Google Takvim davetleriyle canlı oturum çalan kampanya: reverse proxy MFA'yı aşıyor, 897 domain kapatıldı
Material Security, Ağustos ortasından beri kurumsal kullanıcıların Google oturumlarını Takvim davetleri ve canlı reverse proxy ile çalan bir phishing kampanyasını izledi. Operation CloudFire kapsamında bir ayda 897 domain kapatıldı; kampanya şimdilik durmuş görünse de altyapıda Microsoft 365 için hazır bir dal bulunuyor.
Material Security'nin tehdit araştırma ekibi, Ağustos 2026 ortasından beri kurumsal kullanıcıların canlı Google oturumlarını çalan bir phishing kampanyasının ayrıntılarını paylaştı. The Hacker News'te yayımlanan analize göre mesajlar Google Takvim daveti olarak geliyor; çoğu, alıcının daha önce yazıştığı bir kurumdan gönderiliyor. Bahaneler bilinçli olarak sıradan seçilmiş: sesli mesaj bildirimi, teklif talebi (RFP/RFI), mahkeme çağrısı ve gecikmiş ödeme uyarısı.
Kampanyanın dikkat çeken yanı, savunmacıların bir linki değerlendirirken baktığı her kontrolün "temiz" sonuç verecek şekilde tasarlanması. Araştırmacılar, saldırgan domainlerini kapattırma çalışmasına Operation CloudFire adını verdi.
Zincir nasıl işliyor?
- İlk adım Google'ın kendisi: Linklerin çoğu Google'ın
/urlyönlendiricisinden geçiyor; asıl hedef bir parametrede saklı. Diğer dalgalarda share.google, Drive dosya linkleri ve bir varyantta Intuit işlem bildirimi linkleri kullanıldı. - Cloudflare Turnstile ara katmanı: Bazı sürümlerde gerçek widget, Cloudflare altyapısından sunuluyor.
- Sayfa tarayıcıda kuruluyor: Parola sayfası statik değil; ziyaretçi doğrulamayı geçtikten sonra JavaScript ile oluşturuluyor. Bu yüzden tarayıcı (crawler) ve proxy logları yakalayacak bir şey bulamıyor.
- Canlı reverse proxy: Kurban gerçek Google oturum açma ekranının önündeki proxy'ye parolasını giriyor; SMS kodu, authenticator kodu, Google'ın "Evet'e dokun" numara eşleştirmesi ve telefonla hesap kurtarma dahil her ikinci faktör anında Google'a aktarılıyor. Rapora göre bu kontrollerin hiçbiri oturumun ele geçirilmesini durdurmuyor.
Arkasındaki framework Nyasher olarak biliniyor ve JavaScript içinde sabit bir anahtar bulunmasının ardından Şubat'tan beri kamuya açık olarak belgeleniyor.
Bir ayın rakamları
Yalnızca veri paylaşmayı kabul eden kurumları kapsayan rakamlar şöyle: 68.676 kampanya mesajı engellendi, 2.112 benzersiz zararlı URL incelendi, 897 domain kapatıldı ve 6.354 kök domainde 8.570 ele geçirilmiş gönderici adresi tespit edildi. Bir wildcard sertifikanın, kapsadığı domain kaydedilmeden 46 dakika önce alındığı da raporda yer alıyor.
Araştırmacılara göre temalar Takvim davetlerinden Google Drive dosya paylaşım davetlerine kaydı ve kampanya şimdilik bitmiş görünüyor. Ancak operatörün canlı Google koduyla birlikte yarım kalmış bir Microsoft 365 dalı gönderdiği, yeni markanın kod değişikliği olmadan yalnızca bir dosya eklenerek devreye alınabileceği belirtiliyor.
Ne yapılmalı?
- Takvim davetlerini e-posta gibi ayrı bir saldırı yüzeyi olarak ele alın; gateway'in daveti inceleyip incelemediğini doğrulayın. Google Workspace'te dış kaynaklı davetlerin takvime otomatik eklenmesini sınırlayan ayarları gözden geçirin.
- SMS, kod ve "Evet'e dokun" onaylarının reverse proxy'ye karşı koruma sağlamadığını varsayın; yönetici ve yüksek riskli hesaplarda passkey veya donanım güvenlik anahtarı gibi phishing'e dayanıklı MFA'ya geçin.
- Google Workspace denetim (audit) loglarında beklenmeyen konum ya da cihazdan oturum açma, yeni OAuth yetkileri ve Drive'dan toplu indirme olaylarını izleyin.
- Bir saat içinde oturumları sonlandırma, OAuth yetkilerini geri alma ve hesabı sıfırlama adımlarını içeren bir müdahale prosedürü hazırlayıp tatbik edin.
- Aynı tekniğin Microsoft 365 oturum açma sayfasına taşınabileceği uyarısını dikkate alarak Entra ID oturum loglarını da aynı gözle izleyin.
