Devam eden bir kimlik avı kampanyası, şirketlerin saldırıya uğradığını iddia eden sahte e-postalarla LastPass ve Bitwarden kullanıcılarını hedef alıyor ve onları şifre yöneticisinin sözde daha güvenli bir masaüstü sürümünü indirmeye teşvik ediyor.
Mesajlar, alıcıları, BleepingComputer'ın BT operasyonlarını kolaylaştırmak için yönetilen hizmet sağlayıcılar (MSP) tarafından kullanılan bir uzaktan izleme ve yönetim (RMM) aracı olan Syncro'yu yüklediğini keşfettiği bir ikili dosyayı indirmeye yönlendiriyor.
Tehdit aktörleri, ScreenConnect uzaktan destek ve erişim yazılımını dağıtmak için Syncro MSP programını kullanıyor.
LastPass, bu hafta yayınladığı tehdit uyarısında şirketin herhangi bir siber güvenlik olayına maruz kalmadığını ve mesajların bir tehdit aktörünün sosyal mühendislik çalışması olduğunu açıkça belirtiyor.
LastPass, "Açık olmak gerekirse, LastPass saldırıya uğramadı ve bu, kötü niyetli bir aktörün dikkat çekme ve alıcının zihninde aciliyet yaratma girişimidir; bu, sosyal mühendislik ve kimlik avı e-postaları için yaygın bir taktiktir" diyor.
Şirkete göre kampanya, muhtemelen Columbus Günü tatili hafta sonu boyunca azalan personel sayısından ve gecikme tespitinden yararlanmak için hafta sonu başladı.
Kimlik avı e-postaları iyi hazırlanmış ve alıcıları, LastPass'ın, kasa bilgilerine erişime izin veren zayıf yönleri olan "modası geçmiş .exe biçimi"nin yerine MSI'nın yerine geçmek üzere geliştirdiği daha güvenli bir masaüstü uygulamasını yüklemeye teşvik ediyor.
Tehdit aktörünün sahte güvenlik uyarısında "Saldırganlar, belirli koşullar altında önbelleğe alınmış kasa verilerine yetkisiz erişime izin verebilecek eski .exe kurulumlarındaki zayıflıklardan yararlandı" deniyor.
LastPass, sahte mesajların 'hello@lastpasspulse[.]blog'dan geldiğini ancak BleepingComputer'ın 'hello@lastpasjournal[.]blog'dan gönderilen e-postaları da gördüğünü belirtiyor.
Kimlik avı e-postaları aynı zamanda Bitwarden'ın kimliğine bürünüyor ve aynı yazı stilini paylaşıyor ve bir aciliyet duygusu yaratmak ve alıcıları geliştirilmiş bir masaüstü uygulamasına yönelik indirme bağlantısını takip etmeye ikna etmek amacıyla cezbediyor.
Dün BleepingComputer, "hello@bitwardenbroadcast.blog" adresinden, kullanıcıların yüklemesi gereken güvenli bir istemci uygulamasının yayınlanmasına neden olan benzer bir güvenlik olayını anlatan bir bildirim aldı.
Bu yazının yazıldığı sırada Cloudflare, sahte e-postaların içerdiği açılış sayfalarına erişimi engelliyor ve bunları kimlik avı girişimleri olarak işaretliyor.
BleepingComputer, LastPass ve Bitwarden kullanıcılarını hedef alan kimlik avı e-postalarında dağıtılan ikili örnekleri aldı ve bunların işlevsel olarak aynı olduğunu buldu.
Kötü amaçlı yazılım, kullanıcının yeni araçtan habersiz kalmasını sağlamak amacıyla Syncro MSP platform aracısını sistem tepsisi simgesini gizleyen parametrelerle yükler.
Gözlemlerimize göre Syncro'nun tek amacı, ScreenConnect destek aracını, tehdit aktörünün uç noktaya uzaktan erişmesini sağlayan bir "kendini getir" yükleyicisi olarak dağıtmak gibi görünüyor.
