Takvim Davetiyeleri ve Canlı Proxy’ler Aracılığıyla Google Oturumlarını Ele Geçirme Kampanyası

Takvim Davetiyeleri ve Canlı Proxy’ler Aracılığıyla Google Oturumlarını Ele Geçirme Kampanyası

Ağustos 2026 ortalarından bu yana, kurumsal kullanıcıların canlı Google oturumlarını çalan bir kimlik avı operasyonu devam etmektedir. Saldırgan, savunma mekanizmalarının bir bağlantının güvenilirliğini değerlendirmek için kullandığı tüm kontrolleri atlatacak şekilde tasarlanmıştır.

Material Security Tehdit Araştırma ekibi bu kampanyayı tespit etti ve o zamandan beri “Operation CloudFire” adını verdikleri bir çabayla yüzlerce saldırgan alan adını devre dışı bıraktı. İşte araştırmacıların bulguları.

Oltalama Yöntemi: Google Takvim Davetiyeleri

Saldırılar, Google Takvim davetiyeleri şeklinde gelmektedir. Bazıları gizli kopya (BCC) olarak gönderilirken, birçoğu alıcının daha önce e-posta alışverişinde bulunduğu bir kuruluştan gelmektedir. Konular kasıtlı olarak sıkıcı seçilmiştir: sesli mesaj bildirimleri, RFP ve RFI talepleri, mahkeme celpleri ve ödenmemiş fatura bildirimleri. Yoğun bir gelen kutusunda dikkat çekici hiçbir özellikleri yoktur.

Bağlantıların çoğu doğrudan Google’a yönlendirilmektedir. Genellikle Google’ın kendi /url yönlendiricisi üzerinden çalışır ve gerçek hedef bir sorgu parametresine gizlenir. Diğer dalgalar share.google ve Drive dosya bağlantılarını benzer şekilde kullanırken, bir varyant Intuit işlem bildirimi bağlantılarına dayanmıştır. Bir mesaj değerlendirildiğinde, görüntülenen alan adı, sertifika ve itibarın hepsi meşrudur.

Ele Geçirme Yöntemi: Google Oturum Açma Sayfasının Önündeki Ters Proxy

Kurban bağlantıya tıkladığında, saldırgan gerçek Google oturum açma sayfasının önüne canlı bir ters proxy yerleştirir. Kurban şifresini yazar, gerçek bir istem alır ve bunu onaylarken, saldırgan gerçek zamanlı olarak izler. Sunucu, gelen her ikinci faktörü (SMS kodu, kimlik doğrulayıcı kodu, Google’ın Dokun-Evet sayı eşleştirmesi veya telefon tabanlı hesap kurtarma) Google’a iletir. Bu kontrollerin hiçbiri oturumun ele geçirilmesini engellemez.

Bu saldırının arkasındaki Nyasher adlı çerçeve, araştırmacıların JavaScript kodunda sabit kodlanmış bir anahtar bulmasının ardından Şubat ayından bu yana kamuya açık olarak belgelenmiştir.

Olağan Kontroller Neden Sessiz Kalıyor?

İtibar sistemleri, alan adı sahipliği hakkında soruları yanıtlar. Bir alan adını kimin kaydettiğini, başka neleri barındırdığını ve hakkında şikayet olup olmadığını sorgularlar. Bu kampanya, bu soruların her birinin zararsız çıkması için tasarlanmıştır.

Saldırı üç katmanda işler. Birincisi, ilk atlamaya güvenilir bir Google URL’si veren Google’ın yönlendiricisidir. İkincisi, bir Cloudflare Turnstile meydan okumasıdır ve bazı yapılarında Cloudflare’ın kendi altyapısından sunulan gerçek bir widget’tır. Üçüncüsü ise şifre yakalama sayfasıdır ve savunmacılar için işler burada karmaşıklaşır. Taranacak statik bir site yoktur. JavaScript, ziyaretçi meydan okumayı geçtikten sonra sayfayı tarayıcıda oluşturur, bu nedenle bir tarayıcının alacak hiçbir şeyi ve bir proxy günlüğünün kaydedecek hiçbir şeyi yoktur. Araştırmacıların bildiği kadarıyla, kampanya belgelenmeden önce bu sayfaları kimse taramamıştır.

