Kaspersky açıklamasına göre, e-postalar, botnet ağlarının bir parçası olarak işlev gören iki ünlü bankacılık Truva atı olan Qbot ve Emotet'i yaymayı amaçlayan planlı bir operasyonun parçası olarak dağıtılıyor.
Her iki kötü amaçlı yazılım örneği kullanıcıların verilerini çalabiliyor, virüsle şirket ağındaki verileri toplayabiliyor, ağ genelinde yayılabiliyor ve ağdaki diğer cihazlara fidye yazılımı veya diğer Truva atlarını yükleyebiliyor. Qbot'un işlevlerinden biri de e-postalara erişmek ve bunları çalmak olarak öne çıkıyor.
Operasyon birkaç aydır devam ederken, etkinliği şubatta 3 bin e-postadan martta 30 bine yükseldi. Operasyonda İngilizce, Fransızca, Macarca, İtalyanca, Norveççe, Lehçe, Rusça, Slovence ve İspanyolca dillerinde yazılmış kötü amaçlı e-postalar algılandı.
Siber suçlular halihazırdaki mevcut yazışmaların arasına giriyor ve alıcıları genellikle yasal ve popüler bir bulut barındırma hizmetine yönlendiren bir dosya veya bağlantı içeren bir e-posta gönderiyor. E-postanın amacı, kullanıcıları bağlantıyı takip etmeye ve arşivlenmiş bir belgeyi indirmeye, bazen e-postada belirtilen bir şifreyi kullanarak açmaya veya sadece e-posta ekini açmaya ikna etmeye odaklanıyor.
Saldırganlar, kullanıcıları dosyayı açmaya veya indirmeye ikna etmek için genellikle dosyanın ticari teklif gibi bazı önemli bilgiler içerdiğini söylüyor.
Bu belge Kaspersky tarafından HEUR:Trojan.MSOffice.Generic olarak tanımlandı ve kayıt altına alındı. Açılırsa çoğu durumda Qbot dinamik kütüphanesini indirip, başlatıyor. Ancak Kaspersky bu zararlı yazılımın bunun yerine bazen Emotet’i indirdiğini de gözlemledi.
"Aciliyet duygusu yaratan mesajlara karşı dikkatli olunmalı"
Açıklamada görüşlerine yer verilen Kaspersky Güvenlik Uzmanı Andrey Kovtun, iş yazışmalarını taklit etmenin siber suçlular tarafından yaygın olarak kullanılan bir numara olduğunu belirterek, "Ancak bu operasyon daha karmaşık, çünkü saldırganlar mevcut bir yazışmanın arasına giriyor ve kendilerini bu konuşmaya dahil ediyor. Bu da bu tür mesajların tespit edilmesini zorlaştırıyor. Bu teknik saldırganların bir iş arkadaşı gibi davranıp kurbanla sohbet ettiği kurumsal e-posta güvenliği ihlal saldırılarına (BEC saldırıları) benzese de burada saldırganlar belirli kişileri hedef almıyor. İş yazışmaları, alıcının dosyaları açma şansını artırmanın akıllıca bir yolu." ifadelerini kullandı.
Açıklamada Qbot ve Emotet saldırılarından korunmak için Kaspersky, şunları önerdi:
"Göndericinin adresi kontrol edilmelidir. Çoğu spam mesajı anlaşılmaz veya saçma görünen e-posta adreslerinden gelir. Gönderenin adının üzerine gelerek tam e-posta adresi görülebilir. Bir e-posta adresinin yasal olup olmadığını kontrol etmek için, adres bir arama motorunda aratılabilir. Aciliyet duygusu yaratan mesajlara karşı dikkatli olunmalıdır. Spam gönderenler genellikle bir aciliyet duygusu yaratarak dosyanın indirilmesi ve açılması için baskı uygulamaya çalışırlar. Örneğin konu satırı, harekete geçmeye zorlamak için 'acil' veya 'acil işlem gerekli' gibi kelimeler içerebilir.
Personele temel siber güvenlik hijyeni eğitimi verilmelidir. Ayrıca kimlik avı e-postalarını gerçek olanlardan nasıl ayırt edileceğini kontrol etmek için simüle edilmiş bir kimlik avı saldırısıyla becerileri denetlenebilir. Kimlik avı e-postası yoluyla bulaşma olasılığını azaltmak için uç noktalarda ve posta sunucularında Kaspersky Endpoint Security for Business gibi kimlik avına karşı koruma özelliklerine sahip bir koruma çözümü kullanılmalıdır."