Hizmet olarak oltalama platformu Bluekit, canlı tarayıcı aktarımıyla iki adımlı doğrulamayı kolayca aşarak kullanıcıların hesap bilgilerini ele geçiriyor.
Ne oldu?
Netcraft güvenlik araştırmacıları tarafından yayımlanan son analizlere göre, popüler bir hizmet olarak oltalama (Phishing-as-a-Service - PhaaS) platformu olan Bluekit, kimlik bilgisi hırsızlığını artırmak amacıyla altyapısına tarayıcılar arası köprü (Browser-in-the-Middle - BitM) özelliklerini ekledi. Geliştirilen bu yeni yöntemle birlikte, platformla ilişkili yaklaşık 70 yeni ana makine adı (hostname) kısa süre önce tespit edilerek saldırı ağının ne kadar hızlı büyüdüğü gözler önüne serildi. Klasik oltalama sayfalarından farklı olarak Bluekit, kurbanın tarayıcı etkileşimlerini doğrudan saldırganın kontrolündeki gerçek bir tarayıcı oturumuna yansıtmak için meşru bir açık kaynaklı JavaScript kütüphanesi olan `rrweb` yazılımını kullanıyor.
Neden önemli?
Bu gelişme siber güvenlik dünyası açısından oldukça kritik bir eşiği temsil etmektedir; zira geleneksel oltalama korumalarını ve statik analiz yapan güvenlik yazılımlarını büyük ölçüde etkisiz kılmaktadır. Saldırganlar, kurbanın karşısına sahte bir kopya sayfa koymak yerine, arka planda çalışan gerçek bir web sayfasının Document Object Model (DOM) yapısını WebSocket üzerinden kurbana aktarır. Bu sayede kurban, karşısında tamamen gerçek ve dinamik bir oturum açma sayfası bulur.
Kullanıcı bu sayfaya giriş yaptığında, girdiği tüm kimlik bilgileri ve en önemlisi iki adımlı doğrulama (MFA) kodları gerçek zamanlı olarak saldırganın kontrolündeki tarayıcıya iletilir. Süreç saldırganın tarafında başarıyla tamamlandığı için, geçerli oturum çerezleri doğrudan ele geçirilir. Böylece siber saldırganlar, hedef hesaba sızmak için ek bir çaba sarf etmeden çok faktörlü kimlik doğrulama duvarını aşmış olurlar. Ayrıca, platformun yapay zeka entegrasyonu ve bot engelleme özellikleri saldırıların tespit edilmesini de ciddi şekilde zorlaştırmaktadır.
Kim veya ne etkileniyor?
Bu saldırı yöntemi, başta iki adımlı doğrulama (MFA) mekanizmaları kullanan kurumsal bulut altyapıları (Microsoft, Google vb.), finansal kurumlar, kripto para borsaları ve e-ticaret platformları olmak üzere tüm internet kullanıcılarını doğrudan tehdit etmektedir. Canlı oturum yansıtma tekniği kullanıldığı için modern web tarayıcılarını kullanan ve oltalama e-postalarına maruz kalan her birey veya kurum bu saldırının potansiyel kurbanı durumundadır. Özellikle kurumsal çalışanların hedef alınması, şirket içi hassas verilere doğrudan erişim sağlanmasına ve büyük ölçekli fidye yazılımı (ransomware) saldırılarına yol açabilir.
Ne yapılmalı?
Gelişmiş tarayıcılar arası köprü (BitM) saldırılarını engellemek adına, kurumların SMS veya tek kullanımlık şifre (OTP) gibi geleneksel MFA yöntemlerinden vazgeçerek FIDO2/WebAuthn tabanlı, alan adına bağlı (domain-bound) donanımsal güvenlik anahtarlarına geçiş yapması elzemdir. Kullanıcılar ise oturum açma işlemleri sırasında klavye veya fare girişlerinde olağandışı gecikmeler veya yavaşlamalar hissettiklerinde işlemi durdurmalı ve tarayıcı adres çubuğundaki alan adını titizlikle kontrol etmelidir. Şirketlerin e-posta güvenlik sistemlerini yapay zeka destekli tehdit analiz araçlarıyla güncellemeleri ve çalışanlara yönelik simüle edilmiş oltalama eğitimlerini sıklaştırmaları da bu yeni nesil tehditlere karşı en etkili savunma hatlarını oluşturacaktır.
**Kaynaklar:**
* BleepingComputer
* Netcraft