Yeni kimlik avı saldırıları, Microsoft Teams Group sohbet isteklerini, Darkgate kötü amaçlı yazılım yüklerini kurban sistemlerine yükleyen kötü amaçlı ekleri zorlamak için sohbet isteklerini kötüye kullanır.
AT&T Cybersecurity Research'e göre saldırganlar, 1000'den fazla kötü amaçlı takım grup sohbet davetiyesi göndermek için uzlaşmış bir ekip kullanıcısı (veya alan adı) gibi görünen şeyi kullandı.
Hedefler sohbet talebini kabul ettikten sonra, tehdit aktörleri onları 'Ekim 2023.pdf.msi, ortak bir Darkgate taktiği' gelecekteki değişikliklerde gezinme 'adlı bir çift uzantı kullanarak bir dosya indirmeye kandırıyor.
Kurulduktan sonra, kötü amaçlı yazılım, Palo Alto Networks tarafından Darkgate kötü amaçlı yazılım altyapısının bir parçası olarak onaylanmış olan HgfdytryWQ [.] Com'daki komut ve kontrol sunucusuna ulaşacaktır.
Bu kimlik avı saldırısı mümkündür çünkü Microsoft harici Microsoft kullanıcılarının varsayılan olarak diğer kiracıların kullanıcılarına mesaj atmasına izin verir.
AT&T Siber Güvenlik Ağ Güvenlik Mühendisi Peter Boyle, "Günlük iş kullanımı için kesinlikle gerekli olmadıkça, e -posta genellikle daha güvenli ve daha yakından izlenen bir iletişim kanalı olduğundan, Microsoft ekiplerinde harici erişimin devre dışı bırakılması tavsiye edilir."
"Her zaman olduğu gibi, son kullanıcılar istenmeyen mesajların nereden geldiğine dikkat etmek için eğitilmeli ve kimlik avının tipik e -postanın ötesinde birçok form alabileceğini hatırlatmalıdır."
Microsoft Teams, aylık 280 milyon kullanıcıdan oluşan büyük havuzu nedeniyle tehdit aktörleri için cazip bir hedef haline geldi. Darkgate operatörleri, yöneticilerin harici erişim ayarını devre dışı bırakarak kiracılarını güvence altına almadığı organizasyonları hedefleyen saldırılardaki Microsoft ekipleri aracılığıyla kötü amaçlı yazılımlarını iterek bundan yararlanırlar.
Geçen yıl benzer kampanyalar, Darkgate kötü amaçlı yazılımları tehlikeye atılan harici Office 365 hesapları ve VBA yükleyici komut dosyası ekleri içeren mesajlar gönderen Skype hesapları aracılığıyla itti.
Storm-0324 gibi ilk erişim brokerleri, Microsoft ekiplerinde bir güvenlik sorununu kullanan TeamSphisher adlı halka açık bir araç yardımıyla kurumsal ağları ihlal etmek için kimlik avı için Microsoft ekiplerini kullandı.
TeamSphisher, saldırganların harici kiracı hesaplarından dosya teslimatını engellemesi gereken istemci tarafı korumalarına rağmen kötü amaçlı yükler göndermelerini sağlar.
Rusya Dış İstihbarat Servisi'nin (SVR) bir hack bölümü olan Apt29, devlet kurumları da dahil olmak üzere dünya çapında düzinelerce kuruluşu hedeflemek için aynı konuyu kullandı.
Ağustos ayında Qakbot Botnet'i bozan uluslararası işbirlikçi çabalarının ardından, siber suçlular, kurumsal ağlara ilk erişimin tercih ettikleri araçlar olarak giderek daha fazla Darkgate kötü amaçlı yazılım yükleyicisine döndüler.
Qakbot Botnet kaldırılmadan önce, Darkgate'in geliştiricisi olduğunu iddia eden bir kişi, bir hack forumunda yıllık 100.000 dolarlık abonelik satmaya çalıştı.
Darkgate'in geliştiricisi, gizli bir VNC, Windows Defender'ı atlamak için araçlar, bir tarayıcı geçmişi hırsızlığı aracı, entegre bir ters proxy, bir dosya yöneticisi ve bir uyumsuzluk jeton çalıcı gibi birçok yetenek içerdiğini söyledi.
Geliştiricinin duyurulmasından sonra, bildirilen Darkgate enfeksiyonlarında kayda değer bir artış olmuştur, siber suçlular kimlik avı ve kötü niyetli de dahil olmak üzere çeşitli teslimat yöntemleri kullanmıştır.
Google: Rus FSB bilgisayar korsanları yeni Spica Backdoor kötü amaçlı yazılım dağıtıyor
Büyüleyici kedi hackerları macOS için yeni 'Noknok' kötü amaçlı yazılım kullanıyor
Yeni Web Enjeksiyonları Kampanyası 50.000 kişiden bankacılık verilerini çalıyor
QBOT kötü amaçlı yazılım, misafirperverlik endüstrisini hedefleyen kampanya
Bilgisayar korsanları USB kötü amaçlı yazılım yüklerini haberler, medya barındırma siteleri aracılığıyla itin
Kaynak: Bleeping Computer