Black Basta Fidye Yazılımı, Kuruluşlara Sızmak İçin Microsoft Teams’i Kullanıyor
Ünlü fidye yazılım grubu Black Basta, kuruluşların hassas sistemlerine ve verilerine yetkisiz erişim sağlamak için sosyal mühendislik taktiklerini geliştirdi.
Lider siber güvenlik firması ReliaQuest, Microsoft Teams sohbet mesajları ve kötü amaçlı QR kodları kullanarak başlatılan karmaşık bir kampanyayı ortaya çıkardı.
Daha önce e-posta spam’leri ile kullanıcıları bunaltan ve kendilerini meşru yardım masası personeli gibi gösteren Black Basta, artık tekniklerini daha da ileriye taşıdı.
Son olaylarda saldırganlar, Microsoft Teams üzerinden hedef kullanıcılarla iletişim kurarak, sahte Entra ID hesaplarından dış kullanıcıları bu sohbetlere ekliyorlar. Bu dış kullanıcılar, destek, yönetici ya da yardım masası personeli gibi davranarak, hedef kullanıcıları yanıltmak amacıyla dikkatlice seçilmiş ekran isimleri kullanıyorlar.
ReliaQuest’in araştırmasına göre, saldırıların genellikle Rusya’dan başlatıldığı tespit edildi ve Microsoft Teams tarafından kaydedilen zaman dilimi verileri sıklıkla Moskova saatini gösteriyor.
İlginizi çekebilecek yazımız: 6.000’den Fazla WordPress Sitesi Sahte Eklentiler ile Hacklendi
Black Basta, Microsoft Teams’in yanı sıra, QR kodları da oltalama saldırılarına ekledi. Hedeflenen kullanıcılara, sohbetlerde şirketin resmi QR kodları gibi görünen sahte QR kodlar gönderiliyor. Bu QR kodlar, kullanıcılara zararlı yazılımlar yüklemek veya kimlik bilgilerini çalmak için kullanılıyor.
Bu QR kod oltalama faaliyetleri için kullanılan alan adları, hedef alınan kuruluşlara uyacak şekilde özelleştirilmiş olup, alt alan adları belirli bir adlandırma düzenini izlemektedir.
QR kodların kesin amacı henüz net olmasa da, kullanıcıları daha fazla kötü amaçlı altyapıya yönlendirdiği ve ardından gelen sosyal mühendislik teknikleri ile uzaktan izleme ve yönetim (RMM) araçlarının dağıtılması için zemin hazırladığı düşünülmektedir.
Black Basta kampanyası, farklı sektörlerdeki ve coğrafyalardaki kuruluşlar için önemli bir tehdit oluşturmaktadır.
ReliaQuest, grubun faaliyetlerinde endişe verici bir artış gözlemledi. Bir olayda, bir kullanıcı sadece 50 dakika içinde yaklaşık 1.000 e-posta ile bombalandı.
RMM araçları aracılığıyla indirilen kötü amaçlı dosyaların başarılı bir şekilde çalıştırılması, Cobalt Strike sinyallemesine ve ele geçirilen ağlarda Impacket modüllerinin yan hareket (lateral movement) için kullanılmasına yol açtı.
Bu saldırıların nihai hedefinin neredeyse kesinlikle fidye yazılımı dağıtımı olduğu düşünülmektedir.
Önerilen Önlemler
Bu gelişen tehdide karşı mücadele etmek için ReliaQuest aşağıdaki önlemleri tavsiye etmektedir:
- Tespit edilen kötü amaçlı alan adlarını ve alt alan adlarını engellemek
- Microsoft Teams’de dış kullanıcılarla iletişimi devre dışı bırakmak veya yalnızca belirli güvenilir alan adlarına izin vermek
- E-posta güvenlik araçlarında agresif spam karşıtı politikalar oluşturmak
- Özellikle ChatCreated olayını kaydederek Microsoft Teams için günlük kaydını etkinleştirmek, bu da tespit ve soruşturmayı kolaylaştıracaktır
Ayrıca, çalışanların sosyal mühendislik taktiklerine karşı sürekli olarak bilinçli kalmalarını sağlamak için eğitim ve farkındalık programları yürütülmelidir.
Bu dikkat, firewall’lar, izinsiz giriş tespit sistemleri ve düzenli güvenlik denetimlerini içeren çok katmanlı güvenlik önlemleri ile desteklenmelidir.
Black Basta Fidye Yazılımı taktiklerini geliştirmeye devam ederken, kuruluşlar da siber güvenlik çabalarında proaktif olmalıdır. En son tehditler hakkında bilgi sahibi olarak, kapsamlı güvenlik protokolleri uygulayarak ve siber güvenlik farkındalığı kültürünü teşvik ederek, bu sofistike fidye yazılımı saldırılarına karşı riski önemli ölçüde azaltabilirler.
Haber Kaynağı: Cyber Security News
