Dikkat edin ! Bu Sinsi Microsoft Teams Kimlik Avı Saldırısı Bilgisayarınıza Bulaşabilir

11 Eylül 2023 20:58

Beyza Doğan

Uzmanlar, Microsoft Teams mesajlarının, kullanıcıları kötü amaçlı yazılım içeren bir eki indirmeleri için kandırmak üzere tasarlanmış yeni bir kimlik avı kampanyası için bir vektör olarak kullanıldığı konusunda uyardı.

Kötü amaçlı mesajların, güvenliği ihlal edilmiş birkaç Office 365 hesabından gönderildiği ve “tatil programında değişiklikler” adlı bir ZIP dosyası içerdiği tespit edildi.

Bu dosyaya tıklandığında dosya bir SharePoint URL’sinden indiriliyor. Sıkıştırılmış dosyanın içinde PDF dosyası gibi görünen ancak aslında DarkGate olarak bilinen kötü amaçlı yazılımın yüklenmesine yol açan tehlikeli VBScript içeren bir LNK dosyası bulunmaktadır.

DarkGate
Siber güvenlik firması Truesec, kimlik avı kampanyasıyla ilgili bir soruşturma başlattı ve indirmenin kötü amaçlı yazılımın kodunu almak için Windows cURL’yi kullandığını, betiğin önceden derlendiğini ve tehlikeli öğelerin tespit edilmekten kaçınmak için dosyanın ortasına gizlendiğini tespit etti.
Komut dosyası ayrıca kurbanın uç noktasında popüler antivirüs çözümü Sophos’un yüklü olup olmadığını da kontrol ediyor. Eğer yüklü değilse, ek kodun maskesi kaldırılıyor ve DarkGate çalıştırılabilir dosyasını tetiklemek ve sistem belleğine yüklemek için kabuk kodu başlatılıyor.

Bu, Microsoft Teams mesajlarının endişe kaynağı olduğu ilk olay değildir. Kısa bir süre önce, harici hesaplardan gelen mesajların bir kuruluşun gelen kutusuna alınmasına izin veren bir hata bulunmuştu ki bunun olmaması gerekiyordu. Görünüşe göre bu yeni DarkGate kampanyası da bu açıktan faydalanıyor.

Microsoft bu açığı doğrudan ele almadı; tek yaptığı, kuruluşların Teams’de izin listeleri oluşturarak yalnızca belirli harici kuruluşların kendileriyle iletişim kurmasını sağlamalarını ya da harici iletişimleri tamamen devre dışı bırakmalarını tavsiye etmek oldu.

DarkGate 2017’den beri kullanılıyor, ancak kullanımı sadece bir avuç siber suçlunun belirli hedeflere karşı kullanımıyla sınırlı. Dosyaları, tarayıcı verilerini ve pano içeriklerini çalmanın yanı sıra kriptolama, keylogging ve uç noktaların uzaktan kontrolünü de yapabilen güçlü ve her şeyi kapsayan bir araçtır.

Daha fazla haber için;