Allahın Rahmeti Ve Bereketi Üzerinize Olsun
Selamun aleyküm dostlarım Bu makalemizde ise yapılan phising saldırıları inceleyeceğiz allahın izniylePayPal Siparişinizi İptal Edin
Bu örnek e-posta, saldırganların sıkça kullandığı üç tekniği gösteriyor:- Sahte gönderici adresi (spoofing)
- URL kısaltma servisleriyle bağlantı gizleme
- HTML kullanarak güvenilir bir markayı taklit etme
- Alıcı adresi olağandışı görünüyor. Bu adres, ilgili Yahoo hesabıyla eşleşmiyor. Böyle bir uyumsuzluk hemen dikkat çekmeli.
- Gönderici bilgileri tutarsız. Görünürdeki adres [email protected] gibi güvenilir görünüyor, ancak gerçek gönderici adresi [email protected]. Bu klasik bir sahtecilik yöntemidir.
- Konu satırı bir işlem veya satın alma yaptığınızı ima ediyor. Eğer böyle bir hesabınız yoksa veya bu işlemi hatırlamıyorsanız, doğal olarak dikkatinizi çeker. Bu da sosyal mühendislik taktiğinin bir parçasıdır: sizi hızlıca tepki vermeye, yani e-postayla etkileşime geçmeye zorlamak.
Ham (raw) HTML kodunu incelediğinizde genellikle şu tür ipuçları ortaya çıkar:
- Bağlantının gerçek adresi: Görünürde “PayPal” butonu gibi dursa da, <a href="..."> etiketi içindeki URL farklı bir alan adına yönlendirebilir. Çoğu zaman bu adres PayPal ile ilgisizdir.
- URL kısaltma servisleri: Saldırganlar gerçek hedefi gizlemek için bit.ly, tinyurl gibi servisleri kullanabilir.
- Gizlenmiş kod parçaları: HTML içinde stil veya script etiketleriyle kullanıcıyı yanıltacak görsel öğeler eklenmiş olabilir.
- Alan adı benzerlikleri: Örneğin paypa1.com veya paypal-security.com gibi sahte ama güvenilir görünen alan adları kullanılabilir.
Neyse ki, kısaltılmış bir URL'nin hedef adresini öğrenmemizi sağlayan çevrimiçi araçlar mevcut.
Paketinizi Takip Edin:
Bu örnek e-posta üç önemli saldırı tekniğini gösteriyor:- Sahte gönderici adresi (spoofing)
- Pixel tracking (görsel takip pikselleri)
- Bağlantı manipülasyonu (link manipulation)
- Mesaj, bir “posta dağıtım merkezi”nden gelmiş gibi tasarlanmış. Bu, alıcıya güven vermek için kullanılan bir sahte kimlik.
- Konu satırında bir “takip numarası” yer alıyor. Bu da e-postanın gerçekten bir kargo veya siparişle ilgili olduğu izlenimini yaratıyor.
- E-posta gövdesindeki bağlantı, konu satırıyla uyumlu görünüyor. Ancak bu, saldırganların kullandığı klasik bir aldatma yöntemidir: bağlantı metni güvenilir görünürken, arka planda farklı ve zararlı bir adrese yönlendirme yapılır.
- Spoofing: Gönderici adresi sahte olduğunda, e-posta güvenilir bir kurumdan gelmiş gibi görünür.
- Pixel tracking: E-postaya yerleştirilen görünmez bir piksel, alıcının mesajı açıp açmadığını saldırgana bildirir. Bu, hedefin aktif olup olmadığını anlamak için kullanılır.
- Link manipulation: Bağlantı metni güvenilir görünse de, gerçek URL farklıdır. Bu da kullanıcıyı zararlı bir siteye yönlendirmek için yapılır.
Bu örnekte karşımıza çıkan Tracking.png dosyası aslında bir takip pikseli. Bu tür pikseller, e-postayı açtığınız anda saldırganın sunucusuna bilgi gönderir. Böylece spam gönderen kişi, mesajın okunup okunmadığını, hatta hangi cihazdan açıldığını bile öğrenebilir.
