Siber suçluların yeni tuzağı: Tarayıcı belleği üzerinden vergi ve şifreli mesaj hırsızlığı

Siber güvenlik araştırmacıları, oturum açma kimlik bilgilerini şifrelemeyle korunsa bile çalmak için nadiren kullanılan sinsi bir teknikle karşı karşıya olduğumuzu ortaya koydu.

Cofense’nin yeni araştırmasına göre, siber suçlular artık geçici yerel içerik görüntülemek için tasarlanmış bir tarayıcı özelliği olan blob URI’lerini kimlik avı sayfaları sunmak için kötüye kullanıyor.

Blob URI’leri tamamen kullanıcının tarayıcısı içinde oluşturulup erişildiği için kimlik avı içeriği halka açık bir sunucuda asla var olmuyor.

Bu durum, en gelişmiş uç nokta koruma sistemlerinin bile bunu tespit etmesini son derece zorlaştırıyor.

GİZLİ TEKNİK NASIL İŞLİYOR

Bu kampanyalarda, kimlik avı süreci Güvenli E-posta Ağ Geçitlerini (SEG’ler) kolayca aşan bir e-postayla başlıyor.

Bu e-postalar genellikle meşru görünen bir sayfaya bağlantı içeriyor ve genellikle Microsoft’un OneDrive’ı gibi güvenilir etki alanlarında barındırılıyor.

Ancak bu ilk sayfa, kimlik avı içeriğini doğrudan barındırmıyor. Bunun yerine, bir aracı olarak hareket ediyor ve tehdit aktörü tarafından kontrol edilen ve bir blob URI’sine kodlanan bir HTML dosyasını sessizce yüklüyor.

Sonuç olarak kurbanın tarayıcısında Microsoft’un oturum açma portalını taklit edecek şekilde tasarlanmış sahte bir oturum açma sayfası oluşturuluyor.

MAĞDURLAR NASIL ETKİLENİYOR VE KORUNMA YOLLARI NELER

Mağdur için hiçbir şey yersiz görünmüyor; garip URL’ler veya bariz dolandırıcılık belirtileri yok, sadece güvenli bir mesajı görüntülemek veya bir belgeye erişmek için oturum açma istemi geliyor.

Blob URI’leri tamamen tarayıcının belleğinde çalıştığı ve oturum dışından erişilemediği için geleneksel güvenlik araçları içeriği tarayamıyor veya engelleyemiyor.

Girilen kimlik bilgileri sessizce uzaktaki bir tehdit aktörü uç noktasına sızdırılıyor ve kurbanın haberi olmuyor.

Yapay zeka tabanlı güvenlik filtreleri de bu saldırıları yakalamakta zorlanıyor çünkü blob URI’leri nadiren kötü amaçlı kullanılıyor.