Siber Muhbir

Malezya Kraliyet Polisi, 6 Kasım 2023'te Avustralya Federal Polisi (AFP) ve ABD Federal Soruşturma Bürosu'nun (FBI) yardımıyla yürütülen çabanın, platformun arkasındaki tehdit aktörlerinin ülke dışında bulunduğuna dair bilgilere dayandığını söyledi.

New Straits Times'ın bildirdiğine göre, bu amaçla, sendikanın beyni de dahil olmak üzere 29 ila 56 yaşları arasındaki sekiz kişi Sabah, Selangor, Perak ve Kuala Lumpur'daki farklı yerlerde tutuklandı.

Tutuklamaların yanı sıra yetkililer, yaklaşık 213.000 dolar içeren sunuculara, bilgisayarlara, mücevherlere, araçlara ve kripto para cüzdanlarına el koydu.

BulletProftLink olarak da adlandırılan BulletProofLink, kimlik bilgisi toplama kampanyaları yürütmek için diğer aktörlere abonelik bazında kullanıma hazır kimlik avı şablonları sunmasıyla bilinir. Bu şablonlar, American Express, Bank of America, DHL, Microsoft ve Naver gibi tanınmış hizmetlerin oturum açma sayfalarını taklit eder.

Microsoft'un Eylül 2021'de yaptığı bir analize göre, BulletProofLink aktörleri, çalınan kimlik bilgilerinin hem müşterilerine hem de çekirdek geliştiricilere gönderildiği ve ek para kazanma yollarıyla sonuçlanan çifte hırsızlık adı verilen bir olaya da karıştı.

Siber güvenlik firması Intel 471 geçen hafta yaptığı açıklamada, "BulletProftLink, TheGreenMY ve AnthraxLinkers takma adlarını da kullanan tehdit aktörü AnthraxBP ile ilişkilidir" dedi.

"Oyuncu, kimlik avı hizmetlerinin reklamını yapan aktif bir web sitesi sürdürdü. Aktörün geniş bir yeraltı ayak izi var ve birden fazla kullanıcı adı kullanarak bir dizi açık web yeraltı forumunda ve Telegram kanalında faaliyet gösteriyor."

En az 2015'ten beri aktif olduğuna inanılan BulletProftLink'in çevrimiçi vitrininin Nisan 2023 itibariyle en az 8.138 aktif müşteriye ve 327 kimlik avı sayfası şablonuna sahip olduğu tahmin ediliyor.

Dikkate değer bir diğer özellik ise, tehdit aktörlerinin oturum çerezlerini çalmasını ve çok faktörlü kimlik doğrulama korumalarını atlamasını mümkün kılan ortadaki düşman (AiTM) saldırılarını kolaylaştırmak için Evilginx2 kimlik avı kitinin entegrasyonudur.

Intel 471, "BulletProftLink gibi PhaaS şemaları, daha fazla saldırı için yakıt sağlıyor" dedi. "Çalınan oturum açma kimlik bilgileri, kötü niyetli bilgisayar korsanlarının kuruluşlara erişmesinin başlıca yollarından biridir."

Tehdit aktörlerinin kesintilere yanıt olarak taktikleri sürekli olarak güncellediğinin ve daha karmaşık yaklaşımlar benimsediğinin bir işareti olarak, AiTM saldırılarının, düşman tarafından kontrol edilen altyapının URL'lerini içeren DRACOON gibi dosya paylaşım çözümlerinde barındırılan belgelere aracı bağlantılar kullandığı da gözlemlendi.

Trend Micro, "Bu yeni yöntem, e-posta güvenliği azaltmalarını atlayabilir, çünkü ilk bağlantı meşru bir kaynaktan geliyor gibi görünüyor ve bağlantıyı içeren barındırılan belgeyle tarayıcı içindeki dosya paylaşım sunucusu aracılığıyla etkileşime girilebileceğinden, kurbanın uç noktasına hiçbir dosya teslim edilmiyor" dedi.

Gelişme, 33 yaşındaki Sırp ve Hırvat vatandaşı Milomir Desnica'nın ABD'de karanlık ağda Monopoly Market adlı bir uyuşturucu kaçakçılığı platformu işletmekten ve ABD'li müşterilere 30 kilogramdan fazla metamfetamin dağıtmak için komplo kurmaktan suçlu bulunmasının ardından geldi.

Desnica tarafından 2019 yılında kurulan yasa dışı pazar yeri, Almanya ve Finlandiya ile ortaklaşa yürütülen koordineli bir tatbikatın parçası olarak Aralık 2021'de devre dışı bırakıldı. Desnica, Kasım 2022'de Avusturya'da tutuklandı ve Haziran 2023'te uyuşturucu kaçakçılığı suçlamalarıyla yüzleşmek üzere ABD'ye iade edildi.