Spammer’ların bu yöntemi kullanmasının birkaç nedeni vardır:
- Hedefin aktif olup olmadığını anlamak.
- E-postanın açılma oranlarını takip etmek.
- Daha sonraki saldırıları kişiselleştirmek için veri toplamak.
Bağlantıya dönersek, e-posta gövdesindeki link şüpheli bir alan adına yönlendiriyor. Görünüşte bir “dağıtım merkezi” gibi sunulsa da, gerçekte bu alan adının tek bağlantısı kötü amaçlı yazılımlar olabilir. Elbette kesin bir yargıya varmak için daha derin teknik analiz gerekir, ancak ilk bakışta bu tür alan adları güvenilir değildir.
Belgeyi görüntülemek için e-posta sağlayıcınızı seçin.
Bu örnek e-posta şu saldırı yöntemlerini sergiliyor:- Aciliyet hissi yaratma: Mesaj, alıcıyı hızlıca harekete geçmeye zorlamak için “hesabınız askıya alındı” veya “siparişiniz iptal edilecek” gibi ifadeler kullanır.
- HTML ile marka taklidi: E-posta gövdesi, güvenilir bir kurumun (örneğin PayPal, Amazon, bankalar) tasarımını taklit edecek şekilde hazırlanmıştır. Logolar, renkler ve düzen sahte bir güven duygusu oluşturur.
- Bağlantı manipülasyonu: Görünürde güvenilir bir link gibi duran bağlantı, aslında farklı ve zararlı bir siteye yönlendirir. Çoğu zaman URL kısaltma servisleri veya benzer alan adları kullanılır.
- Kimlik bilgisi toplama (Credential harvesting): Alıcıdan kullanıcı adı, şifre veya diğer hassas bilgileri girmesi istenir. Bu bilgiler saldırganın eline geçer.
- Kötü dil bilgisi ve yazım hataları: E-postada bariz imla hataları veya garip cümleler bulunur. Bu, saldırganın profesyonel bir kurumdan gelmediğini ele veren ipuçlarından biridir.
- E-posta, 15 Temmuz 2021 Perşembe günü gönderilmiştir.
- Bu e-postada aciliyet duygusu yaratılıyor. Faks belgesini indirme bağlantısının aynı gün sona ereceğine dikkat edin.
- Gerçekleştirilmesi gereken bir işlem var. Bu durumda, faksı indirmek için bir düğme.
Mağdurun etkileşimde bulunabileceği iki bağlantı daha var. Mağdur, süresi dolmuş olan faks belgesini almak için bu düğmelerden birine tıklamalıdır.
Ayrıca, sekmedeki sayfa başlığına dikkat edin. "SharePoint Online" olarak adlandırılmış, bu da bir Microsoft ürünü. Birkaç dilbilgisi hatası da var.
Mağdur, dilediği e-posta sağlayıcısıyla giriş yapma seçeneğine sahiptir.
Bu örnekte, sahte kimlik bilgilerinin girildiğini görebiliyoruz, ancak mağdur geçerli kimlik bilgilerini girmiş olsa bile hata mesajı aynı olurdu. Bu senaryo, mağdurun aslında bir e-posta sağlayıcısına kimlik doğrulaması yapmadığı için gerçekleşir. Bunun yerine, girilen kimlik bilgileri artık suçlunun sunucusunda bulunmaktadır. Suçlunun kimlik bilgilerini ele geçirme amacı gerçekleşmiştir.
Lütfen Ödeme Bilgilerinizi Güncelleyin
Bu örnek e-posta, saldırganların sıkça kullandığı birkaç önemli tekniği bir arada gösteriyor:- Sahte e-posta adresi: Mesaj, Netflix Faturalama departmanından gelmiş gibi görünse de gerçek gönderen adresi [email protected]. Bu uyumsuzluk, sahtecilik için klasik bir işarettir.
- Aciliyet hissi: “Hesabınız askıya alındı” gibi ifadeler kullanılarak alıcıya hızlıca harekete geçmesi gerektiği mesajı veriliyor. Bu, düşünmeden tıklama veya işlem yapma ihtimalini artırır.
