Skyw4lker Cihaz Kodu Oltalama Kampanyası Ortaya Çıktı: ABD Merkezli Kurumlar Hedef Alındı.

Tehdit Zekâsı / Oltalama

Görsel Kaynağı: The Hacker News

Modern oltalama kampanyaları, geleneksel kimlik bilgisi çalmaya dayanmadan Amerikalı işletmeleri tehlikeye atabilir. Saldırganlar, kurumsal hesaplara erişim sağlarken daha az belirgin iz bırakarak meşru bulut hizmetlerini, kimlik doğrulama mekanizmalarını ve güvenilir iş süreçlerini kötüye kullanabilir.

ANY.RUN’un cihaz kodu oltalama kampanyası Skyw4lker üzerine yaptığı analiz, bunun pratikte nasıl işlediğini gösteriyor. Kampanya, hesap ihlallerini kolaylaştırmak için iş temalı belgeler, Google barındırdığı altyapı ve Microsoft kimlik doğrulama akışlarını kullanarak öncelikle ABD merkezli kuruluşları hedef alıyor ve üretim, teknoloji ve sağlık sektörlerine odaklanıyor.

Güvenlik ekipleri için soruşturma, ilk avcıyı belirlemenin ötesine geçiyor. Kimlik doğrulama akışını ve destekleyici altyapıyı izlemeyi, güvenilir göstergeleri çıkarmayı ve bu bulguları daha geniş kuruluşu koruyabilecek tespitlere dönüştürmeyi gerektiriyor.

C Kodu Oltalama: ABD Kuruluşları İçin Büyüyen Bir Meydan Okuma

ABD’deki oltalamanın ölçeği önemli bir arka plan sağlıyor. FBI İnternet Suç Şikâyet Merkezi, 2024 yılında 193.407 oltalama ve sahtecilik şikâyetini kaydederek bunları internet suçlarının en sık bildirilen kategorilerinden biri haline getirdi. 2025 yılında FBI, 1 milyondan fazla internet suç şikâyetini ve 20,9 milyar dolarlık bildirilen kayıpları kaydetti; bildirilen kayıplar bir önceki yıla göre %26 artış gösterdi.

Saldırganlar aynı zamanda kimlik güvenliğine ve çok faktörlü kimlik doğrulamaya (MFA) yoğun yatırımda bulunan kuruluşlara da uyum sağlıyor.

Cihaz kodu oltalama buna bir örnek. Saldırgan, meşru bir giriş sayfası üzerinden kimlik bilgilerini toplamak yerine, meşru bir cihaz yetkilendirme akışını başlatabilir ve kurbanı bunu tamamlamaya ikna edebilir. Sonrasında oluşan kimlik doğrulama belirteçleri, ihlal edilen hesabın erişebileceği kaynaklara erişim sağlayabilir.

Skyw4lker Meşru Kimlik Doğrulama Kullanarak Hesapları İhlal Ettiği Zaman

Skyw4lker Kampanyası Nasıl Çalışıyor

Skyw4lker, ANY.RUN’un İnteraktif Sandbox analizinde gözlemlendiği gibi, normal ticari yazışmaları taklit eden bir tuzakla başlar.

Kurbanlar, sözleşme veya hizmet teklifi olarak sunulan şifre korumalı bir belge alır. Bu senaryo, çalışanların yaygın olarak tedarikçi sözleşmeleri, satın alma belgeleri, iş tanımları ve benzeri dosyaları alışveriş ettiği ortamlarda inandırıcıdır.

Belgeden kurban, sonunda bir Microsoft kimlik doğrulama sürecine yönlendiren sites[.]google[.]com adresinde barındırılan bir sayfaya yönlendirilir.

Saldırganın Microsoft’un giriş deneyimini mükemmel şekilde yeniden üretmesine gerek yoktur. Kimlik doğrulama meşru olabilir; aldatmaca, kurbanı saldırganın başlattığı bir kimlik doğrulama isteğini tamamlamaya ikna etmekte yatmaktadır.

Süreç tamamlandıktan sonra saldırgan, ortaya çıkan Microsoft 365 belirteçlerine erişebilir.

Bu, saldırının yalnızca kimlik telemetresi üzerinden değerlendirilmesini zorlaştırır. Bir kuruluş, kötü niyetli bağlamı tetikleyen olayı hemen görmeden geçerli bir kimlik doğrulama olayı görebilir. Ne olduğunun belirlenmesi için güvenlik ekibinin belgeyi, web faaliyetlerini, kimlik doğrulama sürecini ve ilgili altyapıyı birbirine bağlaması gerekir.

Skyw4lker Phishing Sayfasının Arkasındaki Altyapı

Skyw4lker’ın kullandığı web altyapısı, kampanyanın işleyişine dair ek kanıtlar sağlar.

