Malwarebytes'a göre yeni bir kimlik avı dolandırıcılığı, ücretsiz Claude Max aboneliği vaadiyle kullanıcıları sahte bir Google oturum açma sayfasına yönlendirerek giriş bilgilerini çalmayı amaçlıyor. Uzmanlar, tarayıcı içinde tarayıcı tekniğiyle hazırlanan sahte sayfaların nasıl tespit edilebileceğine dair ipuçları paylaştı.
Siber güvenlik şirketi Malwarebytes tarafından bildirilen yeni bir kimlik avı dolandırıcılığı, Anthropic'in yaklaşık 200 dolar değerindeki Claude Max hizmetine ücretsiz erişim vaat ederek kullanıcıların Google hesap bilgilerini ele geçirmeyi amaçlıyor. Şirketin açıklamasına göre dolandırıcılık, Anthropic'in 100 milyon kullanıcıya ulaşmasını kutlamak amacıyla 10.000 kişiye bir aylık ücretsiz Claude Max aboneliği verildiği iddiasıyla kullanıcıları tuzağa düşürüyor.
Sahte kampanya, "genişletilmiş düşünme" ve "Opus ile Sonnet'e öncelikli erişim, sınırsız kullanım" gibi ayrıcalıklar sunduğunu öne sürüyor. Ancak Malwarebytes'a göre bu teklif tamamen sahte ve kullanıcıları giriş bilgilerini çalmak amacıyla tasarlanmış bir Google oturum açma sayfasına yönlendiriyor. Ele geçirilen bilgiler, Gmail, Google Docs ve Google hesabıyla bağlantılı diğer hizmetlere erişim sağlayabiliyor.
Malwarebytes kıdemli kötü amaçlı yazılım araştırma mühendisi Stefan Dasic, sahte kampanyanın diğer birçok kimlik avı girişiminden görsel olarak çok daha ikna edici olmasıyla ayrıldığını belirtti. Dasic'e göre sayfa tasarımı gerçek logo ve renkleri, uydurma beş yıldızlı değerlendirmeleri ve neredeyse tamamen Anthropic'in gerçek sayfalarına yönlendiren uzun bir alt bilgi bölümünü içeriyor. Sayfada ayrıca sahte 10.000 hesaptan kaçının "dağıtıldığını" gösteren işleyen bir sayaç da yer alıyor.
Tarayıcı İçinde Tarayıcı Tekniği
Teklife tıklayan kullanıcılar, bir Claude hesabını yükseltmek için tasarlanmış oturum açma sayfasına yönlendiriliyor. Sayfada Apple ile giriş seçeneği devre dışı bırakılmış durumda ve yalnızca "Google ile oturum aç" seçeneği sunuluyor. Dasic'e göre bu sayfa, dikkatli bakmayan kullanıcıları yanıltacak kadar ikna edici bir "tarayıcı içinde tarayıcı" tekniği kullanıyor; mevcut sekme içinde kilit simgesi ve doğru yazılmış bir Google oturum açma adresiyle birlikte sahte bir tarayıcı penceresi çiziliyor ve bu pencere sayfa üzerinde sürüklenebiliyor bile.
Dasic, CNET'e verdiği demeçte, Claude'un kendine ait bir parolası olmadığını hatırlatarak bu durumun riski artırdığını ifade etti. Kullanıcılar Claude'a ya Google ile devam ederek ya da e-postalarına gönderilen bir giriş bağlantısıyla erişiyor. Dolayısıyla bir kişinin Claude hesabı, kimlik avına kurban giden Google hesabına bağlıysa saldırgan her iki yoldan da hesaba ulaşabiliyor.
Dolandırıcılığın Yaygınlığı ve İzleri
Dasic, dolandırıcılığın ne kadar yaygınlaştığını ve kaç kişiye ulaştığını söylemenin henüz erken olduğunu belirtti. Şu ana kadar yapılan incelemede sitenin Birleşik Krallık'ta kayıtlı bir şirkete kadar izlendiğini, ancak sunucunun kiralanmış olduğunu aktardı. Dasic'e göre bu durum yalnızca sunucunun nereden kiralandığını gösteriyor, kimin kiraladığını değil.
Web sayfasının bazı bileşenlerinde Rusça yazılmış geliştirici yorumları bulunuyor. Ancak Dasic, kod içindeki dilin tek başına zayıf bir kanıt olduğunu ve daha önce yanıltma amacıyla yerleştirildiğinin görüldüğünü ekledi. Bu nedenle söz konusu yorumların kampanyayla doğrudan bağlantılı bir dolandırıcıya değil, başka biri tarafından geliştirilmiş bir araca ait olabileceği değerlendiriliyor.
Sahte Tarayıcı Pencereleri Nasıl Anlaşılır
Malwarebytes, sahte tarayıcı pencerelerini tespit etmeye yönelik bazı ipuçları paylaştı. Açılır pencere şeklindeki bir oturum açma ekranını tarayıcının dışına sürüklemeyi denemek gerekiyor; gerçek bir açılır pencere web sayfasının içinde hapsolmaz. Parola yöneticisinin metin kutularını doldurup doldurmadığı da önemli bir gösterge; parola yöneticisi bilgileri doldurmuyorsa site büyük olasılıkla sahte.
Bir bağlantı üzerinden gelinen sitenin doğruluğu, teklifin şirketin gerçek web sitesinde aranmasıyla teyit edilebilir; bu durumda teklif Anthropic'in sitesinde bulunamayacaktır. Tek bir oturum açma seçeneğinin sunulması da dikkat gerektiriyor; devre dışı bırakılmış Apple girişi, dolandırıcının kullanıcıları tuzağa yönlendirmeye çalıştığının işareti olabilir. Ayrıca kontenjan sayaçları ve geri sayımlar, bir sitenin veya teklifin gerçek olduğunu göstermez.
