🐹 Mustafa ile Öğreniyorum #12: Papatya Çayından Bir Yudum Al ve…

🐹 Mustafa ile Öğreniyorum #12: Papatya Çayından Bir Yudum Al ve Dinle (MFA Yorulmadan Nasıl Bypass Edilir? AiTM ve Evilginx2 Anatomisi) Selamlar değerli topluluk üyeleri ve siber güvenlik meraklıları! Geçtiğimiz günlerde siber saldırganların kurbanın telefonunu bildirim yağmuruna tutarak bildirim yorgunluğu yarattığı MFA Fatigue yöntemini incelemiştik. Ancak siber tehdit aktörleri durmuyor... Peki ya saldırgan, siz MFA doğrulamasını tamamen doğru şekilde yapmanıza rağmen oturumunuzu ele geçirirse? İşte bugün, günümüz kurumsal dünyasının en tehlikeli saldırı tekniklerinden biri olan AiTM (Adversary-in-the-Middle) mimarisini ve bunu otomatize eden Evilginx2 aracını inceleyeceğiz. 🧠 1. Nedir Bu AiTM ve Evilginx2? Klasik oltalamada (Phishing) saldırgan sahte bir form hazırlar ve şifrenizi çalar. Ancak MFA aktifse şifre tek başına işe yaramaz. AiTM mimarisinde saldırgan klasik anlamda sahte bir giriş formu hazırlamak yerine, gerçek giriş sayfasını Reverse Proxy üzerinden kullanıcıya iletir. Böylece kullanıcı neredeyse gerçek Microsoft veya Google sayfasını görüyormuş gibi hisseder. Adım 1: Kullanıcı sahte zannettiği ama aslında gerçek sunucuya tünellenen bağlantıya tıklar. Adım 2: Kullanıcı kullanıcı adını, şifresini ve hatta telefonuna gelen MFA (2FA) kodunu girer. Adım 3: Evilginx2 bu bilgileri gerçek Microsoft/Google sunucusuna iletir. Microsoft, "Harika, kimlik doğrulandı!" der ve tarayıcıya bir Oturum Çerezi (Session Cookie / Authentication Token) tanımlar. Adım 4: Evilginx2 bu oturum çerezini kullanıcıya iletirken bir kopyasını da kendi paneline kaydeder! 💡 Sonuç: Saldırgan artık kullanıcının ne şifresine ne de MFA koduna ihtiyaç duyar. Ele geçirdiği Oturum Çerezini (Session Cookie) kendi tarayıcısına import eder ve MFA'yi hiç tetiklemeden doğrudan hesabın içine girer! 🛡️ 2. Mavi Takım (Blue Team) Ne Yapmalı? Wazuh SIEM ile Tespit AiTM saldırılarında kimlik doğrulama işleminin kendisi "geçerli" olduğu için klasik loglarda her şey normal görünür. Bu yüzden tespit için Anormallik Korelasyonu yapmak şarttır. Wazuh SIEM üzerinde AiTM saldırılarını yakalamak için kullandığımız iki ana korelasyon kuralı: 🟢 Korelasyon A: İmkansız Seyahat & IP Değişimi (Impossible Travel) Kullanıcı MFA doğrulamasını İstanbul (IP: 176.xxx.xxx.1) üzerinden tamamladıktan 5 saniye sonra, aynı oturum çerezi (Session ID) Almanya VPS (IP: 45.xxx.xxx.8) üzerinden işlem yapmaya başlıyorsa bu bir AiTM göstergesidir. --- <rule id="100250" level="12"> <if_sid>60106</if_sid>  <field name="win.eventdata.targetUserName">\.+</field> <description>AiTM Şüphesi: Başarılı MFA sonrası farklı IP alanından Anormal Oturum Çerezi Kullanımı!</description> <mitre> <id>T1539</id>  <id>T1556</id> </mitre> <options>no_full_log</options> </rule> --- *Not: Tek başına IP değişimi her zaman saldırı anlamına gelmez. VPN, mobil ağ geçişi veya kurumsal çıkış noktaları da benzer loglar oluşturabilir. Bu nedenle IP, User-Agent, Session ID ve zaman bilgisi birlikte değerlendirilmelidir. --- 🟢 Korelasyon B: User-Agent Uyuşmazlığı Kullanıcı giriş işlemini Windows 11 / Chrome 124 tarayıcısından yaparken, aynı oturum çerezinin 1 dakika sonra Linux / Python-requests veya farklı bir tarayıcı imzasıyla ağda gezindiği anlaşıldığında Wazuh üzerinde Critical (Level 14) alarmı tetiklenir. 📊 Hızlı Karşılaştırma: ❓ MFA Aşılabilir mi? └ ❌ Geleneksel: Hayır └ ⚠️ MFA Fatigue: Kurban onaylarsa └ ✅ AiTM (Evilginx2): Evet (Bypass) 🔑 Saldırgan Ne Çalar? └ Geleneksel: Şifre └ MFA Fatigue: Şifre + MFA Onayı └ AiTM (Evilginx2): Session Cookie 👁️ Görünürlük Düzeyi └ Geleneksel: Düşük └ MFA Fatigue: Yüksek (Bildirim) └ AiTM (Evilginx2): Çok Düşük (Sessiz) O zaman Mustafa soruyor: Sizce gelecekte kullanıcı adı ve şifre mi daha önemli olacak, yoksa artık saldırganların asıl hedefi "Session Cookie"ler mi? Düşüncelerinizi yorumlarda paylaşın! 👇