ANY.RUN’un analizi, bir kurban oturumu oluşturmak, IP adresi ve konum bilgisi gibi verileri toplamak ve kimlik doğrulama sürecinin tamamlanması için beklerken altyapıyı tekrar tekrar sorgulamak amacıyla kullanılan obfuskasyonlanmış JavaScript ve bir PHP arka uç tespit etmiştir.

Belgenin statik incelemesi başlangıç URL’sini ortaya çıkarabilir, ancak kurban sayfa ile etkileşime girdiğinde gerçekten ne olduğunun tam açıklamasını yapamaz. Zararlı davranış; tarayıcı aktivitesi, JavaScript yürütme, arka plan iletişimi, yönlendirmeler ve kimlik doğrulamanın bir araya gelmesiyle ortaya çıkar.

Bu nedenle, hedef bir oltalama kampanyasının tam olarak ne yaptığıni ve takipte güvenilebilecek göstergelerin neler olduğunu belirlemek istendiğinde davranış analizi kritik önem taşır.

Skyw4lker analizini ANY.RUN Etkileşimli Kumanda Ortamında görüntüleyerek saldırı zincirinin tamamını ve ilgili IOC’leri (Gösterge, Tarama ve Değerlendirme) görebilirsiniz.

Tier 1 (ilk analiz) yükünü yüzde 20’ye kadar azaltın ve analistlerin kritik tehditlere odaklanması için daha fazla zaman kazanın.

SOC Verimliliğinizi Artırın

Etkileşimli Kumanda Ortamı Şüpheli Dosya ve URL’leri Aksiyon Alınabilir Delile Dönüştürür

Etkileşimli kumanda ortamı, güvenlik ekiplerinin şüpheli dosya, bağlantı ve belgeleri güvenli biçimde çalıştırıp etkileşime girmesini sağlar ve statik incelemede kaçırılan davranışları ortaya çıkarır.

Bu, Skyw4lker gibi kampanyalarda büyük önem taşır; burada belge yalnızca başlangıç noktasıdır. Analistlerin saldırıyı tarayıcı üzerinden takip etmesi, yönlendirmeleri ve kimlik doğrulama aktivitesini gözlemmesi, ağ iletişimini incelemesi ve oltalama akışının ardındaki altyapıyı tespit etmesi gerekir. Tüm bunlar izole bir ANY.RUN Kumanda Ortamında yapılabilir ve sonuç en kısa sürede 40 saniye içinde alınabilir.

Sadece zararlı/benign (zararsız) kararıyla yetinmek yerine, soruşturma sonucunda URL’ler, alan adları, IP adresleri, ağ aktivitesi, ekran görüntüleri, davranış delilleri ve diğer IOC’ler elde edilebilir. Bu bulgular, güvenlik ekiplerinin bir uyarıyı doğrulaması, ilgili faaliyeti sınırlaması ve tek bir soruşturma sırasında toplanan delillerden tespitler oluşturması için gereken bağlamı sağlar.

Sonuç olarak SOC ve MSSP ekipleri, saldırıyı birden fazla araçta manuel olarak yeniden üretmeden daha hızlı ve güvenilir bir sonuç alabilir; ortaya çıkan istihbat ayrıca daha geniş ortamda tehdit avcılığı ve tespitini destekleyebilir. Üstelik aynı iş akışı, MSSP’lerin yeni kampanyaları araştırmasını ve bir müşteri vakasından elde edilen bulguları diğer ortamlarda aranabilen bir istihbat haline getirmesini kolaylaştırır.

Tehdit İstihbatını Daha Erken Tespite Dönüştürmek

Bir IOC’nin değeri, başka bir saldırıyı tespit etmek için kullanılabildiğinde artar.

ANY.RUN Threat Intelligence Feeds (TI Feeds), kumbara araştırmalarından elde edilen kötü amaçlı IP’leri, alan adlarını, URL’leri ve bağlamsal bilgileri sağlar. Benzersiz ve yüksek güvenilirlikli IOC’lerin %99’u, TI Feeds’e eklemeden önce doğrulanır; bu da güvenlik ekiplerinin önceden gözden geçirilmiş istihbatla çalışmasını kolaylaştırır.

ANY.RUN’ın iç analizi, Interactive Sandbox oturumlarında bulunan benzersiz kötü amaçlı IOC’lerin en fazla %30’unun zaten şirket tarafından gözlemlendiğini ve TI Feeds içinde bulunduğunu ortaya koydu. Bu göstergelerden biri müşteri telemetrisinde görüldüğünde, analist ilgili örneği manuel olarak araştırmadan önce mevcut istihbatla eşleştirilmesi söz konusu olabilir.

Bu, daha verimli bir iş akışı yaratır: bilinen kötü amaçlı faaliyetler daha erken tanımlanırken, kumbara analizi bilinmeyen tehditleri araştırmak için gereken davranışsal kanıtları sağlar.

