Çalıntı oturum token'larıyla 79 kurumda Microsoft 365 hesapları ele geçirildi

Bir saldırgan, çalıntı oturum bilgilerini yeniden kullanarak 79 kurumdaki Microsoft 365 e-posta hesaplarını kurbanların parolalarına hiç ihtiyaç duymadan ele geçirdi. Help Net Security'nin 23 Ekim'de aktardığı Huntress araştırmasına göre kampanya 14 Temmuz ile 22 Eylül 2026 arasında sürdü. Araştırmacılar bu sürede 497 başarılı oturum açma ve 200 binden fazla başarısız giriş denemesi saydı.

Neler oldu?

Help Net Security'nin haberine göre saldırgan oturum token'larını birkaç yolla elde etti. Ortadaki saldırgan (AiTM) oltalamasında kurbanlar, gerçek Microsoft girişini ve MFA istemini aktaran sahte oturum açma sayfalarını kullandı; böylece MFA tamamlandıktan sonra verilen oturum token'ı ele geçirildi. Cihaz kodu oltalamasında ise kurbanlar Microsoft'un gerçek giriş sayfasına bir kod girerek token'ları saldırgana teslim etti. Olağan oturum açma süreçlerinde sosyal mühendislik de kullanıldı.

Çalınan token'lar daha sonra çoğunlukla tek bir IP bloğundan toplu halde yeniden oynatıldı. Araştırmacılar bu yöntemi parola püskürtme (password spraying) saldırılarına benzetti. Saldırgan 11 Eylül'de yeni bir adrese geçerek ele geçirilen token'ları yeniden kullanan otomatik bir araç çalıştırdı ve dört günde yaklaşık 30 kurumda yüzlerce oturum açtı. Rapora göre kurbanın MFA istemine ulaşmasıyla ele geçirilen oturumun saldırgan adresinden görünmesi arasındaki süre kampanya boyunca 12 dakikadan dört dakikaya indi.

Teknik detaylar

Araştırmacılar çeşitli kalıcılık ve gizlenme teknikleri gözlemledi:

• DESKTOP- ve ardından sekiz onaltılık karakterden oluşan adlarla en az 48 sahte cihaz kaydedildi.
• 19 kurumda mevcut MFA yöntemleri ilk oturum açmadan sonraki üç saat içinde silinip değiştirildi; bir vakada oturumun ele geçirilmesinden bir saat sonra iPhone 13 etiketli bir kimlik doğrulayıcı eklendi.
• ., sss ve iT gibi adlara sahip gelen kutusu kuralları e-postaları sildi veya okunmuş olarak işaretleyip görünmez klasörlere taşıdı. Bir vakada saldırgan, kurum dışındaki bir muhasebeciye bordroyla ilgili e-posta gönderip yanıtları gizleyen kurallar oluşturdu.

Yeniden oynatma işlemleri, Hamburg'da kayıtlı barındırma firması 1337 Services GmbH'ye ait sunuculardan, dört aşamada 193.26.115.0/24 bloğundaki altı adresten yapıldı. Tek bir adresin engellenmesi en fazla bir aşamayı durdurabilirdi. Koşullu Erişim politikaları oturum açmayı reddeden dört kurum, bir adresi toplam 1.052 kez engelledi. Raporda kampanya adı belirlenmiş bir tehdit aktörüne atfedilmiyor.

Ne yapmalı?

• Yalnızca MFA'nın kapatamadığı boşlukları kapatmak için MFA zorunlu kılabilen veya oturum açmayı tamamen engelleyebilen Koşullu Erişim politikaları uygulayın.
• Parola sıfırlamasından sonra da geçerliliğini koruyan yetkisiz kimlik doğrulayıcılar ve kayıtlı cihazlar için hesapları denetleyin.
• Entra dizinlerinde ve posta kutularında yukarıdaki göstergelerle eşleşen şüpheli gelen kutusu kurallarını ve sahte cihazları arayıp kaldırın.
• Huntress'in yayımladığı tam gösterge listesine ve önlem rehberine başvurun.