Geçtiğimiz sonbahardan beri istenmeyen e-posta mesajları aracılığıyla yayılan ve özellikle Türkiye’deki kurumları ağına düşürmeyi hedefleyen Oto Gönderici adlı tehdide dair detaylı bir rapor yayınlandı.
Eğitimden sağlığa, kamudan enerjiye tüm sektörleri tehdit eden Oto Gönderici, kullandığı Excel Formula Injection adlı alışılmadık saldırı tekniği sayesinde bazı uç nokta güvenlik ürünlerinin gözünden kaçabiliyor.
Bir süredir Türkiye’deki kurumları etkisi altına alan bu tehdit, Türkçe hazırlanmış spam mesajları aracılığıyla yayılan dosya eklerinin açılmasıyla bulaşıyor.
Nadir olarak uluslararası alanda görülen tehdidin Türkiye dışında da Türkçe dilini kullanması ve diğer bazı ipuçları, tehdidin Türkiye’de doğmuş olabileceğine işaret ediyor. Gönderilen mesajların benzer ifadelere sahip olması ve gönderim için seçilen adreslerin genelde info@ posta kutularına yönlendirilmesi, saldırıların özel bir kurum veya sektör yerine genel dağıtıma odaklandığını gösteriyor.
Oto Gönderici, istenmeyen e-posta eklerinde yer alan dosyaların açılmasıyla sisteme bulaşıyor. Excel Formula Injection ise, metin tabanlı CSV tabloların içine ustaca gömülen kodlar yardımıyla PowerShell’i aktif hale getirerek saldırganlara ait internet sunucularından Truva Atı yazılımının indirilmesini ve kurulmasını sağlıyor. Microsoft Excel’in söz konusu dosyanın kod çalıştırmaya hazırlandığına dair yaptığı uyarılara rağmen kullanıcı onay verip devam eder ve saldırı başarılı olursa, Adwind veya FareIt gibi Truva Atı yazılımlarının yüklenmesiyle sistemler yetkisiz erişime açık hale getiriliyor.
Oto Gönderici, diğer özelleşmiş tehditlere kıyasla daha basit bir yapıya sahip olsa da gücünü saldırganların inatçılığından alıyor. Sophos’un yayınladığı raporda, sürekli gelen yeni örnekler saldırganların vazgeçmeye niyetli olmadığı, gönderimlerin ısrarla devam ettiğini, hatta bu iş için otomasyon sistemi kurulduğununun altı çiziliyor.
