Microsoft, en son kimlik avı saldırılarını araştırırken gördüğü büyük ölçekli bir phishing-a-hizmeti (PHAAS) operasyonu olan kurşun geçirmezlink, son zamanlarda birçok kurumsal kuruluşu hedefleyen birçok kimlik avı kampanyasının arkasındaki itici güçtür.
Kurşunproftlink'in (BulletProftLink ve Anthrax olarak da bilinen) tehdit aktörünün, tek bir ödeme veya aylık abonelik tabanlı iş modeli altında barındırma ve otomatik hizmetler sağlamak için phish kitleri ve e-posta şablonları satmaktan, çeşitli hizmetleri olan siber suçluları sunar.
Microsoft 365 Defender Tehdit İstihbarat Ekibi, "Kimlik avı saldırılarını araştırırken, oldukça yüksek hacimli ve benzersiz alt alanlar-300.000'den fazla bir hacimce, tek bir kayanın üzerinde bir kampanyaya rastladık" dedi.
"Bilinen markaları ve hizmetleri taklit eden 100'den fazla kimlik avı şablonuyla, kurşun geçirmez bağlantı operasyonu, bugün işletmeleri etkileyen kimlik avı kampanyalarının çoğundan sorumludur."
Bullet DavulLink tehdidi aktör ilk önce, 2020 Ekim ayında, bu Phaas operasyonunun bazı iç işlerini ortaya çıkarmak için üç parçalı bir seriyi [1, 2, 3] yayınlayan OSINT fanları tarafından görüldü.
Bulunmuş gibi, BulletProftLink ICQ Grup Sohbeti geçen yıl 1.618 üyeye sahipti, "Çalınan şifrelerin tüm potansiyel alıcıları ve bulletproftlink kimlik avı hizmetleri."
Not, kurşun geçirmezlink tarafından sağlanan büyük ölçekli kimlik avı kampanyaları, tehdit oyuncusu çeteleri tarafından kullanılan çift gasp gibi, tehdit oyuncunun karını artırmak için bir yöntem olan "çift hırsızlık" da kullanır.
Çift hırsızlık Microsoft, kimlik avı saldırılarında çalınan kimlik bilgilerinin, kampanyada kullanılan PhAAS operatörleri tarafından kontrol edilen bir ikincil sunucuya da gönderilir.
Bu şekilde, kurşun geçirmezlink müşterileri tarafından toplanan kimlik bilgileri, hizmetlerini kullanan siber suçlular kullanıcısına nasıl gönderilir.
Microsoft ekledi, "Hem fidye yazılımı hem de kimlik avı, saldırıları kolaylaştırmak için kaynakları tedarik eden operatörler, çalınan verileri, erişim ve kimlik bilgilerinin mümkün olduğu kadar çok şekilde kullanılması durumunda para kazanmasını sağlar" diye ekledi.
"Bu, kurşun geçirmezlink phishing kiti için geçerlidir ve hizmeti kullanan saldırganların kampanyaları yürütmek yerine bir haftanın sonunda kimlik bilgilerini ve kütüklerini aldığı durumlarda, PHAAS operatörü yeniden satıldıkları tüm kimlik bilgilerini kontrol etti."
Bu taktiği kullanarak, Phaas operatörleri karlarını fazla çaba harcadıkları, onları daha fazla motive etmeden ve devam eden operasyonlarını finanse etmeden artırır.
Tehdit oyuncusu, bir teknikle Microsoft, "Sonsuz SubDomain kötüye kullanımı" çağrısında "Sonsuz SubDomain kötüye kullanımı" çağrısında bulundu, saldırganların, yalnızca tek bir etki alanı kullanırken, saldırılardan önce tehlikeye giren veya satın alındı.
Bu taktik, saldırganlar bir web sitesinin DNS'yi tehlikeye atabilecekleri veya tehlikeye giren siteler, sınırsız joker karakter alt alanlarına izin veren bir DNS kullanılarak yapılandırıldığında kullanılır.
Sonsuz SubDomain kötüye kullanımı, herhangi bir tek seferde dağıtılmaya hazır olan mevcut benzersiz alanların sayısını en üst düzeye çıkarırken, bir kimlik avı kampanyasına giren çabayı en aza indirdiği göz önüne alındığında giderek daha popüler bir taktiktir.
Ayrıca, "Eşsiz URL'lerin oluşturulması, yalnızca etki alanları ve URL'ler için kesinlikle uyumanıza dayanan azaltma ve algılama yöntemlerine bir zorluk oluşturur."
"Bu raporun şu anda, Bullet DavposuLink, meşru web barındırma sağlayıcılarından şifre işleme bağlantılarına büyük miktarda yönlendirmeyle aktif kimlik avı kampanyalarını çalıştırmaya devam ediyor" dedi. Microsoft oldu.
Yeni Windows Güvenlik Güncellemeleri Ağ Yazdırmayı Break
Microsoft, Windows 11'i yeni yapı ile serbest bırakmaya hazır hale getirir
Kötü amaçlı yazılımlar, hatalı biçimlendirilmiş sertifikalarla Windows doğrulama
Microsoft yeni Windows 11 motorlu yüzey cihazlarını duyurdu
Microsoft PC Sağlık Kontrolü ayrıntılı Windows 11 uyumluluk bilgisi ekler
Kaynak: Bleeping Computer