Siber saldırganlar, Booking.com ortak konaklama tesislerinin çalışanlarını hedef alan bir kimlik avı kampanyası başlattı. Trend Micro'nun araştırma birimi TrendAI tarafından Mayıs 2026 sonunda tespit edilen saldırıda, Japon otellerine gönderilen e-postalarda misafir şikayetleri ve inceleme talepleri taklit ediliyor. Amaç, otel personelini kötü amaçlı dosyaları çalıştırmaya ikna etmek.
Saldırıda kullanılan TONResolver adlı kötü amaçlı yazılım, The Open Network (TON) blockchain platformunda barındırılıyor ve akıllı sözleşmeler üzerinden yönetiliyor. Bu yazılım, hedef sistemlere ilk erişimi sağlamak ve komut çalıştırmak için bir arka kapı görevi görüyor. Ardından kimlik bilgilerinin çalınması ve sistemin daha fazla ele geçirilmesi gibi faaliyetler devreye giriyor.
Saldırı e-postaları, 'Önemli: Misafir İnceleme Talebi' başlığıyla Japonca olarak gönderiliyor. E-postalardaki bağlantı, hem şüpheli bir web sitesine yönlendiriyor hem de ZIP dosyası indiriyor. ZIP dosyası içinde fotoğraf gibi görünen bir kısayol dosyası (LNK) bulunuyor. Bu dosya, PowerShell betiği aracılığıyla TrojanSpy.JS.TONRESOLVER.A adlı uzaktan erişim truva atını (RAT) yüklüyor.
Önemli Gelişmeler
TrendAI raporuna göre, saldırılar ağırlıklı olarak Japonya'daki otelleri hedef alsa da, Avusturya, Avustralya, Fransa, Almanya, Endonezya, İtalya, Hollanda, Rusya, Güney Kore, Türkiye, İngiltere ve ABD'deki otellere de İngilizce e-postalar gönderildi. Saldırganlar, e-postaları göndermek için bir takvim aracının bildirim özelliğini kullandı; bu sayede SPF, DKIM ve DMARC gibi geleneksel e-posta güvenlik kontrollerini atlattılar.
