ARToken PhaaS: Microsoft 365 Kullanıcılarını Hedefleyen ARToken ve EvilTokens Phishing Araç Seti

Giriş

Son dönemde siber tehdit aktörleri, kurumsal ve bireysel kullanıcıları hedefleyen sofistike phishing saldırılarını Phishing-as-a-Service (PhaaS) modeliyle ticari hale getirmektedir. ARToken, bu tehdit ortamına yeni bir örnek olarak ortaya çıkmıştır. Araştırmacılar tarafından EvilTokens adlı bilinen bir phishing platformunun iştirakçisi olarak tanımlanan ARToken, Microsoft 365 hesaplarını hedefleyen geniş bir araç seti sunmaktadır. Bu makalede, ARToken'ın teknik özellikleri, saldırı yöntemleri ve savunma stratejileri detaylandırılacaktır.

Sorun Tanımı

ARToken, EvilTokens ile bağlantılı olarak çalışan ve Microsoft 365 kullanıcılarını hedefleyen bir PhaaS platformudur. Temel özellikleri arasında:

• Otomatikleştirilmiş Phishing Kampanyaları: Kullanıcıların e-posta, kimlik bilgisi ve diğer hassas verilerini çalmayı amaçlayan otomatik olarak dağıtılan phishing e-postaları.
• Gelişmiş Kimlik Avı Şablonları: Microsoft 365 markasını taklit eden sahte oturum açma sayfaları ve uyarı mesajları.
• Affiliate Sistemi: ARToken'ın EvilTokens ile entegre çalışarak daha geniş bir saldırı ağı oluşturması.
• Veri Toplama ve Raporlama: Kurbanlardan çalınan verilerin yönetici paneli üzerinden izlenmesi ve analiz edilmesi.

Bu saldırıların temel hedefi, Microsoft 365 gibi yaygın kullanılan bulut hizmetlerine erişim sağlamaktır. Kurbanların kimlik bilgileri çalındığında, saldırganlar kurumsal verileri, iletişim geçmişini ve diğer hassas bilgileri ele geçirebilir.

ARToken'ın Teknik Altyapısı

1. Phishing Kampanyalarının Oluşturulması

ARToken, kullanıcı dostu bir arayüz üzerinden phishing kampanyalarının oluşturulmasını ve yönetilmesini sağlar. Bu süreç aşağıdaki adımlardan oluşur:

1. Kampanya Tanımlama:

   POST /api/campaigns
   {
     "name": "Microsoft 365 Kimlik Doğrulama Uyarısı",
     "target": "corporate@domain.com",
     "template_id": "m365_login_alert",
     "schedule": "immediate",
     "redirect_url": "https://fake-microsoft-login.com/auth"
   }

2. E-posta Şablonlarının Seçimi: ARToken, Microsoft 365'in resmi e-posta şablonlarını taklit eden hazır şablonlar sunar. Örneğin:

   GET /api/templates
   Authorization: Bearer [ARTOKEN_API_KEY]

3. Hedef Kitle Belirleme: Kampanya, belirli bir domaindeki kullanıcılara (örn. @company.com) veya rastgele seçilen hedeflere gönderilebilir.

2. Sahte Oturum Açma Sayfaları

ARToken, Microsoft 365'in resmi oturum açma sayfasını taklit eden sahte sayfalar oluşturur. Bu sayfalar, kullanıcıların kimlik bilgilerini girmesini sağlar. Örnek bir sahte sayfa URL'si:

https://login.microsoftonline-security-alert.com/common/oauth2/authorize

Bu sayfalar, gerçek Microsoft 365 sayfasını taklit etmek için aşağıdaki teknikleri kullanır:

• Domain Spoofing: Resmi domainlere benzer domainler kullanmak (örn. microsoftonline-security-alert.com).
• SSL Sertifikası Taklit Etme: Geçerli SSL sertifikaları kullanarak kullanıcıların güvenini kazanmak.
• Dinamik İçerik Enjeksiyonu: Kullanıcının gerçek e-posta adresini veya şirket logosunu görüntüleyerek saldırıyı daha inandırıcı hale getirmek.

3. Veri Toplama ve Raporlama

ARToken, çalınan kimlik bilgilerini ve diğer verileri yönetici paneli üzerinden toplar. Bu panelde aşağıdaki özellikler bulunur:

• Kurban Listesi: Hangi kullanıcıların saldırıya maruz kaldığı ve kimlik bilgilerini girdiği.
• Veri Analizi: Çalınan verilerin coğrafi dağılımı, giriş zamanları ve diğer istatistikler.
• Otomatik Bildirimler: Yeni kurbanlar tespit edildiğinde e-posta veya SMS yoluyla uyarı gönderilmesi.

Saldırı Vektörleri ve Savunma Stratejileri

1. E-posta Filtreleme ve Tanımlama

Uyarı: ARToken tarafından gönderilen phishing e-postaları, resmi Microsoft 365 e-postalarına benzeyebilir. Ancak aşağıdaki ipuçlarına dikkat edilmelidir:

• E-posta adresinin gerçek Microsoft 365 domainine (microsoft.com) ait olup olmadığı kontrol edilmelidir.
• E-posta içindeki bağlantıların gerçekten Microsoft 365'e yönlendirip yönlendirmediği doğrulanmalıdır.
• Dilbilgisi hataları veya acil durum uyarıları gibi olağandışı unsurlar dikkatlice incelenmelidir.

