Bir çalışanın kişisel cihazına bulaşan bilgi hırsızı, kurumsal VPN portalına ait kimlik bilgilerini ve aktif oturum çerezini dışarı sızdırdı. Kayıt, bir Telegram kanalında toplu satış paketinin içinde yer aldı.
InsightGuard yaklaşımı
InsightGuard, log'daki URL'yi kurumun VPN alan adıyla eşledi ve kaydı 'çalışan' olarak sınıfladı. Varlık grafiği aynı cihazdan sızan diğer kayıtları da aynı vakaya bağladı; oturum çerezinin hâlâ geçerli olduğu işaretlendi.
Zaman çizelgesi
Çalışan, kurumsal olmayan bir makineden VPN portalına giriş yapıyor. Makinede daha önce bir infostealer çalıştırılmış.
Kayıt, 12.000 satırlık bir stealer log paketinin parçası olarak bir Telegram kanalında paylaşılıyor.
InsightGuard paketi ayrıştırıyor; vpn.<kurum>.com.tr satırı izlenen varlıkla eşleşiyor ve kritik şiddetle vaka açılıyor.
SOC ekibi vakayı devralıyor, parola sıfırlanıyor ve çerez geçersiz kılınıyor. IOC'ler SIEM'e besleniyor.
Vaka, etkilenen hesabın kapsamı ve cihaz karantinası notuyla kapanıyor. Aynı cihazdan gelecek yeni kayıtlar için izleme kuralı bırakılıyor.
İlgili dosyalar
Yeni kaydedilen alan adı, sertifika şeffaflık log'larında göründükten kısa süre sonra kurumun giriş sayfasının kopyasını yayınlamaya başladı. Sayfa, kimlik bilgilerini üçüncü bir sunucuya gönderiyordu.
Tedarikçinin müşteri portalı sızdırıldı. Yayınlanan veri setinde API anahtarları, webhook URL'leri ve teknik iletişim e-postaları yer aldı.
Pazarlama kampanyası bittikten sonra kapatılmayan alt alan adı, eskimiş bir CMS sürümüyle ayakta kaldı. Panel internete açıktı.
Sonraki adım
30 dakikalık bir oturumda kendi alan adlarınız üzerinden canlı tarama yapıyoruz.