Siber güvenlik araştırmacıları, pazarlama profesyonellerini hedef alan sofistike bir kimlik avı (phishing) kampanyası tespit etti. Kampanya, Adobe, Netflix, Coca-Cola ve OpenAI gibi 30'dan fazla tanınmış markayı taklit ederek sahte iş mülakatları düzenliyor ve kurbanların Google hesap kimlik bilgilerini çalmayı amaçlıyor. Saldırganlar, meşru bulut tabanlı PeopleForce insan kaynakları platformu ve Salesforce Marketing Cloud hizmetine ait bir alan adını kullanarak e-postaları güvenilir kılıyor.
Team Cymru siber güvenlik istihbarat şirketinden kıdemli danışman Will Thomas, kampanyayı analiz ederek tehdit aktörünün en az 34 farklı alan adı kullandığını ortaya çıkardı. Bu alan adları, American Airlines, Booking.com, Delta Air Lines, Coca-Cola, PepsiCo, Red Bull, Adidas, Louis Vuitton, Sephora, Adobe, OpenAI, Netflix ve FIFA gibi birçok sektörden büyük markaları taklit ediyor. Saldırganlar, güven oluşturmak için sahte işe alım uzmanı olarak gerçek kişilerin isimlerini ve fotoğraflarını kullanıyor.
Phishing e-postaları, PeopleForce üzerinden gönderilmiş gibi görünse de aslında içerdikleri bağlantılar, Salesforce Marketing Cloud'a ait exct[.]net alan adına yönlendiriyor. Buradan Wise Agent emlak CRM yazılımına, oradan da kötü amaçlı açılış sayfasına yönlendirme yapılıyor. BleepingComputer, bu operasyonun en az beş aydır devam ettiğini ve başlangıçta taklit edilen şirket adıyla Outlook e-posta adresleri kullanıldığını tespit etti.
Kurbanlar, sahte bir takvim randevusu bağlantısına tıkladıklarında, Adidas örneğinde olduğu gibi adidas-hiring[.]com gibi bir alan adına yönlendiriliyor. Burada 'Google ile devam et' butonuna tıklanmasıyla, tarayıcı içinde tarayıcı (browser-in-the-browser) tekniği kullanılarak oluşturulmuş sahte bir Google giriş sayfası açılıyor. Bu sayfa, HTML ve CSS ile tasarlanmış olup gerçek bir Google kimlik doğrulama penceresini birebir taklit ediyor. Kullanıcılar, farkında olmadan kimlik bilgilerini saldırganlara teslim ediyor.
