Microsoft Security, Çince dilinde faaliyet gösteren kimlik avı kiti geliştiricileri ve operatörlerini, tek başına bir zararlı yazılım aracı yerine suç faaliyetlerini kolaylaştıran bağlantılı bir altyapı ve hizmet ekosistemi olarak değerlendiriyor. Şirketin Storm-3119 ve Storm-2990 bağlantılı operasyonlara ilişkin gözlemleri; sosyal mühendislik, kimlik avı, hesapların ele geçirilmesi ve depolama kaynaklarının kontrolünün alınması etrafında yoğunlaşıyor.
Tek bir araçtan daha geniş bir hizmet ağı
Microsoft'un değerlendirmesinde öne çıkan ayrım, bu yapının yalnızca saldırıda kullanılan bir yazılımdan ibaret olmaması. Şirket, geliştiriciler ile operatörlerin birbirine bağlı olduğu ve saldırganlara altyapı ile hizmet sağladığı bir ekosistem tarif ediyor. Bu çerçevede kimlik avı kitleri, suç faaliyetlerini mümkün kılan daha geniş bir ağın parçaları olarak ele alınıyor. Microsoft ayrıca söz konusu ekosistemin yalnızca kendi hizmetlerinin kötüye kullanılmasıyla sınırlı olmadığını, diğer sağlayıcılara da uzandığını belirtiyor.
Microsoft'a göre Storm-3119 veya Storm-2990 operasyonlarından kaynaklanan saldırılardan etkilendiği belirlenen kuruluşlar arasında finans, sağlık ve bilgi teknolojileri şirketleri bulunuyor. Bununla birlikte şirket, bu araçları kullanan tehdit aktörlerinin faaliyetlerini yalnızca bu sektörlere özgü görmüyor; kullanılan yaygın saldırı yöntemlerinin herhangi bir kuruluşu etkileyebileceğini vurguluyor. Dolayısıyla Microsoft'un aktardığı sektör örnekleri, saldırıların hedef kapsamını sınırlayan bir liste niteliği taşımıyor.
Saldırıların odağında kullanıcı kararları ve geçerli kimlikler var
Kimlik avından hesap erişimine
Microsoft, Storm-2990 operatörlerinin kullandığı ve gözlemlediği kimlik avı yemlerinin neredeyse tamamında tanıdık dolandırıcılık işaretleri bulunduğunu bildiriyor. Bunlar arasında aciliyet duygusu yaratılması, kısa sürede yapılması istenen görevler ve resmî marka unsurlarıyla sunulan bağlantılara tıklama çağrıları yer alıyor. Şirketin anlatımında saldırganlar, kullanıcıyı iletinin kaynağını sorgulamadan bir işlem yapmaya yönlendirmeye çalışıyor.
Microsoft'un Storm-2990 altyapısıyla ilişkili faaliyetlere yönelik tespit açıklamaları, zararlı bağlantılar içeren e-postalarla yürütülen kampanyaları ve bağlantılı tehdit aktörlerinin ele geçirilmiş hesaplarda oturum açmasını kapsıyor. Şirket, Storm-2990'ın yüksek hacimli kimlik avı ve kimlik bilgisi çalma operasyonlarını kolaylaştırdığını belirtiyor. Koruma önerileri de saldırganların geçerli kimlik bilgileri ile erişim belirteçlerini elde etme amacına odaklanıyor.
Microsoft, Storm-3119 operatörlerinin Global Administrator erişimi elde ettiğinin gözlemlendiğini de aktarıyor. Şirket bu nedenle yalnızca ilk oturum açma aşamasının korunmasını değil, en az ayrıcalık ve Sıfır Güven ilkeleriyle yönetici rollerinin ve kaynak erişimlerinin sınırlandırılmasını öneriyor. Microsoft'a göre bu yaklaşım, ilk erişimi sağlamış saldırganları yavaşlatarak savunma ekiplerine müdahale için zaman kazandırabilir.
İleti doğrulaması ve kullanıcı farkındalığı
Microsoft, acil işlem isteyen bir mesajın gerçekliğinin, mesajı gönderdiği iddia edilen kişi veya kuruluşla doğrulanmasını öneriyor. Şirketin verdiği örnekler arasında mesajdaki bağlantıyı kullanmak yerine bilinen güvenli hesaba doğrudan giriş yapmak ve ilgili kuruluşu doğrudan aramak bulunuyor. Bu öneri, kullanıcıdan istenen görevin görünüşte meşru olduğu durumları da kapsıyor; Microsoft'un yaklaşımında talebin içeriği kadar, hangi kanaldan ve kimden geldiğinin doğrulanması da önem taşıyor.
