Rusya bağlantılı tehdit aktörleri Signal Messenger'ı hedef alan faaliyetler yürütüyor
-
Google Tehdit İstihbaratı Grubu (GTIG), Rus devlet bağlantılı tehdit aktörlerinin Signal Messenger hesaplarını hedef alan faaliyetler gözlemledi. Bunun, Rusya'nın Ukrayna'yı yeniden işgaliyle bağlantılı hassas devlet ve askeri iletişimlere erişmeye yönelik savaş zamanı ihtiyaçları tarafından tetiklendiği görülüyor. Bu taktik ve yöntemlerin ileride daha fazla tehdit aktörüne ve bölgeye yayılması muhtemel.
-
Signal; askerler, siyasetçiler, gazeteciler ve aktivistler gibi gözetim ve casusluk faaliyetlerinin yaygın hedefleri arasında yüksek popülerliğe sahip olduğundan, hassas bilgileri ele geçirmek isteyen hasımlar için yüksek değerli bir hedef haline geliyor. Bu tehdit, WhatsApp ve Telegram gibi diğer popüler mesajlaşma uygulamalarına da uzanıyor.
-
Signal ekibiyle iş birliği sayesinde, Signal'ın en güncel sürümünde benzer phishing kampanyalarına karşı koruma güçlendirildi. En son sürüme güncelleme yapılması öneriliyor.
Signal'ın "bağlı cihazlar" özelliğini kötüye kullanan phishing kampanyaları
-
Rusya bağlantılı aktörler, Signal hesaplarını ele geçirmek için "bağlı cihazlar" özelliğini kötüye kullanıyor. Bu özellik, Signal'ın aynı anda birden fazla cihazda kullanılmasını sağlıyor. Kötü amaçlı QR kodları aracılığıyla kurbanın hesabını aktörün kontrol ettiği bir Signal örneğine bağlamaya çalışıyorlar.
-
Uzaktan phishing operasyonlarında, kötü amaçlı QR kodları Signal kaynakları gibi gösterilerek kullanılıyor. QR kodları bazen Ukrayna ordusunda kullanılan özel uygulamalar gibi görünen phishing sayfalarına da yerleştiriliyor.
UNC5792: Değiştirilmiş Signal grup daveti
- UNC5792, Signal hesaplarını ele geçirmek için "grup daveti" sayfasını değiştirerek kötü amaçlı bir URL'ye yönlendirme yapıyor. Bu, kurbanın Signal hesabını aktörün kontrol ettiği bir cihaza bağlama girişimi.
UNC4221: Özel Signal phishing kiti
- UNC4221, Ukraynalı askerlerin kullandığı Signal hesaplarını hedef alıyor. Bu grup, Kropyva uygulamasını taklit eden bir phishing kiti işletiyor ve bunu güvenilir bir kişiden gelen Signal grup daveti gibi gösteriyor.
Rusya ve Belarus'un Signal mesajlarını ele geçirme çabaları
- Birden fazla bölgesel tehdit aktörü, Android ve Windows cihazlardaki Signal veritabanı dosyalarını çalma yetenekleri kullanıyor. APT44, Signal mesajlarını periyodik olarak sorgulamak ve bunları Rclone kullanarak dışarı aktarmak için WAVESIGN adlı bir Windows Batch betiği kullanıyor.
Görünüm ve etki
-
Birden fazla tehdit aktörünün Signal'ı hedef alması, güvenli mesajlaşma uygulamalarına yönelik tehdidin arttığına işaret ediyor. Bu tehditler; phishing ve kötü amaçlı yazılım dağıtımı gibi uzaktan siber operasyonların yanı sıra, hedefin kilidi açık cihazına erişim sağlanabilen yakın erişim operasyonlarını da kapsıyor.
-
Güvenli mesajlaşma uygulamaları kullanan kişiler; ekran kilidini etkinleştirerek, işletim sistemlerini güncelleyerek, Google Play Protect'i açarak, QR kodlarına ve web kaynaklarına karşı dikkatli olarak ve iki faktörlü kimlik doğrulama kullanarak kendilerini korumalı.
2 yorum
Zayıf olduğu doğru ama grup sohbetlerini bile düzgün şekilde şifrelemeyen Telegram'ın güvenlik konusunda eleştiri yapması başlı başına komik.
Hacker News görüşleri
Signal gibi uygulamalardaki bağlı cihaz iş akışı uzun zamandır riskliydi
Uçtan uca şifrelemenin, kullanıcıların istemciyi bizzat derleyip doğrulamasını gerektirdiği fark edildi
Haberde açıkça belirtilmese de saldırının ilk aşaması, ölen askerin akıllı telefonunu ele geçirmek
Sadece QR kodu tarayarak cihaz bağlanabiliyorsa bu bir sorun
Bazı alan adları verilmişti ama hepsi aktif kullanımda değil
Signal'in tehlikeye girdiğini öne süren çok ses var
İyi haber, hedefin etkili olduğu için hedef alınmış olması
"Rusya bağlantılı tehdit"... O halde ABD mi?
Ayarlar menüsünden beklenmedik bağlı cihazları kontrol edebilirsiniz