Sahte Gmail Giriş Sayfası Kimlik Bilgilerini Çalıyor

Yeni bir Gmail phishing saldırısı, kullanıcıları sahte sesli mesaj bildirimleriyle kandırıyor ve oldukça sofistike bir düzenek aracılığıyla giriş bilgilerini çalıyor.

Kampanya, ilk olarak Anurag tarafından tespit edildi ve “Yeni Sesli Mesaj Bildirimi” uyarılarıyla süslenmiş e-postalarla başlıyor. Bu mesajlar, güvenilir sesli mesaj servislerinden geldiği izlenimini veriyor ve bir “Sesli Mesajı Dinle” düğmesi içeriyor. Tıkladığınızda, mağdurlar bir dizi tehlikeye atılmış web sitesi aracılığıyla yönlendiriliyor.

İlk aşama özellikle aldatıcıdır ve Microsoft’un meşru Dynamics pazarlama platformunda (assets-eur.mkt.dynamics.com) barındırılır. Güvenilir altyapının kullanılması, saldırının güvenilirliğini artırır ve normal e-posta güvenlik filtrelerinden sıyrılmasına yardımcı olur.

Daha sonra, kullanıcılar Pakistan’da kayıtlı bir alan adı olan ‘horkyrown[.]com’da bir CAPTCHA sayfasına yönlendirilir. CAPTCHA, kötü niyetli düzenleme parçası olmasına rağmen, yanıltıcı bir güvenlik hissi yaratır. Son aşamada, Google markalı Gmail’in giriş sayfasının kusursuz bir kopyası gösterilir.

Kullanıcılar bilgilerini girdikten sonra, sistem sadece e-postaları ve şifreleri değil, aynı zamanda iki faktörlü kimlik doğrulama kodlarını, yedek kurtarma kodlarını ve hatta güvenlik sorularına verilen yanıtları da yakalar. Veriler, kurbanlar durumun farkına varmadan önce yurtdışındaki sunuculara sızdırılır.

Anurag, “sahte giriş sayfasını yöneten zararlı JavaScript’in son derece karmaşık gizleme yöntemleri kullandığını” belirtti. Kod, amacını gizlemek için AES şifrelemesi kullanır ve kullanıcılar onu incelemeye çalıştıklarında onları gerçek Google giriş sayfasına yönlendiren anti-debugging araçları içerir.

Uzmanlar, bu kampanyanın “phishing tekniklerinde önemli bir evrimi temsil ettiğini” uyarıyorlar. Bu evrim, sosyal mühendislik ile meşru altyapı kötüye kullanımını ve ileri teknik kaçınma yöntemlerini birleştiriyor.”

Gmail kullanıcılarına, beklenmeyen sesli mesaj bildirimlerine karşı dikkatli olmaları ve giriş istemlerini her zaman resmi Google kanalları aracılığıyla doğrulamaları önerilir. Kendilerinin hedef alındığını düşünenlerin hemen şifrelerini değiştirmeleri ve son hesap aktivitelerini gözden geçirmeleri gerekmektedir.