Cihaz kodu phishing: Başlatmadığınız bir oturum açmayı onaylamak
Şubat 2025'te Microsoft Threat Intelligence Center, Storm-2372 olarak izlediği aktörün Avrupa, Kuzey Amerika, Afrika ve Orta Doğu'daki kuruluşlardan oturum açma oturumları çaldığı aktif bir kampanyayı belgeledi. Tekniği — cihaz kodu phishing — özellikli kılan, kaçındığı şey: tanınacak sahte bir oturum açma sayfası yok, çalınacak bir parola yok, tespit edilecek bir zararlı yazılım yok. Kurban hiçbir sır girmez. Saldırganın sağladığı kod, Microsoft'un gerçek oturum açma sayfasına girilir; kurban onayı kendi cihazında verir ve saldırgan çalışan bir oturumla uzaklaşır.
Meşru bir özellik, tersine çevrilmiş
Device code flow, OAuth 2.0'ın gerçek bir özelliğidir, sahtesi değildir. Kullanılabilir klavyesi veya tarayıcısı olmayan donanım içindir: yazıcılar, televizyonlar, toplantı odası ekranları, setüstü kutular. Cihaz kısa bir kod gösterir, kullanıcı oturum açma portalını telefonda veya dizüstünde açar, kodu girer, oturum açar ve onaylar. Cihaz token'larını alır. Storm-2372 bu sırayı ters çevirdi. Microsoft'a göre grup, kampanyayı Ağustos 2024'ten beri yürüttü: Microsoft Teams'de yöneticiler veya yetkililer kılığında sohbetler açtı, sonra belge paylaşma bahanesiyle konuşmayı Signal'e veya WhatsApp'a taşıdı. E-postayla gönderilen toplantı davetleri, sıradan Teams trafiğine kılık vermiş aynı yemi taşıdı. Aynı kampanyaya dair BleepingComputer'ın haberciliği, önemli bir belge almak için bir cihazın doğrulanmasının istendiği kurbanları anlatıyordu: Microsoft'un gerçek oturum açma sayfasına giden bağlantıyı izliyor, kendilerine gönderilen kodu giriyor ve her zamanki çok faktörlü adımla birlikte girişi onaylıyorlardı. Microsoft'un belgelediği hedefler arasında kamu kurumları, BT hizmet sağlayıcıları, savunma, telekomünikasyon, sağlık, yükseköğretim ve enerji şirketleri vardı.Bu MFA'yı neden tamamen aşıyor
İşi yapan, işlemlerin sırasıdır. Saldırgan önce meşru bir cihaz kodu isteği başlatır ve kurbanı ancak sonra devreye sokar. Kurban kodu girip onayladığında, sayfadaki tüm denetimler dürüstçe geçer: sayfa gerçektir, kod geçerlidir ve etkileşen kişi, geçerli olan çok faktörlü kimlik doğrulaması dahil, gerçek bir oturum açma tamamlar. Microsoft'un verdiği token'lar, uzun ömürlü refresh token'lar dahil, isteği başlatana gider: saldırgana. Dizinin bakış açısından bir kullanıcı başarıyla oturum açmıştır. Altyapı tamamen meşru olduğu için posta filtrelerinin veya web proxy'lerinin işaretleyeceği bir şey yoktur. Microsoft'un yazısı, ele geçirilen kiracılarda (tenant) sonra ne olduğunu kaydeder: saldırganlar Graph API sorgularıyla posta kutularında credentials, passwords, admin gibi terimleri aradı, yazışmaları dışarı taşıdı ve güvenilen iç hesapları kullanarak iş arkadaşlarına phishing gönderdi; böylece tek bir onay kurum boyunca zincirleme yayılabiliyordu. Orijinal yazıdan bir gün sonra yayımlanan bir güncellemede Microsoft ayrıca Microsoft Authentication Broker istemcisi üzerinden yapılan isteklere kaymayı belgeledi; bu, saldırgan kontrolündeki cihazların kaydedilmesine ve primary refresh token talep edilmesine izin veriyordu. Tekniğin 2026'da phishing kitleriyle yayılmasını izleyen Proofpoint bir rafinasyon daha not etti: kurban bağlantıya tıkladığı anda talep üzerine üretilen kodlar, önceden üretilmiş kodun on beş dakikalık son kullanma süresini aşıyor.Her zamanki tavsiye, bir şey yazmadan önce oturum açma sayfasını yakından incelemek, burada işe yaramaz. Proofpoint'in sonraki kampanyalara dair analizinin belirttiği gibi URL denetimi başarısız olur, çünkü portal gerçekten Microsoft'undur; kötüye kullanılan kurbanın onayıdır, adres çubuğu değil.
Bilinmesinde yarar olan kırmızı bayraklar
Belirtiler kampanyadan kampanyaya tutarlıdır ve hiçbiri fark etmek için teknik beceri gerektirmez.- başlatmadığınız bir oturum açma: bir cihaz kodu yalnızca biri onu talep ettiği için vardır
- bir kodun süresi dolmadan veya bir toplantı başlamadan önce harekete geçme baskısı ve acelesi
- hiç istemediğiniz bir kodla bir şeyi onaylamanızı veya doğrulamanızı isteyen e-posta, sohbet veya mesaj
- platform değiştiren iletişim, örneğin Signal'e veya WhatsApp'a taşınan bir Teams sohbeti
- ancak bir kod doğrulandıktan sonra açılan bir belge veya toplantı daveti