Altyapı da atılmak üzere tasarlanmıştır. İlk dalgalar, birden fazla kayıt kuruluşu arasında yayılmış birçok oltalama alan adı kullanmış ve çoğu kullanımdan sadece günler önce kaydedilmiştir. Alıcı uç noktalar, hizmet verdikleri dalgadan bir ila yirmi gün önce aktif hale gelmiştir. Bir joker karakter sertifikası, kapsadığı alan adı kaydedilmeden 46 dakika önce düzenlenmiştir. Herhangi bir parçayı engellemek, saldırgana birkaç dolar ve bir öğleden sonraya mal olmaktadır.

Saldırıyı Durdurmak İçin Neler Yapıldı?

Araştırmacılar, kampanyayı başlangıcından itibaren takip ederek, oltalama yöntemleri, geçitler ve uç noktalar değiştikçe her varyantı izlemişlerdir. Tespitler yapıldıktan sonra, kötü amaçlı mesajların %99’undan fazlasını yakalamış ve yeniden sınıflandırma oranı %0,01 olmuştur. Saldırgan, statik, makine öğrenimi ve ajan tabanlı tespitleri atlatmak için taktikleri, temaları ve oltalama metinlerini sürekli değiştirdiği için bu sürekli bir çalışma olmuştur.

İşe yarayan şey, tek bir sinyalin karar vermesine izin vermemekti. Yalnızca itibar bunu yakalayamazdı. Bağlantı analizi de işe yaramazdı, çünkü ilk atlama bir Google URL’siydi ve son sayfa bir tarayıcı onu oluşturana kadar mevcut değildi. Bunun yerine, tespit yaklaşımı, teknik göstergeleri mesajın görünen niyeti, bağlantılarının gerçekte nereye gittiği ve arkasındaki gönderen ilişkisiyle birlikte değerlendirir. Bunlardan herhangi biri harekete geçmek için yeterli olabilir. Tek bir sinyal etrafında inşa edilen bir tespit, o sinyalin kör noktalarını miras alır ve bu saldırgan bunları haritalamak için gerçek bir çaba sarf etmiştir.

Analizin nerede yapıldığı da önemlidir. Postaları aktarım sırasında incelemek için tasarlanmış ağ geçitleri, takvim davetiyeleri için pek uygun değildir ve bu kampanyanın çoğu davetiye olarak gelmektedir. Takvim davetiyeleri, hesabın tam geçmişi teknik sinyallerin yanında bağlam olarak kullanılarak kendi başına bir tehdit yüzeyi olarak ele alınmalıdır.

Hasarın Boyutu

Ele geçirilmiş bir oturum, Google Workspace denetim günlüklerinde iz bırakır. Canlı bir oturum, kurbanın adına e-postalara, Drive’a ve OAuth erişimi verme yeteneğine ulaşır, bu nedenle etki alanı gelen kutusunun çok ötesine geçer.

Bu, güvenlik ekipleri için birkaç zor soruyu gündeme getiriyor. Bu denetim günlüklerini kim inceliyor ve buldukları üzerinde ne kadar hızlı hareket edebilirler? Ekip, oturumları iptal edebilir, OAuth izinlerini sınırlayabilir ve etkilenen hesabı bir saat içinde sıfırlayabilir mi? Birçok program bunu yapamaz ve canlı bir oturuma sahip bir saldırgan bir saat içinde çok şey yapabilir.

Operation CloudFire: Altyapının Hedeflenmesi

Eylül sonuna gelindiğinde, araştırmacılar kuralları ayarlamanın, modelleri yeniden eğitmenin ve ajanları güncellemenin tek başına bu sorunu çözmeyeceğine karar verdiler. Tespit, müşterileri korur, ancak bir sonraki dalgayı zaten hazırlayan bir saldırgan hakkında hiçbir şey yapmaz. Bu yüzden ekip altyapıyı hedef aldı.

