Siber güvenlik araştırmacıları, Japonya'daki Booking.com ortak otellerini hedef alan sofistike bir siber saldırı kampanyasını ortaya çıkardı. Trend Micro'nun araştırma birimi TrendAI tarafından Mayıs 2026 sonunda tespit edilen bu kampanyada, bilgisayar korsanları blockchain teknolojisini kullanarak zararlı yazılım barındırıyor ve otel çalışanlarını hedef alan ikna edici kimlik avı e-postaları gönderiyor. Saldırı, özellikle The Open Network (TON) blockchain platformunu kullanmasıyla dikkat çekiyor.
Saldırganlar, Booking.com'daki ortak otel çalışanlarına Japonca 'Önemli: Misafir Yorumu İnceleme Talebi' konulu e-postalar göndererek başlıyor. Bu e-postalar, hedefi saldırganla iletişime geçmeye ikna etmeyi amaçlıyor. Ardından, bir randevu planlama aracının bildirim işlevini kullanarak gönderilen ikinci bir e-posta, bir ZIP dosyasına ve şüpheli bir web sitesine yönlendiren bir bağlantı içeriyor. Bu yöntem, geleneksel e-posta güvenlik kontrollerini (SPF, DKIM, DMARC) aşmayı başarıyor.
ZIP dosyasının içinde, fotoğraf dosyası gibi görünen bir kısayol bağlantı dosyası (LNK) bulunuyor. Bu dosya, bir PowerShell betiği aracılığıyla TrojanSpy.JS.TONRESOLVER.A adlı bir uzaktan erişim truva atını (RAT) yüklüyor. TrendAI araştırmacılarının kısaca TONResolver olarak adlandırdığı bu kötü amaçlı yazılım, bir akıllı sözleşme üzerinde barındırılıyor ve TON blockchain platformunu kullanıyor.
Gelecekte Ne Bekleniyor?
TONResolver, bir ilk erişim ve komut yürütme aracı olarak işlev görüyor. Kurulumdan sonra, saldırganların uzaktan komut çalıştırmasına, dosya indirip yüklemesine ve hedef sistemde keşif yapmasına olanak tanıyor. TrendAI raporuna göre, bu yazılımın ardındaki faaliyetler, potansiyel kimlik bilgisi hırsızlığı ve daha fazla sistem ihlali olasılığını işaret ediyor. Blockchain tabanlı yapısı, kötü amaçlı yazılımın barındırılması ve güncellenmesi için merkezi olmayan ve takibi zor bir altyapı sağlıyor.
Saldırılar öncelikle Japonya'daki konaklama sektörünü hedef alsa da, Avusturya, Avustralya, Fransa, Almanya, Endonezya, İtalya, Hollanda, Rusya, Güney Kore, Türkiye, Birleşik Krallık ve ABD'deki Booking.com ortaklarına da İngilizce e-postalar gönderildi. Ancak TrendAI'nın 29 Haziran'da yayımladığı rapora göre, Japon otelleri ana hedef konumunda. Bu hedefleme, Japonya'nın turizm sektörünün büyüklüğü ve Booking.com'un ülkedeki yaygın kullanımıyla ilişkilendiriliyor.
Nasıl Önlem Alınmalı?
Bu kampanyadan korunmak için otel işletmelerinin çalışanlarını kimlik avı e-postaları konusunda eğitmesi, şüpheli ekleri ve bağlantıları tıklamaması konusunda bilinçlendirmesi kritik önem taşıyor. Ayrıca, e-posta güvenlik çözümlerinin yanı sıra, uç nokta koruma ve davranışsal analiz araçlarının kullanılması, bu tür blockchain tabanlı tehditlerin tespit edilmesine yardımcı olabilir. Booking.com'un da ortak otellerle iletişim kanallarını güçlendirmesi ve güvenlik uyarıları yayınlaması bekleniyor.
Kaynak: infosecurity-magazine.com
