Yapay Zekâ ile Hedef Belirlenen EvilTokens: 12 Bin Hesap Ele Geçirildi

Microsoft, siber suçluların binlerce Microsoft hesabını ele geçirerek finansal dolandırıcılık yapmasına yardımcı olan EvilTokens adlı abonelik tabanlı platformu devre dışı bıraktı. Şirket, platformun birkaç ay içinde dünya genelinde 10 bin kuruluşla bağlantılı 12 bin hesabın ele geçirilmesinde kullanıldığını açıkladı. Bu ağı daha dikkat çekici kılan ise sistemdeki yapay zekanın kimin hedef alınacağı konusunda saldırganlara yardımcı olması.

Haberi okuduğunuz için teşekkürler, bizi takip etmeyi unutmayın!

Siber suçlular için uçtan uca saldırı platformu

Microsoft’un paylaştığı verilere göre EvilTokens, Şubat ayında Telegram üzerinden tanıtıldı ve 1.500 dolarlık başlangıç ücretinin ardından aylık 500 dolar karşılığında kullanıma sunuldu. Platform, hesap ele geçirme sürecinin büyük bölümünü tek bir hizmet altında birleştiriyordu.

Sistem, saldırganların çok sayıda kişiye aynı anda sahte e-postalar göndermesine, kullanıcıları kötü amaçlı bağlantılara yönlendirmesine ve hesaplara erişim sağladıktan sonra elde edilen bilgileri analiz etmesine yardımcı oluyordu. Platformun sunduğu araçlar, saldırganların hedef kuruluşlara yönelik dolandırıcılık senaryolarını da hazırlamasını kolaylaştırıyordu.

Yapay zeka hedef tespitine yardımcı oldu

EvilTokens’ın merkezinde yapay zeka destekli bir sohbet sistemi bulunuyordu. Bu sistem, ele geçirilen bir e-posta kutusundaki yazışmaları inceleyerek kuruluş içindeki güven ilişkilerini, ödeme yetkilerini ve para transferleriyle bağlantılı kişileri tespit edebiliyordu. Bu analiz sayesinde saldırganların kimi hedef alacağı netleştiriliyor.

Microsoft’a göre platform, aynı anda 5 bin ele geçirilmiş e-postayı analiz edebiliyor, yüksek miktarda para transferi yapma yetkisine sahip çalışanları ve bu kişilerin yöneticilerini belirleyebiliyordu. Ardından saldırganlara hangi kişilerin taklit edilebileceği ve hangi senaryoların daha inandırıcı olabileceği konusunda öneriler sunuyordu.

Yapay zeka ayrıca güvenilen kişilerin kimliğine bürünerek gönderilecek takip mesajlarının hazırlanmasına yardımcı oluyordu. Böylece saldırganların normal şartlarda binlerce e-postayı inceleyerek günler içinde çıkarabileceği organizasyon yapısı ve iş ilişkileri dakikalar içinde ortaya çıkarılabiliyordu.

Parola çalınmadan hesaplar ele geçirildi

EvilTokens’ın kullandığı yöntemlerden biri, Microsoft’un meşru cihaz koduyla kimlik doğrulama sürecinin kötüye kullanılmasıydı. Bu sistem normalde ekran veya klavye gibi geleneksel giriş imkanları sınırlı cihazların Microsoft hesaplarına bağlanmasını sağlamak için kullanılıyor.

Saldırganlar önce çok sayıda spam e-posta gönderiyordu. Mesajdaki bağlantıya tıklayan kullanıcı, arka planda otomatik işlemler gerçekleştiren bir internet sayfasına yönlendiriliyordu. Sistem, Microsoft Entra kimlik sağlayıcısıyla gerçek zamanlı iletişim kurarak saldırganın cihazını hesaba kaydetmek için bir kod oluşturuyordu.

Kullanıcıya bu kodu resmi Microsoft cihaz giriş sayfasına girmesi söyleniyordu. Kullanıcı işlemi normal bir giriş adımı olarak görürken doğrulama sonucunda saldırganın kontrolündeki cihaz hesapla ilişkilendiriliyordu.

Hedefler arasında finans ve sağlık kuruluşları da var

Microsoft, EvilTokens aracılığıyla yapılan saldırıların 10 bin kuruluşu ve 12 bin hesabı etkilediğini açıkladı. Mağdurların en yoğun olduğu ülke ABD olurken Kanada, İngiltere, Avustralya, Hindistan ve Fransa da öne çıktı.

Etkilenen kuruluşlar arasında toptan ticaret, inşaat, finansal hizmetler, gayrimenkul, yükseköğretim ve sağlık sektörlerinde faaliyet gösteren şirket ve kurumlar bulunuyor.

Microsoft’a göre EvilTokens’ın asıl farkı, hesap ele geçirme ile sonrasındaki dolandırıcılık aşamalarını tek bir hizmette birleştirmesi oldu. Saldırganların ele geçirdikleri hesaplarda değerli bilgileri bulması, doğru kişileri belirlemesi ve buna uygun dolandırıcılık mesajları hazırlaması büyük ölçüde otomatik hale geldi.

Microsoft, yasal süreç ve çeşitli sektör ortaklarıyla yürütülen operasyon kapsamında EvilTokens’ın çalıştırılması için kullanılan 50 internet sitesine el koydu ve 150’den fazla alan adını devre dışı bıraktı. Siber güvenlik şirketi SpyCloud da operasyonun yürütülmesine destek verdi.

İngiltere Metropolitan Polisi ise EvilTokens’ın işletilmesiyle bağlantılı olduğu düşünülen suçlar kapsamında iki erkeği gözaltına aldı.