Analistler, mesajlar gönderilirken ağ geçidi ve arka uç URL’lerini çekerek Cloudflare’ın kötüye kullanım bildirim sistemi aracılığıyla rapor ettiler. Cloudflare’ın kötüye kullanım ekibi, sahte aracı sayfayı ve arkasındaki proxy’li Google oturum açma sayfasını doğruladı ve ardından bu hedeflerin önüne kendi kimlik avı uyarısını koydu.

Bunun iki etkisi oldu. Birincisi, saldırganın altyapısı yakıldı. Rapor edilen her ağ geçidi ve uç nokta, saldırgan tekrar gönderebilmeden önce yeniden kaydedilmeli, yeniden yönlendirilmeli ve yeniden sertifikalandırılmalıydı. İkincisi, herhangi bir şirketin müşterilerinin çok ötesindeki insanları korudu. Rapor edilen bir bağlantıya tıklayan herkes, kimlik bilgisi formu yerine bir uyarı sayfası gördü.

Bir Ayın Sayılarla Özeti

Bu rakamlar yalnızca veri paylaşmayı kabul eden kuruluşları kapsamaktadır, bu nedenle gerçek toplamlar daha yüksektir. Operation CloudFire’ın bir ayı boyunca araştırmacılar şunları kaydetti:

• 68.676 kampanya mesajı engellendi
• 2.112 benzersiz kötü amaçlı URL analiz edildi
• 897 benzersiz alan adı devre dışı bırakıldı
• 6.354 kök alan adında 8.570 benzersiz ele geçirilmiş gönderen adresi

Mesajlar ayrıca, ABD iş saatlerini takip eden net bir ritim izledi.

Gönderen sayısı, kampanyanın nasıl güven kazandığını açıklıyor. Saldırgan, ilk davetiye gönderilmeden önce her ele geçirilmiş hesabı kontrol ediyordu ve her biri, hesap sahibinin kayıtlı kişilerine ve diğerlerine davetiye gönderiyordu. Alıcılar, temiz bir geçmişe sahip bir alan adında, uygun bir zamanda tanıdıkları bir isim veya alan adı gördüler. İtibar beslemelerinin hiçbirini işaretlemek için bir nedeni yoktu.

Mevcut Durum

Kimlik avı temaları, takvim davetiyelerinden Google Drive dosya ve belge paylaşım davetiyelerine kaymıştır. Araştırmacılar, diğer oltalama yöntemlerinde veya taktiklerinde eşleşen bir artış görmemişlerdir ve bu grubun faaliyetleri dağılmış gibi görünmektedir. Şimdilik, kampanya sona ermiş gibi duruyor.

Bu bir anlık görüntüdür ve hızla değişebilir. Altyapıyı yeniden inşa etmek ucuzdur ve çerçeve Şubat ayından beri kamuya açıktır. Saldırgan ayrıca, canlı Google kodunun yanı sıra bitmemiş bir Microsoft 365 dalı da göndermiştir. Bu, bir stil sayfası yolu, ikinci bir donanım ve bir Microsoft oturum açma istemine çözülen bir başlık dizesi içerir. Bu yolların hiçbiri bugün çözülmemektedir ve yeni markayı eklemek, kod değişikliği olmaksızın sadece bir dosya eklemek anlamına gelecektir. Takip eden saldırı inşa edilmiş ve beklemektedir.

Araştırmacılar, tema rotasyonunu devam eden bir yineleme olarak görüyor ve bir sonraki pivotun da buna çok benzemesini, sadece farklı bir markayla olmasını bekliyorlar.

Saldırı göstergeleri ve zaman çizelgesi dahil olmak üzere tam teknik analiz, ek beyaz bültende yer almaktadır. Kendi ortamlarında bu faaliyeti arayan ekipler oradan başlamalıdır.