hijyen eğitimi verin. Kimlik avı e-postalarını nasıl ayırt edeceklerini bildiklerinden emin olmak için örnek kimlik avı saldırıları düzenleyin.

Microsoft 365 bulut hizmeti kullanıyorsanız onu da koruma altına almayı unutmayın. "

Hibya Haber Ajansı