Son dönemde popüler şifre yöneticileri LastPass ve Bitwarden kullanıcıları, kimlik avı (phishing) kampanyasının hedefi haline geldi. Saldırganlar, kullanıcılara güvenlik politikalarında güncelleme olduğunu iddia eden sahte e-postalar göndererek onları kötü amaçlı web sitelerine yönlendiriyor. Bu e-postalar, resmi kurumsal iletişimleri taklit edecek şekilde özenle hazırlanmış ve alıcıları kandırmak için LastPass veya Bitwarden logolarını kullanıyor.
LastPass, kullanıcılarını bu kampanya konusunda uyararak sistemlerinin ele geçirilmediğini ve söz konusu e-postaların kendi altyapılarından gönderilmediğini vurguladı. Saldırganlar, ‘[email protected]’ adresinden gönderdikleri e-postalarda, LastPass’te hizmet politikası değişiklikleri olduğunu iddia ediyor. Bu değişiklikler arasında gelişmiş SaaS izleme, yöneticiler için ana şifre sıfırlama seçenekleri ve yönetici konsolu iyileştirmeleri gibi maddeler yer alıyor.
E-postadaki ‘İncele ve Erişim Şartları’ butonuna tıklayan kullanıcılar, kendilerini DocuSign hizmetini taklit eden bir web sitesinde buluyor. DocuSign, belgelerin elektronik olarak gönderilmesi, imzalanması ve yönetilmesi için yaygın olarak kullanılan bir platform. Ancak saldırganların kullandığı ‘lastpasscompliance[.]com’ alan adı, Microsoft Defender for Office 365 ve Cloudflare tarafından kötü amaçlı olarak işaretlenmiş durumda.
LastPass, kampanyanın nihai amacını doğrulayamamış olsa da sahte sitenin kullanıcıdan Windows ve macOS’u desteklediğini iddia eden bir dosya indirmesini istediğini belirtiyor. Sitede ayrıca canlı destek sohbet kutusu bulunuyor, ancak bu özelliğin çalışıp çalışmadığı bilinmiyor. Söz konusu web sitesi, haberin yazıldığı sırada erişime kapatılmış durumda.
Uzmanların Görüşleri
BleepingComputer’ın araştırmaları, aynı saldırı kampanyasının Bitwarden kullanıcılarını da hedef aldığını ortaya koydu. Bitwarden kullanıcılarına ‘[email protected]’ adresinden gönderilen e-postalar, onları ‘bitwardencompliance[.]com’ alan adına yönlendiriyor. Bu da saldırganların aynı yöntemi birden fazla şifre yöneticisi üzerinde denediğini gösteriyor.
LastPass, geçmişte de benzer oltalama saldırılarına maruz kalmıştı. Mart ayında, sahte yetkisiz hesap erişim uyarıları ile kullanıcıları hedef alan bir kampanya tespit edilmişti. Ocak ayında ise kullanıcılara, sistem bakımı nedeniyle 24 saat içinde kasalarını yedeklemeleri gerektiğini bildiren sahte uyarılar gönderilmişti. Bu tür saldırılar, kullanıcıların acil durum hissiyle dikkatsiz davranmasını amaçlıyor.
LastPass, kullanıcılarına asla ana şifrelerini istemeyeceğini hatırlatarak şüpheli iletişimleri [email protected] adresine bildirmelerini istiyor. Oltalama sitelerinde kimlik bilgilerini giren kullanıcıların, güvenilir bir cihazdan derhal ana şifrelerini değiştirmeleri ve kasalarını şüpheli etkinliklere karşı kontrol etmeleri öneriliyor.
Gelecekte Ne Bekleniyor?
Bu tür saldırılara karşı korunmak için kullanıcıların e-posta adreslerini dikkatlice kontrol etmeleri, resmi olmayan bağlantılara tıklamamaları ve iki faktörlü kimlik doğrulama (2FA) kullanmaları büyük önem taşıyor. Ayrıca, şifre yöneticilerinin resmi web siteleri dışında hiçbir yerde ana şifrelerini girmemeleri gerekiyor.
Kaynak: bleepingcomputer.com
