Tycoon2FA Phishing Tehditi
Tycoon2FA adlı phishing kiti, cihaz kodu phishing saldırılarını desteklemeye başlamış ve Trustifi tıklama takip URL’lerini kullanarak Microsoft 365 hesaplarını hedef almaktadır. Uluslararası güvenlik güçleri tarafından bu platforma yönelik yapılan operasyonlara rağmen, kötü niyetli faaliyetler yeni bir altyapıyla hızla yeniden başlamıştır.
Saldırı Nasıl Çalışıyor?
Cihaz kodu phishing, tehdit aktörlerinin hedef hizmetin sağlayıcısına bir cihaz yetkilendirme talebi göndermesi ve oluşturulan kodu kurbanın yasal giriş sayfasına girmesi için kandırmasıyla gerçekleşir. Bu işlem, saldırganın kurbanın Microsoft 365 hesabına sahte bir cihaz kaydetmesine olanak tanır. Sonuç olarak, kurbanın e-posta, takvim ve bulut dosya depolama gibi verilerine sınırsız erişim sağlanır.
Etkilenen Sistemler
Son zamanlarda Push Security, bu tür saldırıların bu yıl %3700 oranında arttığını bildirmiştir. Birçok farklı phishing-as-a-service (PhaaS) platformu ve özel kit bu saldırıları desteklemektedir. Özellikle, Microsoft 365 hesapları ile etkileşimde bulunan kullanıcılar bu tehditlerden etkilenmektedir.
Tycoon2FA’nın İşleyişi
Yapılan araştırmalar, Tycoon2FA saldırısının nasıl organize edildiğini detaylandırmaktadır:
- Kurbağa bir Trustifi tıklama takip URL’sine tıklamasıyla saldırı başlar.
- Bu URL, kurbanı sahte bir Microsoft CAPTCHA sayfasına yönlendirir.
- Kurban, burada oluşturulan hangi cihaz kodunu “microsoft.com/devicelogin” adresine yapıştırır.
- Daha sonra Microsoft, saldırgan kontrolündeki cihaza OAuth erişim ve yenileme tokenları verir.
Bu süreçte Trustifi gibi meşru bir e-posta güvenlik platformu istismar edilmektedir. Saldırganların, Trustifi’yi nasıl kullandığı ise belirsizliğini korumaktadır.
Çözüm ve Korunma
Saldırıların önlenmesi için aşağıdaki önlemler önerilmektedir:
- OAuth cihaz kodu akışını ihtiyacınız yoksa devre dışı bırakın.
- OAuth onay izinlerini sınırlayın.
- Üçüncü taraf uygulamalar için yönetici onayı gereklidir.
- Süreklilik Erişim Değerlendirmesi (CAE) etkinleştirin.
- Uyumlu cihaz erişim politikalarını zorunlu kılın.
Ayrıca, Entra günlüklerini izlemek, cihaz kodu kimlik doğrulamalarını, Microsoft Authentication Broker kullanımını ve Node.js kullanıcı ajanlarını takip etmek de önemlidir. eSentire, Tycoon2FA saldırılarına ilişkin tehdit göstergeleri belirlemiştir.
Sonuç
Okuyucuların, özellikle Microsoft 365 kullanıcıları olarak, yukarıda belirtilen önlemleri alması ve sistemlerini güncel tutması oldukça önemlidir. Ayrıca, olası şüpheli aktiviteleri izlemek için gerekli log takibi yapılmalı ve OAuth izinlerini yönetimsel olarak gözden geçirerek sistem güvenliğini artırmalısınız.
