ESET analistleri, Zimbra hesap kullanıcılarının kimlik bilgilerini toplamayı hedefleyen kitlesel bir kimlik avı atağı keşfetti. Bu senenin Nisan ayından beri etkin olan ataklar hali hazırda devam ediyor.

Zimbra Collaboration, müessesesel e-posta çözümlerine bir seçenek olarak seçim edilen sarih çekirdekli, iş birliğine dayalı bir yazılım platformudur. Hücumun hedefi arasında farklı minik ve orta ölçekli şirketler ve devlet müesseseleri bulunuyor. ESET telemetrisine göre, en fazla hedef Polonya ’da bulunurken Ukrayna, İtalya, Fransa ve Hollanda gibi öbür Avrupa ülkelerinden kurbanlar da hedef alınmış vaziyette. Latin Amerika ülkeleri de hamlelere maruz kalırken Ekvador bölgede listenin başında geliyor.

Bu atak, teknik olarak çok gelişmiş olmamasına karşın, hala Zimbra Collaboration şirketini kullanan kuruluşlara dağılabilir ve onları ele geçirebilir.  Hücumu keşfeden ESET tahlilcisi Viktor Šperka, “Saldırganlar, HTML eklerinin legal kod kapsaması durumundan faydalanır ve tek göstergesi, makûs gayeli ana bilgisayarı işaret eden bir irtibattır. Bu biçimde, makûs emelli bir irtibatın doğrudan e-posta gövdesine yerleştirildiği kimlik avı teknikleriyle karşılaştırıldığında, haysiyete dayalı antispam siyasetlerini atlatmak çok daha basittir.” diye açıklıyor. 

Analist, “Hedef kuruluşlar farklılık gösterir ve kurbanların tek ortak noktası Zimbra kullanıyor olmalarıdır” diye ilave ediyor. Daha düşük BT bütçelerine sahip olması olası kuruluşlar arasında Zimbra Collaboration kullanımının popüler olması, onu saldırganlar için çekici bir hedef haline getirmiş vaziyette.

Hedef, evvel ekli HTML dosyasında kimlik avı sayfası kapsayan bir e-posta alır. E-posta, hedefi bir e-posta sunucusu aktüellemesi, hesabın devre dışı vazgeçilmesi veya eş bir mesele hakkında uyarır ve kullanıcıyı ekli dosyayı tıklamaya yönlendirir. Eki açtıktan sonra kullanıcıya hedeflenen kuruluşa göre özelleştirilmiş sahte bir Zimbra seans açma sayfası gösterilir. Arka tasarıda, sevk edilen kimlik bilgileri HTML formuna bir araya gelir ve saldırganın isteğiyle hakimiyet edilen bir sunucuya sevk edilir. Ardından saldırgan, etkilenen e-posta hesabına potansiyel olarak sızabilir. Saldırganların, kurbanın idareyici hesaplarının güvenliğini aşarak öbür hedeflere kimlik avı e-postaları yollamak için kullanılan yeni posta kolileri oluşturması mümkündür. ESET ’in gözlemlediği atak, sosyal mühendisliğe ve kullanıcı etkileşiminden katlanıyor, ama bu da her zaman muhtemel olmayabilir.

Kaynak: BYZHA Beyaz Haber Ajansı