Luna Moth, fidye ödemeyen hukuk bürolarına ikinci kez döndü: sahte BT desteği bu kez Microsoft access token'ını istiyor
ReliaQuest'e göre extortion grubu Luna Moth, daha önce hedef aldığı hukuk bürolarına haftalar ya da aylar sonra yeniden saldırıyor. Yeni yöntemde malware ve zafiyet yok; çalışan, görüntülü görüşmede kendi access token'ını saldırgana teslim etmeye ikna ediliyor.
Veri hırsızlığı ve extortion grubu Luna Moth (Silent Ransom Group adıyla da izleniyor), daha önce hedef aldığı hukuk bürolarına ikinci kez saldırıyor. Bulguyu 12 Kasım'da yayımlayan ReliaQuest Threat Research ekibine göre yeni dalganın hedefleri "muhtemelen" ilk extortion talebini ödemeyen bürolar; ikinci saldırı ilkinden haftalar ya da aylar sonra geliyor.
Dark Reading'in aktardığına göre grup, en az 2023 ortasından beri hukuk bürolarını hedef alıyor. Bu dalgada uzaktan yönetim araçlarını ve elle veri indirmeyi şimdilik bırakmış durumda; bunun yerine çalışanı Microsoft access token'ını vermeye ikna ediyor ve dosyaları bu token ile çekiyor.
Saldırı nasıl ilerliyor?
ReliaQuest'in anlattığı akış tamamen social engineering üzerine kurulu:
- Çalışana ücretsiz bir e-posta adresinden, iş raporu gibi görünen ama açılmayan bozuk bir PDF gönderiliyor.
- Kısa süre sonra "BT destek" olduğunu söyleyen biri arıyor; bir güvenlik uyarısına baktığını ve PDF sorununu da çözeceğini söylüyor.
- Görüntülü görüşmede çalışandan ekranını paylaşması isteniyor. Saldırgan, çalışanı iş bilgisayarının tarayıcısında Microsoft Copilot'u ve tarayıcının geliştirici araçlarını açmaya, uygulamanın Microsoft Graph'a gönderdiği istekteki access token'ı kopyalayıp herkese açık bir metin paylaşım sitesine yapıştırmaya yönlendiriyor.
- Saldırgan bu token ile Microsoft Graph API üzerinden dosyaları indiriyor.
Bu yöntemde malware yok, istismar edilen bir zafiyet de yok. ReliaQuest sözcüsü, token'ın kurumun uyumlu cihazına verildiğini ve kullanıcı tarafından "kendi isteğiyle" teslim edildiğini, bu nedenle güvenlik alarmlarının tetiklenmediğini belirtiyor.
Neden MFA durdurmuyor?
Sözcüye göre access token bir "bearer credential": Continuous Access Evaluation (CAE) katı konum zorlamasıyla ya da token binding ile uygulanmıyorsa, süresi dolana kadar her yerden çalışıyor. Kullanıcı meşru oturum akışını kendisi tamamladığı için MFA zaten geçilmiş oluyor. ReliaQuest, Microsoft'un varsayılanlarının (60–90 dakikalık token ömrü ve CAE'nin varsayılan olarak zorlanmaması) işi kolaylaştırdığını savunuyor.
Grubun aynı bürolara neden döndüğü sorusuna şirketin cevabı şu: Bu kurumların social engineering ile kandırılabildiği biliniyor, daha az kurum ödeme yapıyor ve hukuk bürolarında müvekkil verisi çok hassas olduğu için ifşa tehdidi ağır bir baskı aracı.
Ne yapılmalı?
ReliaQuest'in önerileri ve bunlardan çıkan pratik adımlar:
- Continuous Access Evaluation'ı varsayılan olarak açın; mümkünse konum zorlaması ya da token binding ile birlikte kullanın.
- Yönetilen tarayıcılarda geliştirici araçlarını ve token inceleme sayfalarını, iş gereği olmayan kullanıcılar için kapatın.
- İş gereği olmayan yerlerde uzaktan destek ve ekran paylaşımı araçlarını kısıtlayın.
- Çalışanlara açıkça söyleyin: BT hiçbir zaman geliştirici araçlarını açtırmaz ve token istemez. BT'den geldiği söylenen her talep, bilinen numaradan geri aranarak doğrulanmalı.
- Daha önce extortion talebi almış ve ödememiş kurumlar, aynı grubun farklı bir yöntemle geri dönebileceğini varsaymalı; Microsoft Graph üzerinden olağandışı toplu dosya indirmeleri izlenmeli.
Türkiye'deki hukuk büroları ve müvekkil verisi tutan danışmanlık firmaları için ders aynı: Microsoft 365 kullanan her kurumda, kullanıcının kendi eliyle verdiği bir token MFA'yı anlamsız kılabiliyor.
