Microsoft, oteller ve konaklama sektörünü hedef alan yeni bir siber saldırı konusunda seyahat edenleri uyardı. Şirket, "CaptiveCrunch" adını verdiği internet ele geçirme operasyonunun, Rusya destekli hacker grubu Storm-2945 tarafından gerçekleştirildiğini açıkladı.
Microsoft Threat Intelligence'ın cuma günü yayımladığı uyarıda, saldırıların "yaygın ancak hedef odaklı" internet trafiği manipülasyonu yöntemiyle gerçekleştirildiği belirtildi. Şirket, Storm-2945'in, Midnight Blizzard (APT29 veya Cozy Bear) olarak bilinen siber casusluk grubunun bir alt yapılanması olduğunu ve bu grubun Rusya Dış İstihbarat Servisi (SVR) ile bağlantılı olduğunu ifade etti.
Microsoft, özellikle otel ve konaklama tesislerindeki misafir Wi-Fi ağlarının geniş çapta ele geçirildiğini ve bu faaliyetleri ilk kez mayıs ayında tespit ettiğini duyurdu. Şirket, tehdidi neden üç ay sonra kamuoyuna açıkladığına ilişkin sorulara ise yanıt vermedi.
Microsoft'tan korunma önerileri
Microsoft, oteller, konferans merkezleri, havalimanları ve diğer ortak kullanım alanlarındaki ücretsiz Wi-Fi ağlarını kullanırken dikkatli olunması gerektiğini vurguladı.
Şirketin önerileri şöyle:
- Mümkün olduğunda telefonun mobil erişim noktasını (hotspot) kullanın.
- Beklenmedik açılır pencerelerde yazılım, tarayıcı güncellemesi, sertifika veya güvenlik aracı indirmeyin.
- Misafir Wi-Fi giriş ekranlarından gelen güncelleme taleplerine güvenmeyin.
- Kurumlar ise çalışanlarının otel ve konaklama tesislerinin ağlarına bağlanırken hangi bilgileri paylaştığını gözden geçirmeli.
Otel interneti üzerinden saldırı nasıl yapılıyor?
Microsoft'a göre saldırganlar, dünya genelindeki oteller ve benzeri konaklama tesislerinde misafir giriş ekranı (captive portal) bulunan Wi-Fi ağlarını hedef alıyor. Kullanıcılar internete bağlanmaya çalıştığında, sahte güncelleme veya güvenlik yazılımı indirmeleri isteniyor. Bu dosyaların yüklenmesiyle birlikte cihaza kötü amaçlı yazılım bulaşıyor.
Sahte ekranlar nasıl görünüyor?
Microsoft, saldırganların kullanıcıları kandırmak için gerçek Windows araçlarını taklit eden çok sayıda sahte pencere kullandığını belirtti.
Karşılaşılabilecek sahte ekranlardan bazıları şunlar:
- Windows Update: "Güncellemeler yükleniyor, bilgisayarınızı kapatmayın."
- Windows Defender: Sahte virüs taraması.
- DirectX güncellemesi
- Microsoft Visual C++ yükleyicisi
- Disk optimizasyon aracı
- Windows Ağ Tanılama aracı
- Tarayıcı güncellemesi
- PDF görüntüleyici yükleyicisi
Bazı kullanıcıların ise Google'a aitmiş gibi görünen şu mesajlarla karşılaşabileceği belirtildi:
- "Kimliğinizi doğrulayın."
- "Bilgisayar ağınızdan olağan dışı trafik tespit edildi. Google Arama'ya erişmek için güvenlik doğrulamasını tamamlayın."
Bu uyarılardaki adımların izlenmesi halinde saldırganlar cihaza uzaktan erişim sağlayabiliyor.
Siber saldırganlar bu sayede:
- Tarayıcı çerezlerini,
- Kayıtlı şifreleri,
- Belgeleri,
- Klavye tuşlamalarını,
- Ekran görüntülerini,
- Ses ve video kayıtlarını ele geçirebiliyor,
- Cihazı uzaktan kontrol edilebiliyor.
Bazı durumlarda kullanıcılar sahte giriş ekranlarına yönlendiriliyor. Burada Microsoft 365 hesap bilgilerini giren kişilerin e-posta ve OneDrive hesaplarına da erişim sağlanabiliyor.
Yorumlar (0)