"Microsoft'tan Vergi Temalı E-Posta Saldırılarına Karşı Kritik Uyarı: PDF ve QR Kodlarla Gelen Tehlike"
Microsoft, vergi sezonunun yaklaşmasıyla birlikte artan siber saldırılara karşı kullanıcıları uyardı. Şirketin açıklamasına göre, son dönemde tespit edilen birçok oltalama kampanyası, e-posta eklerinde yer alan PDF dosyaları ve QR kodları üzerinden kötü amaçlı yazılımlar yaymayı amaçlıyor.
Bu saldırıların merkezinde, kimlik bilgilerini ele geçirmek amacıyla kullanıcıları sahte giriş sayfalarına yönlendiren "RaccoonO365" isimli bir kimlik avı platformu yer alıyor. Bununla birlikte, uzaktan erişim trojanları (RAT) olan Remcos, Latrodectus, AHKBot, GuLoader ve BruteRatel C4 (BRc4) gibi zararlılar da bu kampanyalarla birlikte yayılıyor.
PDF eklerinde yer alan bağlantılar, Rebrandly gibi servislerle kısaltılarak kullanıcıları sahte bir DocuSign sayfasına yönlendiriyor. Buradaki “İndir” butonuna tıklandığında ise sistem ve IP adresine göre zararlı içerikler indiriliyor.
12-28 Şubat 2025 tarihleri arasında yürütülen ikinci kampanya, ABD'de mühendislik, bilişim ve danışmanlık sektörlerinden 2.300’den fazla kurumu hedef aldı. Bu kampanyada e-postaların gövdesinde içerik yer almazken, ekli PDF’lerde QR kodlar bulunuyordu.
AHKBot bulaşma zincirleri ise kullanıcının sahte bir Excel dosyasını indirmesiyle başlıyor. Dosya açıldığında ve makrolar etkinleştirildiğinde, ekran görüntüsü alan bir modül çalıştırılarak bu veriler dış bir sunucuya aktarılıyor.
GuLoader ise PDF içindeki bağlantıya tıklanmasıyla indirilen ZIP dosyası içindeki sahte .lnk dosyaları üzerinden sisteme bulaşıyor.
Storm-0249 grubuna atfedilen başka bir kampanyada ise, sahte Windows 11 Pro sayfaları üzerinden Latrodectus'un yeni sürümü dağıtıldı.
Palo Alto Networks’e göre, QR kod kullanan bu saldırılar genellikle doğrudan zararlı alan adlarına yönlendirme yapmıyor. Bunun yerine, meşru sitelerdeki açık yönlendirme mekanizmaları kötüye kullanılıyor.
Microsoft, vergi sezonunun yaklaşmasıyla birlikte artan siber saldırılara karşı kullanıcıları uyardı. Şirketin açıklamasına göre, son dönemde tespit edilen birçok oltalama kampanyası, e-posta eklerinde yer alan PDF dosyaları ve QR kodları üzerinden kötü amaçlı yazılımlar yaymayı amaçlıyor.
Bu saldırıların merkezinde, kimlik bilgilerini ele geçirmek amacıyla kullanıcıları sahte giriş sayfalarına yönlendiren "RaccoonO365" isimli bir kimlik avı platformu yer alıyor. Bununla birlikte, uzaktan erişim trojanları (RAT) olan Remcos, Latrodectus, AHKBot, GuLoader ve BruteRatel C4 (BRc4) gibi zararlılar da bu kampanyalarla birlikte yayılıyor.
PDF eklerinde yer alan bağlantılar, Rebrandly gibi servislerle kısaltılarak kullanıcıları sahte bir DocuSign sayfasına yönlendiriyor. Buradaki “İndir” butonuna tıklandığında ise sistem ve IP adresine göre zararlı içerikler indiriliyor.
12-28 Şubat 2025 tarihleri arasında yürütülen ikinci kampanya, ABD'de mühendislik, bilişim ve danışmanlık sektörlerinden 2.300’den fazla kurumu hedef aldı. Bu kampanyada e-postaların gövdesinde içerik yer almazken, ekli PDF’lerde QR kodlar bulunuyordu.
AHKBot bulaşma zincirleri ise kullanıcının sahte bir Excel dosyasını indirmesiyle başlıyor. Dosya açıldığında ve makrolar etkinleştirildiğinde, ekran görüntüsü alan bir modül çalıştırılarak bu veriler dış bir sunucuya aktarılıyor.
GuLoader ise PDF içindeki bağlantıya tıklanmasıyla indirilen ZIP dosyası içindeki sahte .lnk dosyaları üzerinden sisteme bulaşıyor.
Storm-0249 grubuna atfedilen başka bir kampanyada ise, sahte Windows 11 Pro sayfaları üzerinden Latrodectus'un yeni sürümü dağıtıldı.
Palo Alto Networks’e göre, QR kod kullanan bu saldırılar genellikle doğrudan zararlı alan adlarına yönlendirme yapmıyor. Bunun yerine, meşru sitelerdeki açık yönlendirme mekanizmaları kötüye kullanılıyor.
Dikkat Çeken Diğer Saldırı Yöntemleri:
- Counter-Strike 2 oyuncularını kandırmak için sahte tarayıcı pencereleri
- MailChimp hesaplarını ele geçirerek toplu kötü amaçlı e-posta gönderimi
- SVG dosyalarıyla filtreleri aşma ve sahte giriş sayfalarına yönlendirme
- Adobe, DocuSign, Dropbox gibi güvenilir platformlar üzerinden saldırı
- Spotify ve Apple Music gibi müzik servislerini taklit eden sahte e-postalar
- Windows ve Mac cihazlar için sahte güvenlik uyarıları
- Truva atı içeren sahte yazılım yükleyiciler
- DarkCloud zararlısıyla İspanyol firmalara yönelik saldırılar
- Romanya'daki kurumları hedefleyen Masslogger kampanyası
