Kaynak: Basın bülteni
Saldırganlar, kullanıcıları sahte sitelere yönlendirmek ya da zararlı yazılım indirtmek için yasal Microsoft hizmet bağlantıları içeren e-postalar gönderdi. Resmi Microsoft bildirimi süsü verilmiş iletilerde, erişim bilgilerinin güncellenmesi veya belge imzalanması bahanesiyle bağlantıya tıklanması istendi. Kaspersky, yılın başında Microsoft'un kimlik doğrulama mekanizmasını kötüye kullanan oltalama kampanyası duyurmuştu.
Yönlendirme mekanizması için Microsoft hesabı açılarak Microsoft Entra yönetim merkezine giriş yapılıyor ve uygulama kayıt bölümünden yeni uygulama tanımlanıyor. Kayıt aşamasında tanımlanabilen yönlendirme URI'sine saldırganlar zararlı sitelerinin adresini yerleştiriyor; son adımda uygulama kimliğini ve bu adresi içeren Microsoft yönlendirme bağlantılı e-postalar hedef kullanıcılara iletiliyor.
Saldırganların zararlı içeriklerini Microsoft Entra üzerinden meşru bildirim iletilerine gömdüğü de tespit edildi. Dolandırıcılar sahte profiller oluşturup Microsoft Hesabım portalında kurbanın e-posta adresini yedek posta kutusu olarak tanımlıyor. Böylece kurbana talep edilmemiş doğrulama kodu ulaşıyor; sahte mesaj ise konu ve imza bölümlerinde meşru bildirimle görünüyor.
Kaspersky E-posta Tehditlerinden Korunma Grubu Müdürü Andrey Kovtun, "Dolandırıcı bağlantı ve iletilerin bir şirketin adı kullanılarak değil, bizzat resmi servisleri üzerinden gönderildiğine ilk kez şahit olmuyoruz. Bu durum saldırılara tehlikeli bir meşruiyet payı kazandırarak tuzağın fark edilmesini son derece güçleştiriyor" dedi.