Typosquatting ve Otomatik Olayların Yükselişi
Typosquatting, artık sadece kullanıcı hatalarıyla sınırlı bir sorun olmaktan çıkmıştır. Saldırganlar, meşru üçüncü parti betikler içerisine benzer alan adları gömerek, kullanıcıların bu tuzağa düşmesinde yeni bir seviye geliştirmiştir.
Olay Nasıl Çalışıyor?
- Örnekler:
- Shai-Hulud adlı kendini çoğaltan bir npm solucanı, geliştirici kimlik bilgilerini topladı ve Trust Wallet‘ın Chrome uzantısının trojanlaştırılmış bir versiyonunu resmi kanallardan yükledi.
- Kullanıcıların tarayıcılarında çalışan bu kötü amaçlı uzantı, gizlice tohum ifadelerini yakalayarak bunları sahte bir Trust Wallet analiz alanına iletti.
- Sonuç: 48 saat içinde 2,500 cüzdan boşaltıldı, toplam kayıp: 8.5 milyon dolar.
Bu tür saldırılar, kullanıcı hatasından bağımsız olarak, sahte alan adları ve meşru uzantılar aracılığıyla gerçekleştirilir. E-ticaret sayfaları gibi güvenilir ağlarda, üçüncü parti betiklerin her biri saldırganlar için birer hedef haline gelir.
Etkilenen Sistemler
Günümüzde birçok sistem bu tür saldırılara açıktır. Olaylar, bir dizi özellikle daha da yaygın hale gelmektedir:
- Güvenilir JavaScript CDN’leri: Son zamanlarda kaydedilen güvenilir alanlar bile tehdit altında.
- Yanlış yapılandırmalar: CSP ve diğer koruma katmanları, tarayıcı içindeki kötü amaçlı eylemleri görememektedir.
- Hızlı değişen yazılımlar: Kötü niyetli yazılımlar, dinamik olarak çalıştıkları için tespit edilmesi zor hale gelmektedir.
Çözüm ve Korunma
Kayıpları önlemek için izlenmesi gereken adımlar:
- Bu hafta:
- Üçüncü parti betiklerinizi kontrol edin; son zamanlarda kaydedilen CDN alan adlarına dikkat edin.
- CSP raporlarınızı gözden geçirin; sadece ihlallere değil, onaylı kökenlerin ne yaptığını da inceleyin.
- Hassas verilerin işlendiği sayfaları (ödeme, giriş, PII formları) belirleyin ve izlemeye öncelik verin.
- Bu ay:
- Ödeme ve kimlik doğrulama sayfaları için davranış izleme uygulayın.
- Tüm onaylı üçüncü parti betikler için davranış standartları oluşturun.
- Kütüphanelerinizin kendine ait kaynaklı veya önbelleğe alınabilir betikleri için alt kaynak bütünlüğü (SRI) kontrolleri uygulayın.
Sonuç olarak, proaktif alan kaydı, katı CSP ve DMARC uygulaması gereklidir. Ancak, onaylı bir satıcı betiği sessizce değiştirildiğinde ne olacağını görmek için bu önlemler yeterli olmayabilir. Bu tür saldırılara karşı kapsamlı bir koruma için sürekli izleme ve analiz şarttır.
