Sahte Teams toplantı planlayıcısı device code phishing'e dönüştü; kod kurbana "rezervasyon numarası" diye gösterildi
Huntress, bir inşaat şirketi çalışanının sahte bir Microsoft Teams toplantı planlama sayfası üzerinden device code oturumunu onayladığı saldırıyı anlattı. Saldırgan geçerli bir oturum token'ı aldı; kit şifreli geliyor, MFA hatasında yeni kodla tekrar deniyor.
Güvenlik şirketi Huntress, bir inşaat şirketinin çalışanını hedef alan ve sahte bir Microsoft Teams toplantı planlayıcısı kullanan device code phishing saldırısını belgeledi. Help Net Security'nin 13 Kasım'da aktardığına göre saldırgan, Huntress'in güvenlik operasyon merkezi olayı fark etmeden önce geçerli bir oturum token'ı elde etti.
Device code phishing, Microsoft'un gerçek bir oturum açma akışını kötüye kullanıyor. Saldırgan kendi tarafında bir oturum başlatıyor, kısa bir kod alıyor ve kurbanı bu kodu Microsoft'un gerçek cihaz giriş sayfasına yazmaya ikna ediyor. Kurban kodu girip gerekirse MFA adımını da tamamladığında, farkında olmadan saldırganın oturumunu onaylamış oluyor.
Kod, "rezervasyon numarası" kılığında
E-posta, başka bir inşaat firmasındaki gerçek bir üst düzey yöneticiyi taklit eden, typosquatting ile alınmış bir alan adından geldi. Bağlantı önce bir Google paylaşım linkine, oradan tuzak sayfaya yönleniyordu. Saldırganın alan adı e-posta gövdesinde hiç görünmediği için mesaj URL itibar kontrollerinden geçti.
Tuzak sayfa bir Teams planlayıcısına benziyordu: yöneticinin fotoğrafı ve uzun vadeli bir tedarik ortaklığı için tanışma görüşmesi teklifi vardı. "Devam" düğmesi saldırganın sunucusunda bir device code isteği başlatıyor, sonraki sayfa kodu "Booking Reference" adıyla ve acele ettiren bir geri sayım sayacıyla gösteriyordu. Kurban kodu kopyaladığında Microsoft'un gerçek giriş sayfası açılıyor; oturum onaylanınca sayfa "doğrulama tamamlandı" notu gösterip kurbanı bir Calendly sayfasına yönlendiriyordu. Böylece her şey olağan görünüyordu.
Tarayıcıları ve MFA hatasını aşmak için kurulmuş
Huntress'e göre phishing kit'i AES-256-GCM ile şifrelenmiş olarak geliyor, çözme anahtarı aynı sayfada duruyordu. Bu kurgu, JavaScript çalıştırmayan e-posta tarayıcılarını hedefliyor; onlar sayfayı şifreli bir blok olarak görüyor. Microsoft hata döndürdüğünde (MFA gerektiğinde olabiliyor) sayfa kurbana yeni bir doğrulama kodu hazırlandığını söyleyip yeni bir device code oturumu başlatıyordu. Son oturum açma, tüketici trafiği gibi görünmesi için ABD'deki bir residential proxy üzerinden yapıldı.
Aynı gün FBI'ın sahte Zoom ve Teams toplantılarıyla yürütülen FaceStealer kampanyasına dair uyarısı da yayımlanmıştı; iki olay birbirinden bağımsız, ancak ikisi de toplantı davetini yem olarak kullanıyor.
Ne yapılmalı?
- Beklenmedik device code istemlerini şüpheli sayın; kullanıcılara "toplantı ya da rezervasyon için kod girilmez" mesajını verin.
- İş gereği kullanılmıyorsa device code authentication akışını conditional access ile kısıtlayın ya da izleyin.
- Phishing'e dayanıklı MFA yöntemlerine geçişi önceliklendirin ve tanınmayan cihaz oturumlarını inceleyin.
- Etkileşimli oturum açma loglarında python-requests ya da node gibi programatik user agent'ları arayın; Huntress bunu otomatik saldırgan altyapısının işareti sayıyor.
- Doğrulanmış bir ele geçirmede hesaba eklenmiş yabancı MFA yöntemlerini, bilinmeyen kayıtlı cihazları, yetkisiz uygulama izinlerini, şüpheli posta kutusu kurallarını ve giden postaları kontrol edin.
