Selamlar,
Huntress, 14 Temmuz - 22 Eylül 2026 arasında Microsoft 365 hesaplarına yönelik bir token spreying / replay kampanyası belgelendirdi. 79 kurumda en az 497 başarılı oturum, 200.000'den fazla başarısız deneme. Parola gerekmedi: AiTM (adversary-in-the-middle) ile MFA sonrası alınan oturum jetonları Alman barındırma sağlayıcısı 1337 Services GmbH (AS210558) IP blokundan yeniden oynatıldı. Bu konu SOC için tespit ve müdahale notları.
Konuda anlatılacaklar
- Saldırı nasıl işliyor?
- Altyapı ve IOC'ler
- Ele geçirme sonrası davranış
- Conditional Access neden kritik?
- Olay müdahalesi kontrol listesi
1. Saldırı nasıl işliyor?
Kurban sahte veya araya giren bir giriş sayfasından MFA'yı tamamlıyor; röle jetonu tutuyor. Dakikalar içinde aynı oturum 1337 Services adresinden görünüyor. Huntress buna "token spraying" diyor: parola spreying'in jeton hali. Kaynaklar: AiTM röleleri, cihaz kodu (device-code) phishing ve sosyal mühendislik.
2. Altyapı ve IOC'ler
Ana yeniden oynatma bloğu: 193.26.115[.]0/24. Öne çıkan adresler: .221, .199, .16, .21, .72, .210. Build A: node kullanıcı aracısı + OAuth2:Token + sahte Entra cihazı (DESKTOP- + 8 hex karakter). Build B: tarayıcı oturumu yeniden oynatma. En az 48 sahte cihaz kaydı görülmüş.
3. Ele geçirme sonrası
- Mevcut MFA yöntemlerini silip kendi authenticator'larını ekleme (19 kurumda ilk 3 saat içinde).
- Gizli gelen kutusu kuralları: ".", "sss", "s", "d" gibi kısa isimler; RSS Feeds / Conversation History'ye taşıma.
- Bir vakada maaş bordrosu temalı dışarı e-posta.
4. Conditional Access
Phase 3'te aynı saldırgan IP'sinden 1.052 engellenmiş giriş yalnızca dört kurumdan gelmiş; 29 kurumda ise hiçbir şey engel olmamış. Huntress önerisi: All Users + All Cloud Apps + All Client Apps için koşulsuz MFA veya engelleme. Cihaz kodu akışını authentication-flow politikalarıyla kısıtlayın.
5. Müdahale kontrol listesi
- Oturumları iptal edin (revoke) ve parolayı sıfırlayın.
- Entra cihazlarını denetleyin; DESKTOP- + 8 hex kalıbını doğrulayarak silin.
- MFA yöntemlerini denetleyin; tanınmayan authenticator'ı kaldırın.
- Gelen kutusu kurallarını (özellikle kısa/noktalama isimli) inceleyin.
- Hosting IP'lerinden OAuth2:Token / Device Registration Service girişlerini avlayın.
- AADSTS53003 (Conditional Access engeli) geçerli kimlik bilgisi işaretidir; "kurtardık" sanmayın.
Tenant'ınızda Conditional Access tüm istemci uygulamalarını kapsıyor mu, yoksa boşluklar var mı?
Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.
Kaynaklar