Sophos, Google Formlar’ın İstismarına Dair Sık Rastlanan 7 Yöntemi Paylaştı
Fena amaçlı yazılımların faaliyetlerini gizlemek için şifrelemeyi iyi mi kullandıklarını araştırırken Google Formlar’ın fazlaca sayıda fena niyetli kullanımına denk geldiklerini ifade eden Sophos Kıdemli Tehdit Araştırmacısı Sean Gallagher, şunları söylemiş oldu:
“Google Formlar, kolay kullanımının yanı sıra kurumlar ve tüketiciler açısından güvenilir olması sebebiyle siber saldırganlar için çekici bir alternatif sunuyor. Biçim trafiği Transport Layer Security (TLS) şifrelemesiyle güvence altına alındığı için denetlenmesi bir fazlaca zor. Bu da fena niyetli kişiler tarafınca parasız bir vasıta olarak kullanılmasının yolunu açıyor. Analizlerimiz Google Formlar’ın siber saldırganlar tarafınca istismarının bir çok vakit kimlik avı ve spam kampanyalarıyla sınırı olan kaldığını gösterse de, daha karmaşık saldırılarda da bu platformun kullanıldığını görüyoruz. Mesela Google Formlar’ı veri sızdırmanın yanı sıra, fena amaçlı yazılımların komuta ve kontrolü için kullanan hücum türlerine de rastladık.”
Sophos araştırmacıları Google Formlar’ın siber saldırganlar tarafınca istismarına dair tespit ettikleri yedi yöntemi şu şekilde sıralıyor:
- Veri Sızdırma: Araştırmacılar, Google Formlar’ı kötüye kullanan bir takım karmaşık tehdidi de ortaya çıkardı. Rastlanan bir yöntem, bilgisayardan çalınan verileri Google elektronik tablosuna sızdırmak için Google Formlar sayfalarına yönelik web taleplerini kullanan fena amaçlı Windows uygulamalarını içeriyordu.
- Adware Benzeri İstenmeyen Uygulamalar: Araştırmacılar, Windows kullanıcılarını hedef alan bir takım istenmeyen uygulama keşfetti. Bu uygulamalar Google Formlar sayfalarını gizlice kullanıyor, web taleplerini herhangi bir kullanıcı etkileşimine gerek kalmadan otomatikman topluyor ve formlara gönderiyordu.
- Fena Niyetli Spam Kampanyaları: Spam kampanyalarındaki en büyük Google Biçim bağlantı kaynaklarından biri, dolandırıcıların pazarlama e-postalarında ekledikleri “abonelikten çıkma” bağlantılarıydı. Sophos, bu aşamada Office365 dahil Microsoft çevrimiçi hesaplarını ele geçirmeyi hedefleyen bir takım spam odaklı kimlik avı kampanyası tespit etti. Söz mevzusu spam mesajı, alıcıların e-posta hesaplarının derhal doğrulanmaması halinde kapatılacağını iddia ediyordu ve kullanıcıyı Microsoft kimlik bilgilerini girmesini istedikleri bir Google Biçim bağlantısına yönlendiriyordu. Söz mevzusu biçim sayfaları Microsoft görselleriyle süslenmesine karşın dikkatli bakınca derhal Google Biçim olduğu anlaşılıyordu.
- Kimlik Avı: Google, formun her sayfasında kullanıcıları şifrelerine dair ayrıntıları girmemeleri gerektiği mevzusunda uyarmasına karşın, Sophos saldırganların potansiyel kurbanlarını kimlik bilgilerini Google Formlar’a girmeleri için ikna etmeye çalışan birkaç örnek buldu. Bu formlar çoğu zaman fena niyetli spam kampanyalarıyla ilişkiliydi.
- Ödeme Kartı Veri Hırsızlığı: Giriş seviyesi dolandırıcılar, düzmece “güvenli” e-ticaret sayfaları vesilesiyle ödeme verilerini çalmak için ziyaretçileri Google Formlar’ın hazır tasarım şablonlarına yönlendiriyordu.
- Fena Niyetli Android Uygulamaları İçin Düzmece Kullanıcı Arayüzleri: Sophos, internet sayfası kodlamak zorunda kalmadan veri toplamak için Google Formlar’ı kullanan fena amaçlı Android uygulamaları tespit etti. Bunların bir çok reklam yazılımı yada istenmeyen uygulamalardı. Mesela Sophos araştırmacıları, web reklamı dolandırıcılığı kanalıyla gelir elde eden ve kullanıcı geri bildirimi için Google Formlar sayfasına yönlendiren video uygulaması “SnapTube”u bu esnada keşfetti.
- Geniş Ölçekli Siber Hücum Altyapısının Kurgulanması: Sophos telemetrisi, Google Formlar ile etkileşime giren bir takım PowerShell komut dosyası algıladı. Bunun üstüne hazırlanan bir örnek kodla Windows profil oluşturma verilerinin bilgisayardan alınarak Google Formlara göndermek için PowerShell komut dosyalarının kullanılabileceği kanıtlandı.
Gallagher, “Google, Google Formlar da dahil olmak suretiyle uygulamalarının kötüye kullanımının önüne geçmek için istismara mevzu olan hesapları sık sık kapatıyor” dedi. “Sadece formların bazı fena amaçlı yazılımlar tarafınca düşük hacimli, hedefli kullanımı gözden kaçabiliyor. Şirketlerdeki data teknolojileri yöneticilerinin ve siber güvenlik uzmanlarının bu tehdide karşı uyanık olmaları, bilgilerini çalmaya çalışan hizmetlere bağlantı gördüklerinde dikkatli yaklaşmaları ve docs.google şeklinde güvenli olduğu malum alanlara yönelik TLS trafiğine bile doğası gereği güvenmemeleri gerekiyor.”
Sophos ürünleri, uç nokta için Intercept X dahil olmak suretiyle biçim tabanlı kimlik avı kampanyaları yürüten bir çok fena amaçlı spam girişimine karşı koyabiliyor ve araştırmada sözü geçen sistem bilgisi toplama davranışlarını tespit ediyor.
Sophos ek olarak tüketicilere, fena amaçlı yazılımlardan ve siber tehditlerden korunmak için kendilerinin ve ailelerinin çevrimiçi yazışma ve oyun için kullandıkları cihazlara Sophos Home şeklinde bir güvenlik çözümü yüklemelerini tavsiye ediyor.