Internal SOC’ler için bu, zaten kötü amaçlı olduğu bilinen göstergeleri araştırmaya harcanan zamanı azaltır. MSSP’ler için ise aynı istihbat, birden fazla müşteri ortamındaki ilgili faaliyetleri tanımlamaya yardımcı olabilir. Böylece mevcut tehdit bilgisi, her yeni uyarı için yeniden inşa etmek yerine yeniden kullanılabilir.

MTTR’yi 21 dakika kısaltın ve SOC’nizin kritik tehditlere odaklanması için daha fazla zaman kazanın.

TI Feeds’i entegre edin

Tehdit İstihbatı Uyarının Arkasındaki Bağlamı Sağlar

Bir gösterge, güvenlik ekipleri onu çevreleyen faaliyeti anlayabildiğinde daha kullanışlı hale gelir.

ANY.RUN’ın Threat Intelligence Lookup (TI Lookup) özelliği, analistlerin şüpheli bir alan adı, IP adresi veya URL’yi soruşturmalarına ve geçmişini ile ilişkili faaliyeti incelemelerine olanak tanır. Skyw4lker ile ilgili bir soruşturmada bu bağlam, bir göstergenin kampanya ile bağlantılı olup olmadığını, başka kötü amaçlı faaliyetlerde görünüp görünmediğini ya da daha ayrıntılı soruşturma gerektirip gerektirmediğini belirlemeye yardımcı olabilir.

Bunun yanı sıra ANY.RUN’ın Threat Intelligence Reports (TI Reports) özelliği, göstergeleri kampanyalar, altyapı, teknikler ve gözlemlenen davranışlarla bağlantı kurarak daha geniş bir bakış açısı sunar. Bu, aynı altyapıyı paylaşan birden fazla olay ya da daha geniş bir oltalama operasyonuna ait şüpheli bir alan adı gibi, bireysel uyarılardan zor görülün ilişkileri ortaya çıkarabilir.

Amerika Birleşik Devletleri’nde sağlık, imalat ve teknoloji sektörlerindeki kuruluşlar söz konusu olduğunda bu bağlantılar özellikle önem kazanabilir. Zayıflatılmış bir Microsoft 365 hesabı, hassas iletişimleri, fikri mülkiyeti, operasyonel bilgileri ve düzenlemeye tabi verileri ifşa edebilir; bu da ilgili faaliyetlerin erken tespitini kritik hale getirir.

Her SOC ve MSSP Soruşturmasını Daha Değerli Hale Getirme

Başarılı bir soruşturma, bir kuruluşun bir sonraki saldırıyı tespit etme yeteneğini geliştirmelidir.

Bir MSSP, Amerika Birleşik Devletleri’ndeki bir imalat müşterisine gönderilen şüpheli bir sözleşmeyi soruştururken, Skyw4lker ile ilişkili göstergeler diğer müşteri ortamlarında aranabilir ve izlemeye dahil edilebilir. Aynı yaklaşım, bir çalışan bir oltalama belgesini bildirdikten sonra bulunan bir IOC’in, potansiyel olarak etkilenmiş diğer kullanıcıları belirlemek için tarihsel telemetriyle karşılaştırılabileceği dahili bir SOC ortamında da işe yarar.

ANY.RUN, bu iş akışlarını API/SDK, STIX/TAXII, SIEM, TIP ve XDR entegrasyonları ile destekler; böylece soruşturmalardan elde edilen istihbarat, mevcut tespit ve izleme süreçlerine beslenebilir.

Sonuç, aynı soruşturmadan daha geniş koruma sağlar: bir kullanıcıyı etkileyen bir olay, bir SOC veya MSSP’in daha geniş müşteri tabanında ilgili faaliyetleri belirlemeye yardımcı olabilen istihbarat üretebilir.

58’e kadar daha fazla tehdit ortaya çıkarın ve ortaya çıkan saldırılara dair daha geniş görünürlük kazanın.

Tehdit Algılamayı Artırın

Sonuç

Skyw4lker, modern oltalama savunmasının, ilk alıcı veya giriş sayfasının ötesinde görünürlük gerektirdiğini gösteriyor. Etkileşimli sandboxlama, tehdit istihbaratı ve bağlamsal soruşturma birleştirilerek güvenlik ekipleri şüpheli nesneden eyleme geçirilebilir istihbarata ve daha geniş algılamaya daha hızlı geçebilir.

Amerika Birleşik Devletleri’ndeki kuruluşlar için bu, daha hızlı soruşturmalar, daha az tekrarlayan manuel iş ve daha büyük bir olay haline gelmeden önce ilgili faaliyetleri belirlemeye dair daha iyi bir yetenek anlamına gelir. Amaç yalnızca bir saldırıyı anlamak değil, aynı zamanda her soruşturmayı bir sonr saldırıya karşı korumaya dönüştürmektir.