Microsoft uyardı: Oteller, Calendly üzerinden gelen "fotoğraf" ZIP'leriyle hedef alınıyor

Microsoft Defender güvenlik araştırma ekibi, Nisan 2026'dan beri otelcilik sektörünü hedef alan aktif ve çok aşamalı bir saldırı kampanyasını 25 Haziran'da kamuoyuyla paylaştı. Microsoft, faaliyetin Avrupa ve Asya'daki birden fazla kurumda gözlendiğini belirtiyor.

Resepsiyona "misafir şikâyeti"

Oltalama e-postaları "Booking Manager (via Calendly)" görünen adıyla geliyor; konu satırları Japonca, Danca ve Felemenkçe gibi farklı dillerde yazılmış. Misafir şikâyeti, tahtakurusu bildirimi, oda talebi ve yorum isteği gibi temalar aciliyet ve itibar kaygısı üzerinden personeli harekete geçirmeye çalışıyor. Hedef alınan hesap adlarının resepsiyon ve rezervasyon gibi ek dosyalarla sık uğraşan birimlere ait olduğu görülüyor.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

"Kimlik doğrulama aklama"

Kampanyanın en dikkat çeken yanı, e-postaların Calendly'nin bildirim altyapısı üzerinden iletilmesi. Microsoft'a göre bu iletiler yetkili gönderim altyapısından çıktığı için SPF, DKIM ve DMARC kontrollerinden geçiyor. Şirket bu tekniğe "authentication laundering" (kimlik doğrulama aklama) adını veriyor ve bu kontrollerden geçmenin iletinin güvenli olduğu anlamına gelmediğini vurguluyor.

Bağlantılar Calendly'den Google'ın yönlendirme servislerine, oradan da yeni kaydedilmiş .cfd uzantılı bir sayfaya uzanıyor. Bu sayfa, otomatik analizi zorlaştırmak için Cloudflare Turnstile doğrulamasının arkasına gizlenmiş.

Bulaşma zinciri

Kurban, fotoğraf görünümlü bir ZIP arşivini indirip içindeki sahte görsel kısayolunu açtığında gizlenmiş bir PowerShell betiği çalışıyor. Betik, kullanıcı dizinine yerleştirilen bir Node.js çalışma ortamı üzerinden JavaScript tabanlı bir implant başlatıyor. Implant, kayıt defterindeki Run ve RunOnce anahtarlarıyla kalıcılık sağlıyor ve Defender'a dışlama kuralları ekliyor. Microsoft, implant ailesini TonRAT olarak tanımlıyor; kampanya henüz bilinen bir tehdit aktörüne atfedilmiş değil.

Ne yapılmalı?

• Fotoğraf temalı ZIP dosyalarını ve .png.lnk gibi çift uzantılı kısayolları yüksek riskli kabul edin.
• Kullanıcı AppData dizininden çalışan node.exe süreçlerini ve Temp klasörüne yönelik Defender dışlamalarını alarm kuralına bağlayın.
• Temizlikte hem HKCU\Run hem de HKCU\RunOnce kayıtlarını kaldırın; yalnızca birini silmek implantı etkin bırakıyor.
• Resepsiyon ve rezervasyon cihazlarında tehdit avına öncelik verin, personeli bu tema konusunda bilgilendirin.