Microsoft, 12 Bin Hesabı Vuran EvilTokens’ı Çökertti

Microsoft, kimlik avı saldırılarını abonelik modeliyle kolaylaştıran EvilTokens platformuna yönelik operasyonun ayrıntılarını paylaştı. Telegram üzerinden kiralanan sistem, saldırganların hedef seçmesinden ele geçirilen hesapları incelemesine kadar birçok aşamayı tek bir hizmet altında birleştiriyordu. Platformun, 10 binden fazla kurumu hedef alan ve 12 binden fazla Microsoft hesabının ele geçirilmesiyle bağlantılı olduğu belirtildi.

Operasyonun ardından EvilTokens altyapısıyla ilişkilendirilen 50 web sitesine el konuldu. Ayrıca 150 alan adı devre dışı bırakıldı. İngiltere’de ise platformla bağlantılı olduğu değerlendirilen iki kişi gözaltına alındı. Bu müdahaleler, saldırganların hazır araçlara erişimini kesmeyi amaçlasa da kullanılan yöntemlerin farklı platformlar üzerinden sürdürülebilme ihtimali ortadan kalkmış değil.

EvilTokens, Microsoft’un cihaz kodu yöntemini kötüye kullandı

Platformun saldırı yöntemi, Microsoft’un akıllı televizyonlar ve yazıcılar gibi cihazlarda kullandığı cihaz kodu tabanlı oturum açma sürecini taklit ediyordu. Saldırganlar, kullanıcıya Microsoft’tan gönderilmiş izlenimi veren bir e-posta iletiyordu. Mesajdaki bağlantı, kullanıcıyı gerçek Microsoft giriş sayfasına yönlendiriyordu.

Buradaki kritik ayrıntı, kullanıcının sahte bir giriş sayfasına şifre yazmamasıydı. Saldırgan, aynı anda kendi cihazında bir oturum başlatıyor ve kullanıcıdan ekranda gösterilen kodu gerçek Microsoft sayfasına girmesini istiyordu. Kullanıcı bu işlemi kendi hesabına giriş yapmak için yaptığını düşünürken aslında saldırganın başlattığı oturumu yetkilendiriyordu.

Şifrenin doğrudan paylaşılmaması ve giriş işleminin gerçek Microsoft alan adında gerçekleşmesi, yöntemin fark edilmesini zorlaştırıyordu. Klasik kimlik avı saldırılarında kullanılan sahte giriş ekranlarının bulunmaması, kullanıcıların bağlantıyı daha güvenilir görmesine yol açabiliyordu. Hesap erişimi bu şekilde sağlandıktan sonra saldırganlar, e-posta kutusundaki içerikleri incelemek için EvilTokens’ın araçlarını kullanıyordu.

Yapay zekâ, ele geçirilen posta kutusunu analiz etti

EvilTokens’ın öne çıkan tarafı, ele geçirilen hesaplardan elde edilen verilerin yapay zekâ araçlarıyla analiz edilebilmesiydi. Sistem, yüzlerce yazışmayı tarayarak yöneticileri, ödeme süreçlerinde görev alan çalışanları ve finansal bilgiler içeren konuşmaları ayıklayabiliyordu. Böylece saldırganların uzun e-posta zincirlerini tek tek okumasına gerek kalmıyordu.

Bir çalışanın şirket içindeki rolü ve önceki yazışmaları belirlendikten sonra, o kişiye uygun yeni mesajlar hazırlanabiliyordu. Örneğin saldırganlar, iletişim geçmişine dayanarak sahte bir fatura veya ödeme talebi oluşturabiliyordu. Bu yaklaşım, genel ve kolay fark edilen mesajlar yerine kurumdaki gerçek iş akışına benzeyen talepler hazırlanmasını sağlıyordu.

Yapay zekânın burada kullanımı, doğrudan yeni bir saldırı tekniği üretmekten çok, ele geçirilmiş veriyi hızlı biçimde anlamlandırma işlevi taşıyordu. Bir posta kutusunda hangi kişilerin para transferlerinde etkili olduğu, hangi bilgilerin değer taşıdığı ve sonraki saldırının kime yöneltilebileceği kısa sürede belirlenebiliyordu. Bu da saldırganların keşif aşamasında harcadığı zamanı azaltıyordu.

Hizmet olarak kimlik avı modeliyle satılıyordu

EvilTokens, “Hizmet Olarak Kimlik Avı” modeliyle sunuluyordu. Platforma erişim için başlangıçta 1.500 dolar, devam eden kullanım içinse aylık 500 dolar talep ediliyordu. Telegram üzerinden kiralanan hizmet, saldırganların kendi altyapılarını kurmasına gerek bırakmadan farklı aşamalarda kullanabilecekleri araçları hazır biçimde sağlıyordu.

Bu model, teknik kapasitesi sınırlı kişilerin de daha karmaşık saldırılar düzenlemesini kolaylaştırıyor. Saldırganların alan adı, kimlik avı sayfası, oturum yönetimi ve hedef analizi gibi bileşenleri ayrı ayrı hazırlaması yerine, bu işlemleri tek bir paket üzerinden yürütmesine imkân veriyordu. Böylece saldırı hazırlığı kısalırken operasyonların daha fazla kişiye ulaşması mümkün hâle geliyordu.

Microsoft’un müdahalesi EvilTokens’ın kullandığı altyapıyı devre dışı bıraktı; ancak olay, yapay zekânın siber suçlarda yalnızca içerik üretimi için değil, çalınan hesapların önceliklendirilmesi ve kurumsal ilişkilerin çözümlenmesi için de kullanılabildiğini gösteriyor. Platformun kapatılması belirli bir hizmeti ortadan kaldırsa da benzer özelliklerin farklı suç ağları tarafından yeniden sunulması ihtimali devam ediyor.