Yenilikçi Gizleme Mekanizması
Siber güvenlik şirketi Kela, finansal kuruluşları hedef alan gelişmiş bir oltalama kampanyası tespit etti; saldırganlar, güvenlik ekiplerinin ve kapatma hizmeti sağlayıcılarının kötü amaçlı içeriği tespit etmesini engelleyen yanıltıcı bir teknik kullanıyor. Bu kampanya, ziyaretçilerin IP adreslerini kaydetmeye dayanıyor; ilk ziyaretçi sahte bir banka giriş sayfası görürken, sonraki her ziyaretçi (güvenlik tarama araçları dahil) bir barındırma hizmeti sağlayıcısından geliyormuş gibi görünen bir "hesap askıya alındı" sayfasıyla karşılaşıyor, bu da sitenin zaten kapatıldığı izlenimini veriyor.
Bu Haber Neden Önemli?
Bu altyapının tehlikesi, geleneksel koruma önlemlerini aşma yeteneğinde yatıyor. Bir güvenlik ekibi veya hizmet sağlayıcısı şüpheli bir siteyi bildirdiğinde, genellikle kapatmayı onaylamak için siteyi tekrar kontrol ederler. Bu durumda, araştırmacılara sahte sayfa gösterilir ve bu da alan adının "etkin değil" olarak sınıflandırılmasına neden olurken, site yeni kurbanları hedeflemeye devam eder. Bu taktik, gerçek içeriğin tespit edilmesi için her tarama işleminde yeni bir IP adresi kullanılmasını gerektirdiğinden, olay müdahale ekiplerinin kampanyayı etkili bir şekilde durdurmasını zorlaştırıyor.
Kampanyanın Detayları ve Kapsamı
Kampanya Mayıs 2026'da başladı ve 300'den fazla sahte alan adını kapsayacak şekilde genişledi; bunlardan 248'i, özellikle orta ölçekli bölgesel bankalara odaklanarak yaklaşık 189 Amerikan finans kuruluşunu hedef aldı. Araştırmalar ayrıca kampanyanın Birleşik Krallık, Avustralya ve Yeni Zelanda'daki kurbanları da kapsadığını gösterdi. Siteler, banka adını takip eden "secure" veya "authorize" gibi kelimelere dayanan adlandırma modelleri kullanırken, teknik destek portallarını taklit etmek için "help-desk" ve "live-support" gibi isimler kullanan yeni bir kategori de ortaya çıktı.
Mücadele Zorlukları
Kela, bu altyapıyı durdurmayı zorlaştıran dört faktör belirliyor:
- Basit adlandırma formatı: Herhangi bir finansal kuruluş için kolayca tekrarlanabilir.
- Cloudflare kullanımı: Gerçek barındırma konumunu gizlemek için.
- Gizleme tekniği: İncelemecileri yanıltmak için ikinci ziyarette "askıya alındı" sayfası gösterilmesi.
- Paylaşımlı sunucular: Tek bir alan adı kapatılsa bile kampanyanın devamlılığını sağlayan sunucular.
Sonuçlar, kampanyanın temel olarak ticari bankacılık ve hazine kimlik bilgilerini hedeflediğini ve tarayıcılardaki geliştirici araçlarının kullanımını engellemek için betikler kullandığını, bunun da sitenin teknik analiz sürecini karmaşıklaştırdığını gösteriyor.