Modern Kimlik Avı Saldırı Taktiklerinin Şifresini Çözmek: Cloudflare Çalışanlarından HTML Kaçakçılığına

Bölüm 1: Cloudflare Çalışanları Dolandırıcılık Kampanyası

Siber güvenlik araştırmacıları, Cloudflare Workers'ı kullanarak kullanıcı giriş bilgilerini toplamayı amaçlayan çeşitli kimlik avı kampanyaları konusunda uyarıda bulundu. Bu kimlik avı web siteleri, Microsoft, Gmail, Yahoo! ve cPanel Webmail gibi hizmetlerin kullanıcılarını hedef alıyor.

Burada saldırgan, "Ortadaki Düşman" ( Adversary-in-the- Middle - AitM) adı verilen bir teknik kullandı. Saldırıyı gerçekleştirmek için saldırgan, sahte bir aracı sunucu olarak Cloudflare Workers'ı kullandı. Kullanıcı meşru bir giriş sayfasına eriştiğinde, Cloudflare Workers araya girerek kullanıcı ile gerçek giriş sayfası arasındaki verileri iletti.

"Aracı Dolandırıcılığı" Yöntemleri

Esasen, bu tür bir saldırı şu dört adımda gerçekleşecektir:

• Adım 1: Hacker, kullanıcıya kimlik avı e-postaları gönderir.

Saldırganlar, sahte web sitelerine bağlantılar içeren kimlik avı e-postaları gönderiyor. Bu e-postalar güvenilir bir kaynaktan geliyormuş gibi görünebilir ve kullanıcıları bağlantıya tıklamaya ikna eden mesajlar içerebilir.

• Adım 2: Kullanıcı e-postaya tıklar ve Cloudflare üzerinden çalışan bir kimlik avı sitesine yönlendirilir.

Kullanıcılar e-posta alıyor ve e-postaların içindeki bağlantılara tıklayarak sahte bir web sitesine yönlendiriliyorlar. Bu web sitesi Cloudflare Workers üzerinde barındırılıyor, bu nedenle kullanıcı istekleri Cloudflare Workers üzerinden geçiyor.

• 3. Adım: Cloudflare, kullanıcının isteğini meşru web sitesine iletir.

Kullanıcı sahte bir web sitesine giriş bilgilerini girdiğinde, Cloudflare Workers bu bilgileri (kullanıcı adı, parola ve varsa iki faktörlü kimlik doğrulama kodu dahil) kaydeder. Cloudflare Workers daha sonra bu isteği meşru web sitesine iletir. Kullanıcılar herhangi bir fark hissetmeden meşru web sitesine giriş yapmaya devam edebilirler.

• 4. Adım: Cloudflare, kullanıcı bilgilerini kaydeder ve bilgisayar korsanına gönderir.

Cloudflare Workers, kullanıcı giriş bilgilerini kaydeder ve saldırgana gönderir. Saldırgan daha sonra bu bilgileri kullanarak kullanıcının hesabına erişebilir ve kötü amaçlı faaliyetler gerçekleştirebilir.

Bölüm 2: HTML Kod Kaçırma Tekniği ve Giriş Bilgisi Toplama Stratejileri

HTML kaçakçılığı, saldırganların kullanıcının tarayıcısında doğrudan kimlik avı sayfaları oluşturmak için kullandığı gelişmiş bir saldırı yöntemidir.

HTML Smuggling saldırısı nasıl gerçekleştirilir?

Özetle, HTML kaçırma saldırısı aşağıdaki beş ana adımda gerçekleşir:

• Adım 1: Saldırgan bir kimlik avı e-postası gönderir.

Saldırgan, kurbanın sık kullandığı bir kuruluş veya hizmet gibi güvenilir bir kaynağı taklit eden bir kimlik avı e-postası oluşturur. Bu e-posta, kötü amaçlı bir bağlantı veya HTML eki içerir. E-posta içeriği genellikle, kurbanı bağlantıyı veya eki açmaya teşvik etmek için tasarlanmış ikna edici veya acil bir mesaj içerir; örneğin, kilitli bir hesap veya acil dikkat gerektiren önemli bir belge hakkında bildirim gibi.

• Adım 2: Kullanıcı e-postayı alır ve bağlantıyı/eki açar.

Kullanıcılar kimlik avı e-postaları alıyor ve şüphelenmeden bağlantıya tıklıyor veya HTML ekini açıyorlar. Bunu yaptıklarında, tarayıcıları HTML dosyasında veya bağlantıda bulunan kötü amaçlı JavaScript kodunu yüklüyor ve çalıştırıyor. Bu kod, ek yazılım indirmelerine gerek kalmadan doğrudan kullanıcının tarayıcısında çalışacak şekilde tasarlanmıştır.