- HTML ile marka taklidi: E-posta tasarımı, Netflix’in kurumsal kimliğini taklit edecek şekilde hazırlanmıştır. Logolar, renkler ve düzen sahte bir güven duygusu yaratır.
- Dil bilgisi ve yazım hataları: Metinde bariz imla hataları veya kötü bir dil kullanımı olabilir. Bu, genellikle saldırganın profesyonel bir kurumdan gelmediğini ele verir.
- Ekler: Bu tür e-postalarda zararlı yazılım içeren dosyalar eklenebilir. Masum görünen “fatura” veya “hesap belgesi” gibi dosyalar aslında kötü amaçlı olabilir.
Genellikle bu tekniği yazım hatasıyla alan adı ele geçirme girişimlerinde görürsünüz, ancak burada durum böyle değildi.
Son Satın Almanız
Bu e-posta örneğinde öne çıkan teknikler- Sahte e-posta adresi: Mesaj Apple Support’tan gelmiş gibi görünüyor, fakat gerçek gönderen adresi [email protected]. Bu uyumsuzluk klasik bir sahtecilik işaretidir.
- Alıcı BCC ile eklenmiş: E-posta doğrudan mağdurun gelen kutusuna gönderilmemiş, bunun yerine “Blind Carbon Copy” (BCC) yöntemiyle gizlenmiş şekilde eklenmiş. Bu taktik, gerçek alıcı listesini saklar ve mesajı daha meşru gösterebilir.
- Aciliyet: Mesaj, mağduru hızlıca harekete geçmeye zorlar. Örneğin “Hesabınız askıya alınacak” veya “Hemen işlem yapmanız gerekiyor” gibi ifadeler kullanılır.
- Zayıf dil bilgisi / yazım hataları: Kötü dil kullanımı, imla hataları veya garip cümleler genellikle bu tür sahte e-postalarda görülür ve profesyonel bir kurumdan gelmediğini ele verir.
- Ekler: Çoğu zaman “fatura”, “makbuz” veya “hesap belgesi” gibi masum görünen dosyalar eklenir, fakat bunlar zararlı yazılım içerebilir.
- Gönderici bilgileri tutarsız: Görünen isim “Apple Support” olsa da, gerçek alan adı şüpheli.
- Alıcı kısmı doğrudan mağdura hitap etmiyor; bunun yerine BCC kullanılmış. Bu, meşru destek e-postalarında alışılmadık bir durumdur.
- Mesajda açıkça aciliyet vurgusu var — mağdurun hemen harekete geçmesi gerektiği belirtiliyor.
Bu e-postanın aslında bir e-posta gövdesi yok. Tamamen boş. E-posta sadece bir ek içeriyor.
Bağlantıda Apple ile ilgili belirli anahtar kelimeler (uygulamalar ve iOS) bulunduğuna dikkat edin.
DHL Express Kurye Gönderi Bildirimi
Vurgulanan Teknikler- Sahte e-posta adresi: Gönderici adresi, taklit edilen şirketle (bu örnekte DHL) uyuşmuyor. Bu, sahtecilik için en belirgin işaretlerden biridir.
- HTML ile marka taklidi: E-posta gövdesi, DHL’den gelmiş gibi görünmesi için özel olarak tasarlanmış. Logolar, renkler ve düzen, güvenilirlik algısı yaratmak için kullanılıyor.
- Ekler: Bu tür e-postalarda genellikle zararlı yazılım içeren dosyalar eklenir. Masum görünen “fatura” veya “kargo belgesi” gibi dosyalar aslında kötü amaçlı olabilir.
- Gönderici adresi ile taklit edilen kurum (DHL) arasında uyumsuzluk var.
- Konu satırı, alıcıya bir paket gönderileceği izlenimini veriyor. Bu, merak uyandırarak e-postayla etkileşime geçmeye yönlendiren bir sosyal mühendislik taktiği.
- E-posta gövdesi HTML ile hazırlanmış ve DHL’den gelmiş gibi görünmesi sağlanmış.
Okuduğunuz için Teşekkür ederim
CW-Ommah...
Bug Researchers Tim Sundu.
Bug Researchers Tim Sundu.
Ekli dosyalar
Son düzenleme:
