TEHLİKE BÜYÜYOR! SAHTE CAPTCHA SALDIRILARI YAYILIYOR

Son zamanlarda bu konuda oldukça ciddi örnekler olduğunu söyleyen Bilişim Uzmanı Osman Demircan,

“En güncel örnek Microsoft’un 28 Ağustos’ta açıkladığı TerminalFix kampanyasında, ele geçirilmiş internet sitelerine sahte Cloudflare CAPTCHA ekranı yerleştirilmesi vakasıydı.

Kullanıcılara bu kez Windows Terminal veya PowerShell açtırılarak zararlı komut çalıştırıldı. Saldırı yalnızca bilgi hırsızlığıyla da sınırlı değildi. Saldırganların kurum ağı üzerinde daha kalıcı erişim kurmasını sağlayabilecek çok aşamalı yapılar kullanıldı.

Kullanılan yapılar, yakalanma olasılığını çok düşürerek hem kalıcılık sağladı hem de daha fazla bilgisayar ve telefonlar erişim sağlanmasına neden oldu”

dedi.

Bir başka örneğin de yakın zamanda turizm sektöründe yaşandığını ifade eden Demircan, “Proofpoint, Booking benzeri rezervasyon temaları kullanan kampanyalarda kurbanların sahte CAPTCHA üzerinden PowerShell çalıştırmaya ikna edildiğini ve bunun başta DanaBot olmak üzere çeşitli zararlı yazılımların yüklenmesine yol açtığını tespit etti. Bazı kampanyalarda kullanıcıları tuzağa çekmek için oltalama amaçlı binlerce mesaj kullanıldı” şeklinde konuştu.

CAPTCHA’NIN GERÇEK Mİ YOKSA DOLANDIRICILARIN HAZIRLADIĞI SAHTE BİR EKRAN MI OLDUĞU NASIL ANLAŞILIR?

“Gerçek bir CAPTCHA, kullanıcıdan Windows’un veya bilgisayarın sistem araçlarını açmasını kesinlikle istemez” diyen Osman Demircan, “Yani ‘Windows + R’ye basın, Ctrl + V yapın, Enter’a basın, PowerShell’i açın, Terminal’i çalıştırın’ gibi bir talimat görüyorsanız, artık CAPTCHA doğrulamasından çok bir dolandırıcılık tuzağıyla karşı karşıya olduğunuzu anlamanız gerekir. Çünkü bu, çok güçlü bir dolandırıcılık göstergesi” dedi ve şöyle devam etti:

Normal bir CAPTCHA sizden trafik ışıklarını, bisikletleri, araçları ya da çatısı olan evleri seçmenizi, bazı karakterleri yazmanızı veya bir kutucuğa tıklamanızı isteyebilir. Fakat sizi işletim sistemine komut yazmaya kesinlikle yönlendirmez. Aynı şekilde, CAPTCHA’ya tıkladığınız anda panonuza bir şey kopyalandığına dair bir mesaj çıkması, bir dosyanın indirilmesi veya ‘doğrulamayı tamamlamak için komutu çalıştırın’ denmesi, bilgisayarınızın ele geçirilmesi için gereken son aşamayı tamamlamanız anlamına gelebilir.

-- Bir başka önemli nokta da sitenin görünümü. Sahte CAPTCHA, bazen tamamen sahte bir sitede değil, ele geçirilmiş gerçek bir internet sitesinin üzerinde de karşınıza çıkabilir. Bu nedenle yalnızca ‘Adres doğru görünüyor, demek ki güvenli bir sitedeyim’ diye düşünmemek gerekir. Microsoft ve Proofpoint, gerçek sitelere kötü amaçlı JavaScript yerleştirilerek kullanıcıların sahte CAPTCHA ekranlarına yönlendirildiğini, güvenlik araştırmacılarının çalışmalarıyla resmî olarak belgeledi.

Diyelim ki fark etmeden bu tuzağa düştük ve söylenen tuşlara bastık. Bilgisayarımıza ya da telefonumuza gerçekten bir şey bulaştığını nasıl anlayacağız? 

Her zararlı yazılımın belirti vermediğinin altını çizen Osman Demircan, “Hatta bilgi çalmak için tasarlanmış zararlı yazılımların temel amacı, mümkün olduğunca sessiz çalışmaktır. Bu nedenle bilgisayarın ya da telefonunun normal çalışıyor olması, güvende olduğunuz anlamına kesinlikle gelmez” dedi.

Yine de bazı belirtilerin gözlemlenebildiğini ifade eden Demircan, “Güvenlik yazılımının (güvenlik duvarı/antivirüs) PowerShell, CMD, mshta veya bilinmeyen bir uygulama hakkında uyarı vermesi, siyah komut penceresinin kısa süreli açılıp kapanması, kullanıcı yüklemediği hâlde yeni program veya tarayıcı eklentilerinin ortaya çıkması, tarayıcı oturumlarının beklenmedik şekilde kapanması, hesaplara yeni cihaz girişleriyle ilgili uyarılar gelmesi, e-posta veya sosyal medya hesaplarında bilinmeyen oturumların görülmesi, banka veya kredi kartıyla ilgili beklenmeyen doğrulama mesajlarının gelmesi, bilgisayarımıza bir zararlı yazılım bulaştığına dair ciddi ipuçları olabilir” şeklinde konuştu.😐