• 3. Adım: JavaScript kodu, kimlik avı sayfasını doğrudan kullanıcının tarayıcısında oluşturur.

Kötü amaçlı JavaScript kodu, otomatik olarak bir kimlik avı sayfası oluşturur ve bunu kullanıcının tarayıcısında görüntüler. Bu kimlik avı sayfası genellikle Microsoft, Gmail veya kurbanın düzenli olarak kullandığı diğer herhangi bir çevrimiçi hizmetin meşru giriş sayfasına çok benzer. Bu, kurbanın sahte bir sayfada olduğunu fark etmesini engeller.

• 4. Adım: Kullanıcı, kimlik avı sayfasına giriş bilgilerini girer.

Şüphesiz ki, kullanıcılar kimlik avı sitesine giriş bilgilerini giriyorlar. Bu, kullanıcı adlarını, şifreleri ve istenirse iki faktörlü kimlik doğrulama (MFA) kodlarını içerir. Kimlik avı sitesi, tüm bu bilgileri gizlice kaydetmek üzere tasarlanmıştır.

• Adım 5: Giriş bilgileri bilgisayar korsanının sunucusuna gönderilir.

Bir kullanıcı kimlik avı sitesinde giriş bilgilerini girdiğinde, kötü amaçlı JavaScript kodu bu bilgileri bilgisayar korsanının sunucusuna gönderir. Bu, saldırganın kurbanın kullanıcı adı, şifresi ve iki faktörlü kimlik doğrulama kodu da dahil olmak üzere giriş bilgilerini toplamasına olanak tanır. Bu bilgilerle saldırgan, kurbanın hesabına yetkisiz erişim sağlayabilir.

Bölüm 3: Kullanıcılar için önleyici tedbirlere ilişkin öneriler

Yukarıda belirtildiği gibi, giderek daha karmaşık hale gelen siber saldırı yöntemlerine karşı kendilerini korumak için kullanıcıların riskleri en aza indirmek amacıyla çeşitli önleyici tedbirler almaları gerekmektedir. İşte bazı önemli öneriler:

• Siber güvenlik konusunda farkındalığı artırmak

Günümüzün dijital ortamında siber saldırı yöntemleri sürekli olarak gelişmekte ve giderek daha karmaşık hale gelmektedir. Bu nedenle, en son siber güvenlik tehditleri hakkındaki bilgileri düzenli olarak güncellemek son derece önemlidir. Kullanıcılar, riskleri anlamak ve bunlardan nasıl korunacaklarını bilmek için güvenilir ve güncel bilgi kaynaklarını proaktif olarak takip etmelidir.

• İki Faktörlü Kimlik Doğrulama (2FA) Kullanımı:

İki faktörlü kimlik doğrulama, ek bir güvenlik katmanı sağlar. Saldırgan giriş bilgilerinizi ele geçirse bile, hesabınıza erişmek için ikinci bir doğrulama koduna ihtiyaç duyacaktır.

• Harekete geçmeden önce her zaman kontrol edin ve doğrulayın.

Lütfen tıklamadan önce tüm ekleri ve bağlantıları dikkatlice kontrol edin.

FAREYE TIKLAMADAN ÖNCE İYİCE DÜŞÜNÜN!!!

• Virüs koruma yazılımı kullanın.

Antivirüs yazılımı, virüsler, truva atları, fidye yazılımları, casus yazılımlar ve diğer tehditler gibi çeşitli kötü amaçlı yazılım türlerini tarayabilir ve tespit edebilir. Tespit edildiğinde, sisteminizi korumak için kötü amaçlı yazılımı kaldırır veya izole eder.

Günümüzün dijital çağında, siber saldırı yöntemleri giderek daha karmaşık ve tespit edilmesi zor hale geliyor. Cloudflare Workers ve HTML Smuggling kullanan kimlik avı kampanyalarını anlamak ve önlemek çok önemlidir. Kendilerini korumak için kullanıcıların siber güvenlik bilgilerini düzenli olarak güncellemeleri, parola yöneticileri kullanmaları, antivirüs yazılımı yüklemeleri ve iki faktörlü kimlik doğrulama uygulamaları gerekmektedir. Bu önlemler yalnızca kişisel bilgilerin korunmasına yardımcı olmakla kalmaz, aynı zamanda tüm topluluk için siber güvenliğin geliştirilmesine de katkıda bulunur.

— Güvenlik ve Düzen Komitesi tarafından derlenmiştir —

Kaynak: https://www.misa.vn/147167/giai-ma-cac-chien-thuat-tan-cong-phishing-hien-dai-tu-cloudflare-workers-den-html-smuggling/