2. Çok Faktörlü Kimlik Doğrulama (MFA) Uygulanması

Microsoft 365 hesaplarının korunmasında en etkili yöntemlerden biri Çok Faktörlü Kimlik Doğrulama (MFA)'dır. MFA, kullanıcıların yalnızca şifrelerini değil, aynı zamanda ikinci bir doğrulama yöntemi (örn. SMS, uygulama tabanlı token veya biyometrik doğrulama) kullanmasını gerektirir. ARToken gibi phishing saldırıları karşısında MFA, hesapların ele geçirilmesini önemli ölçüde zorlaştırır.

MFA'nın etkinleştirilmesi için:

Microsoft 365 Admin Center → Security → MFA → Enable for all users

3. Güvenlik Politikalarının Güncellenmesi

Microsoft 365'te aşağıdaki güvenlik politikaları uygulanarak ARToken gibi saldırılara karşı korunma sağlanabilir:

1. Güvenlik Varsayılanları:

   Microsoft 365 Admin Center → Security → Policies → Security Defaults → Enable

   Bu seçenek, temel güvenlik ayarlarını otomatik olarak etkinleştirir (örn. MFA, engellenmiş eski protokoller).

2. Koşullu Erişim Politikaları:

   Microsoft 365 Admin Center → Security → Conditional Access → New Policy
   {
     "name": "Block Phishing Login Attempts",
     "users": ["All Users"],
     "conditions": {
       "applications": ["Microsoft 365"],
       "clientApps": ["Browser"],
       "locations": ["All Trusted Locations"]
     },
     "grantControls": {
       "builtInControls": ["MFA"],
       "customControls": []
     },
     "sessionControls": {
       "signInFrequency": "1:00:00:00"
     }
   }

4. Kullanıcı Farkındalığının Artırılması

ARToken gibi phishing saldırlarına karşı en etkili savunma yöntemlerinden biri, kullanıcıların eğitimidir. Aşağıdaki adımlar izlenerek kullanıcıların farkındalığı artırılabilir:

• Phishing Simülasyonları: Kullanıcılara gerçek phishing e-postaları göndererek saldırıları tanımaları sağlanabilir.
• Eğitim Modülleri: Çalışanlara phishing saldırıları, güvenlik en iyi uygulamaları ve Microsoft 365 güvenliği hakkında eğitim verilmelidir.
• Olay Müdahale Planları: Phishing saldırısı tespit edildiğinde izlenecek adımlar hakkında kullanıcılar bilgilendirilmelidir.

İleri Düzey Analiz ve Tespit

1. Ağ Trafiği Analizi

ARToken tarafından kullanılan sahte domainler ve IP adresleri, ağ trafiği analiz edilerek tespit edilebilir. Örneğin, aşağıdaki komutlar kullanılarak şüpheli trafik izlenebilir:

# Shodan kullanarak ARToken ile ilişkili IP'leri bulma
shodan search "ARToken phishing" --fields ip_str,port

# Wireshark kullanarak şüpheli bağlantılar analiz etme
wireshark -k -i eth0 -Y "http contains 'microsoftonline-security-alert.com'"

2. Log Analizi

Microsoft 365'teki log'lar incelenerek ARToken saldırıları tespit edilebilir. Örneğin, aşağıdaki komutlar kullanılarak başarısız oturum açma girişimleri incelenebilir:

# Microsoft 365 Security & Compliance Center üzerinden log'ları inceleme
Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-7) -EndDate (Get-Date) -Operations UserLoginFailed

# PowerShell kullanarak log'ları CSV formatında dışa aktarma
Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-7) -EndDate (Get-Date) -Operations UserLoginFailed | Export-Csv -Path "FailedLogins.csv" -NoTypeInformation

3. Threat Intelligence Entegrasyonu

ARToken ve EvilTokens gibi tehdit aktörlerine ait IOC'ler (Indicators of Compromise) threat intelligence platformlarına entegre edilebilir. Örneğin, aşağıdaki kaynaklardan IOC'ler alınabilir:

• abuse.ch
• VirusTotal
• MISP

Bu IOC'ler, SIEM (Security Information and Event Management) sistemlerine entegre edilerek otomatik olarak algılanabilir.

Sonuç

ARToken ve EvilTokens gibi PhaaS platformları, Microsoft 365 kullanıcılarını hedefleyen sofistike saldırılar gerçekleştirmektedir. Bu tehditlere karşı korunmanın en etkili yolu, çok katmanlı savunma stratejileri uygulamaktır. Bu stratejiler arasında MFA'nın etkinleştirilmesi, güvenlik politikalarının güncellenmesi, kullanıcı farkındalığının artırılması ve ileri düzey analiz tekniklerinin kullanılması yer almaktadır. Ayrıca, Microsoft 365'teki log'ların ve ağ trafiğinin sürekli olarak izlenmesi, saldırıların erken tespit edilmesine yardımcı olacaktır.

Siber tehditler sürekli gelişmekte olduğundan, güvenlik ekiplerinin en son saldırı teknikleri hakkında güncel kalmaları ve savunma stratejilerini sürekli olarak iyileştirmeleri gerekmektedir.