Güvenlik araştırmacıları tarafından tespit edilen saldırıların, kullanıcıların sadece bir e-postayı açmasıyla tetiklendiği bildirildi.
OWAReaper ile Kalıcı Erişim Sağlanıyor
Proofpoint tarafından yapılan açıklamaya göre, TA488 kod adlı grup, CVE-2026-42897 numaralı bir XSS (siteler arası betikleme) açığını istismar ediyor. Saldırganlar, OWAReaper adını verdikleri gelişmiş bir JavaScript tabanlı yazılımla, kullanıcıların e-posta hesaplarına kalıcı olarak erişim sağlıyor.
Şifre Değişimi ve Sistem Yenileme Yetersiz Kalıyor
Bu zararlı yazılım, tarayıcının yerel depolama alanına kendisini şifreli şekilde kaydederek çalışmaya devam ediyor. Proofpoint araştırmacıları, saldırganların sunucu tarafında kalıcı hale geldiğini, bu nedenle şifrelerin değiştirilmesinin veya cihazların tamamen yeniden imajlanmasının saldırganı sistemden uzaklaştırmak için yeterli olmadığını belirtti.
Saldırının Teknik İşleyişi ve Veri Hırsızlığı
Saldırı sırasında OWAReaper, Outlook API'lerini kullanarak e-postadaki kanıtları siliyor, açılır pencereleri ve sağ tıklama özelliğini devre dışı bırakıyor. Ardından, tarayıcının otomatik doldurma özelliğini kullanarak kullanıcı adı ve şifreleri ele geçiriyor. Ayrıca OAuth token'larını çalarak aynı ağ üzerindeki diğer yetkili kullanıcıların posta kutularına da tam erişim sağlayabiliyor.
Yorumlar (0)
Henüz yorum yok. İlk yorumu siz yazın.