Microsoft'un farkındalık önerileri, kişisel ve kurumsal bilgilerin sosyal medyada korunmasını, istenmeyen iletişimlerin süzülmesini ve şüpheli faaliyetlerin bildirilmesini içeriyor. Şirket ayrıca hedefli kimlik avı e-postalarındaki ve kullanıcıların ziyaret ettiği siteler üzerinden kurulan tuzaklardaki işaretlerin tanınmasını öneriyor. Oturum açma ekranlarında hangi uygulama için kimlik doğrulaması yapıldığının açıkça gösterilmesine dikkat çeken Microsoft, beklenen uygulamaya giriş yapıldığını onaylatan adımların kimlik avı girişlerinde sıklıkla bulunmadığını belirtiyor.
Microsoft'un önerdiği koruma adımları
- Microsoft, kimlik bilgilerini ve bulut kimliklerini güçlendirmek için geçiş anahtarları gibi parolasız çözümlerin kullanılmasını ve ortam genelinde çok faktörlü kimlik doğrulamanın uygulanmasını öneriyor.
- Microsoft, çok faktörlü kimlik doğrulamanın Koşullu Erişim ilkeleriyle tamamlanmasını tavsiye ediyor. Bu ilkeler, oturum açma isteklerini ek kimlik sinyalleriyle değerlendirmek ve ayrıcalıklı hesaplarda kimlik avına dayanıklı doğrulamayı güçlendirmek için kullanılabiliyor.
- Microsoft, çok faktörlü kimlik doğrulama ve geçiş anahtarı kayıtlarına yalnızca güvenilir konumlardan ve cihazlardan izin verilmesini öneriyor. Böylece koruma yaklaşımı, oturum açma işlemlerinin yanı sıra doğrulama yöntemlerinin kaydedildiği aşamayı da kapsıyor.
- Microsoft, Exchange Online Protection ve Microsoft Defender for Office 365 için önerilen ayarların gözden geçirilmesini; kuruluşların tehdit faaliyetlerini izleme ve bunlara yanıt verme hazırlığını değerlendirmesini tavsiye ediyor.
- Microsoft, Defender for Office 365 Safe Links ilkesinin kurum içindeki alıcıları da kapsayacak şekilde yapılandırılmasını öneriyor. Şirket ayrıca uygulamaların ve kullanıcıların zararlı alan adlarına veya diğer zararlı internet içeriklerine erişmesini engellemek için ağ korumasının etkinleştirilmesini tavsiye ediyor.
Tespit kapsamı e-postadan kimlik davranışlarına uzanıyor
Microsoft'un Storm-2990 altyapısı kullanılarak gerçekleştirildiğini belirlediği faaliyetler için sunduğu tespit kapsamı, yalnızca zararlı e-postaları içermiyor. Şirket; olağandışı seyahat örüntüleri, zararlı IP adresleri, alışılmadık oturum açma özellikleri, şüpheli alan adlarıyla iletişim ve parola püskürtme davranışları gibi sinyalleri de listeliyor. Kullanıcının zararlı bir bağlantıya tıklaması, e-postaların teslimden sonra zararlı bağlantı içerdiği için kaldırılması ve kullanıcıların iletileri kimlik avı olarak bildirmesi de bu kapsamda yer alıyor.
Microsoft'un paylaştığı diğer tespit örnekleri arasında uygulama ve kaynak erişim kombinasyonlarında ani artışlar ile ortak istemci altyapısından gelen anormal oturum açma faaliyetleri bulunuyor. Şirket, Defender ürünlerinin uç noktalar, kimlikler, e-posta ve uygulamalar genelinde tespit, önleme, inceleme ve müdahaleyi bir araya getirdiğini belirtiyor. Bu nedenle Microsoft'un sunduğu savunma yaklaşımı, şüpheli iletinin fark edilmesiyle başlayıp hesap erişimi ve kimlik davranışlarının izlenmesine kadar uzanıyor.
Kaynaklar ve doğrulama
- Microsoft Securityprimary