Syncro aracısının çok az seçenekle yapılandırılmış olması, tehdit aktörünün yalnızca ihtiyaç duyduğu işlevsellikle sınırlı olduğunu gösteriyor.
Yapılandırma dosyaları, aracının her 90 saniyede bir sunucuya giriş yaptığını gösterir. Yerleşik uzaktan erişimi etkinleştirmemiştir ve Syncro platformuyla birlikte gelen Splashtop uzaktan destek yardımcı programlarını veya entegrasyonu bulunan TeamViewer'ı dağıtmaz.
Ayrıca, çıkarılan yapılandırma, tehlikeye atılan uç noktada güvenlik çözümlerini dağıtmaya yönelik politikalar içermiyordu ve Emsisoft, Webroot ve Bitdefender aracılarını devre dışı bıraktı.
ScreenConnect bir cihaza yüklendikten sonra, tehdit aktörleri hedefin bilgisayarına uzaktan bağlanarak daha fazla kötü amaçlı yazılım yükü dağıtabilir, verileri çalabilir ve kaydedilen kimlik bilgileri aracılığıyla potansiyel olarak kullanıcıların şifre kasalarına erişebilir.
Geçen hafta başka bir kampanya, hesaplarının ele geçirildiğine dair yanlış uyarıda bulunan e-postalarla 1Password kullanıcılarını hedef aldı. Mesajdaki ifadelerden ve açılış URL'sinden gönderen adresine (watchtower@eightninety[.]com) kadar bu etkinliğe ilişkin göstergeler farklıydı.
Siber güvenlik şirketi Malwarebytes'teki araştırmacılar, yerleşik bir düğmeye tıklayan kullanıcıların Mandrillapp yönlendirmesi yoluyla bir kimlik avı sayfasına (onepass-word[.]com) yönlendirildiğini söylüyor.
1Password'u hedef alan saldırılar ilk olarak 25 Eylül'de Brett Christensen (Hoax-Slayer) tarafından rapor edildi.
Şifre yönetimi araçlarının kullanıcıları bu tür uyarıları göz ardı etmeli ve incelenmeyi bekleyen güvenlik uyarılarını kontrol etmek için her zaman sağlayıcının resmi web sitesinde oturum açmalıdır.
E-postalarda iddia edilenler gibi önemli güvenlik olayları da şirketlerin blogları ve basın bültenleri aracılığıyla geniş çapta duyuruluyor; bu nedenle resmi kanalları tekrar kontrol etmek her zaman iyi bir uygulamadır.
Ayrıca şirketlerin hiçbir zaman kasalarınızın ana şifresini istemeyeceğini de hatırlamakta fayda var.
Güncelleme 10/16 - Syncro, kimlik avı kampanyasıyla ilgili olarak BleepingComputer'a aşağıdaki bildirimi gönderdi:
"Kötü amaçlı hesapları tespit ettik ve başka aracıların yüklenemeyeceğinden emin olmak için kurulumları kapattık. Syncro platformunun kendisi tehlikeye atılmadı; bunun yerine, bu hesabı oluşturan ve daha sonra onu kötü amaçlarla kullanan, MSP gibi davranan kötü niyetli bir aktör." - Bir Syncro sözcüsü
Ortamların %46'sında şifreler kırıldı; bu oran geçen yılki %25'ten neredeyse iki katına çıktı.
Önleme, tespit ve veri hırsızlığı eğilimlerine ilişkin daha fazla bulguya kapsamlı bir bakış için Picus Blue Report 2025'i hemen edinin.
PyPI, kullanıcıları yeni kimlik avı saldırılarından sonra kimlik bilgilerini sıfırlamaya çağırıyor
GDPR güvenlik eğitiminin ötesinde: Düzenlemeyi fırsata dönüştürmek
Sahte 'Enflasyon İadesi' metinleri yeni dolandırıcılıkla New Yorkluları hedef alıyor
İspanya "GXC Team" siber suç örgütünü dağıttı, liderini tutukladı
Yeni MatrixPDF araç seti, PDF'leri kimlik avı ve kötü amaçlı yazılım tuzağına dönüştürüyor
Kaynak: Bleeping Computer