IKEA, tehdit aktörlerinin, çalınan cevap zinciri e-postaları kullanılarak iç kimlik avı saldırılarında çalışanları hedef aldığı devam eden bir CyberAttack'ı savaşıyor.
Cevap zinciri bir e-posta saldırısı, tehdit aktörlerinin meşru kurumsal e-postayı çaldığı ve ardından alıcıların aygıtlarına kötü amaçlı yazılımları yükleyen kötü amaçlı yazılımlar için bağlantılarla cevap verdikleri zamandır.
Cevap zinciri e-postaları bir şirketten meşru e-postalar olduğundan ve genel olarak tehlikeye giren e-posta hesaplarından ve dahili sunuculardan gönderilir, alıcıların 'e-postaya güvenecek ve kötü amaçlı belgeleri açma olasılığı daha yüksektir.
BleepingComputer tarafından görülen iç e-postalarda, IKEA, iç posta kutularını hedefleyen devam eden bir cevap zinciri kimlik avı siber saldırısının çalışanlarını uyarmaktadır. Bu e-postalar, diğer uzlaşmış IKEA organizasyonlarından ve iş ortaklarından da gönderilmektedir.
"IKEA posta kutularını hedef alan devam eden bir siber saldırı var. Diğer IKEA organizasyonları, tedarikçileri ve iş ortakları aynı saldırıdan tehlikeye atılır ve IKEA'daki kişiler için kişilere kötü niyetli e-postaları daha da yayıyor" diyor. çalışanlar ve BleepingComputer tarafından görülür.
"Bu, saldırının, herhangi bir dış organizasyondan ve zaten devam eden bir konuşmaya cevap olarak bir cevap olarak e-posta yoluyla gelebileceği anlamına gelir. Bu nedenle, sizden ekstra temkinli olmanızı istediğimiz tespit etmek zor."
IKEA BT Takımları, çalışanları cevap zinciri e-postalarının sonunda yedi hane ile bağlantılar içerdiğini ve aşağıda gösterildiği gibi bir örnek e-postayla paylaştığını uyar. Buna ek olarak, çalışanlar, onları kim yolladıklarından bağımsız olarak, e-postaları açmamaları ve onları derhal BT departmanına rapor etmeleri söylenir.
Alıcılar ayrıca e-postaların gönderenine e-postaları bildirmek için Microsoft Teams sohbetiyle söylemeleri söylenir.
Tehdit aktörleri, kimlik avı saldırılarını gerçekleştirmek için proxyshell ve proxylogin güvenlik açıklarını kullanarak iç Microsoft Exchange sunucularını tehlikeye atmaya başladı.
Bir sunucuya erişim kazandıktan sonra, çalınan kurumsal e-postaları kullanarak çalışanlara cevap zinciri saldırıları yapmak için Dahili Microsoft Exchange sunucularını kullanırlar.
E-postalar, dahili tehlikeli sunuculardan ve mevcut e-posta zincirlerinden gönderildiğinden, e-postaların kötü niyetli olmadığı daha yüksek bir güven düzeyindedir.
Ayrıca, alıcıların, yanlışlıkla filtrelere yakalandıklarını düşünerek, alıcıların kötü niyetli kimlik avı e-postalarını karantinadan kurtarabileceği konusunda da ilgilidir. Bundan dolayı, çalışanların, saldırı çözülene kadar e-postaları serbest bırakma yeteneğini devre dışı bırakıyorlar.
"E-posta filtrelerimiz bazı kötü niyetli e-postaların bazılarını tanımlayabilir. E-postanın devam eden bir konuşmaya cevap olabileceği için, e-posta filtresinin bir hata yaptığını ve e-postayı karantinadan bıraktığını düşünmek kolaydır. Bu nedenle İKEA Çalışanlara iletilen IKEA, herkesin karantinadan çıkması olasılığını devre dışı bırakana kadar.
IKEA, saldırı hakkında e-postalarımıza cevap vermemiş olsa da, çalışanlara iç sunucuların tehlikeye girip tehlikeye girmeyeceğinden, benzer bir saldırıdan muzdarip oldukları anlaşılıyor.
Yukarıdaki yeniden aktarılan kimlik avı e-postasında paylaşılan URL'lerden, BleepingComputer, IKEA'yı hedef alan saldırıyı tanımlayabildi.
Bu URL'leri ziyaret ederken, bir tarayıcı, kötü amaçlı bir Excel belgesi içeren 'Grafiks.zip' denilen bir indirmeye yönlendirilecektir. Bu ek, alıcılara, aşağıda gösterildiği gibi düzgün görüntülemek için 'İçeriği Etkinleştir'i' veya 'Düzenleme'yi Etkinleştir' düğmelerini tıklamasını söyler.
Bu düğmeler tıklandıktan sonra, 'besta.ocx,' 'bestb.ocx,' ve 'bestc.ocx' adlı dosyaları uzak bir sitedeki indirin ve C: \ DATOP klasörüne kaydedin.
Bu OCX dosyaları DLL'ler olarak yeniden adlandırılır ve kötü amaçlı yazılım yükünü yüklemek için REGSVR32.exe komutu kullanılarak gerçekleştirilir.
Bu yöntemi kullanan kampanyalar, QBOT Trojan'ın (AKA QAKBOT ve QUAKBOT) ve muhtemelen kanalların BleepingComputer tarafından bulunan bir virustotal gönderimine dayanan emotetin kurulması görülmüştür.
QBOT ve EMOTET TROJANS, her ikisi de daha fazla ağın uzlaşmasına ve nihayetinde hidrolik bir ağda fidye yazılımının dağıtılmasına neden olur.
Bu enfeksiyonların ciddiyeti ve Microsoft Exchange Sunucularının muhtemel tehlikesi nedeniyle, IKEA, bu güvenlik olayını potansiyel olarak çok daha yıkıcı bir saldırıya yol açabilecek önemli bir siberattaat olarak tedavi ediyor.
İşte dünya çapında posta kutularına isabet eden yeni emotet spam kampanyaları
Gmail hesapları, tüm yemleme e-posta saldırılarının% 91'inde kullanılmaktadır.
Lockean çoklu fidye yazılımı, Fransız org'daki saldırılara bağlı iştirakler
Docusign Kimlik Avı Kampanyası Düşük sıralama çalışanlarını hedefliyor
Trickbot Kimlik Avı, araştırmacıları kaçırmak için ekran çözünürlüğünü kontrol eder
Kaynak: Bleeping Computer