---
title: Saldırganlar Kötü Amaçlı Yazılım Dağıtmak İçin Microsoft Teams Destek Dolandırıcılıklarını Kullanıyor
url: https://www.dataloco.com/tr/saldirganlar-kotu-amacli-yazilim-dagitmak-icin-microsoft-teams-destek-dolandiriciliklarini-kullaniyor
published: 2026-10-29T08:30:22+00:00
language: tr
section: Güvenlik
source: https://thehackernews.com/2026/10/attackers-use-microsoft-teams-it.html
organizations: Microsoft, Arctic Wolf Labs, The Hacker News, Sophos, STAC4749, Microsoft Azure
publisher: Dataloco
---

# Saldırganlar Kötü Amaçlı Yazılım Dağıtmak İçin Microsoft Teams Destek Dolandırıcılıklarını Kullanıyor

Siber güvenlik araştırmacıları, tehdit aktörlerinin Microsoft Teams'in harici sohbet oluşturma özelliğini kullanarak kimlik taklidi dolandırıcılığı gerçekleştirdiğini veya kötü amaçlı yazılım dağıttığını belirttiği yüzlerce vakada tekrarlayan bir sosyal mühendislik desenine dikkat çekmektedir. Bu saldırılar, kurbanların güvenini istismar ederek zararlı yazılımların sistemlere yüklenmesine ve hassas verilerin çalınmasına yol açmaktadır.

Arctic Wolf Labs tarafından paylaşılan bir rapora göre, bu olaylar arasında tutarlı bir saldırgan davranış kalıbı ortaya çıkmıştır. Saldırganlar aynı geçici kiracı hesaplarını, aynı 'Bilgi Teknolojisi Desteği (Dahili)' görünen adlarını, aynı uzaktan erişim araçlarını ve giderek artan şekilde aynı yük alan adlarını kullanmaktadır. Saldırılar genellikle yeni oluşturulan veya satın alınan Microsoft 365 kiracıları üzerinden kurulan Teams kimliklerinden kaynaklanmaktadır.

Araştırılan vakaların yaklaşık yüzde 30 ila 40'ı, bir Microsoft 365 kiracısı oluşturulduğunda Microsoft tarafından otomatik olarak üretilen kalıcı bir yedek alan adı olan *.onmicrosoft[.]com etki alanının kullanımını içermektedir. Bu alan adları, inanılırlıklarını artırmak için kiracı adı olarak yardım masası veya destek temalı bir kelimeyi tercih ederek bilgi teknolojisi altyapısı gibi görünmektedir. Son dönemlerde saldırganlar, mesajlara ek meşruiyet kazandırmak amacıyla hedef kuruluşun alan adını veya şirket adını görünen isimlerine eklemektedir.

Daha önce birçok vakada gözlemlendiği üzere, bu Teams oturumlarından önce e-posta bombalaması yapılmaktadır. Bu yöntemde kurbanın gelen kutusu kısa bir süre içinde yüzlerce bülten veya abonelik onayı ile doldurulur. Bu yaklaşım, sahte bir aciliyet hissi uyandırmak için tasarlanmıştır ve hemen ardından sorunu çözmeye yardımcı olacak bir Teams bilgi teknolojisi destek mesajı gelmektedir. Arctic Wolf, son aylarda bu tür dolandırıcılıklarda tespit edilen ücretli alan adlarının yaklaşık yüzde 50'sinin .top üst düzey alan adını, yüzde 40'ının standart .com alan adını ve yüzde beşten biraz fazlasının .com.pl.com.vn ve .com.br gibi çok seviyeli alan adlarını kullandığını belirtmiştir.

Bu faaliyetler, bilgi teknolojisi temalı bulut alan adları oluşturma ve hesapları gerçek göstermek için inandırıcı çalışan kullanıcı adlarından yararlanma geçmişi olan STAC4749 grubunun faaliyetleriyle örtüşmektedir. Sophos'a göre bu saldırılar Kaos fidye yazılımının dağıtılmasına neden olmuştur. Saldırılar özellikle harici erişimin etkin olduğu kuruluşları hedef almaktadır. Saldırganlar, kurbanları Quick Assist, AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport ve LogMeIn gibi meşru bir uzaktan izleme ve yönetim aracı aracılığıyla klavye başında erişim izni vermeye ikna etmek için sesli kimlik avı unsurunu da kullanmaktadır.

Ele geçirilen uzaktan erişim, keşif faaliyetleri yürütmek, GoGRPC arka kapısı gibi ek yükler dağıtmak, alan denetleyicilerine yanal hareketi kolaylaştırmak ve fazlalık sağlamak için Level gibi ek uzaktan izleme ve yönetim araçlarını dağıtmak amacıyla kötüye kullanılmaktadır. Bu süreçten sonra hassas veriler dışarı sızdırılır ve fidye yazılımı binary dosyası sisteme bırakılır. Bazı durumlarda saldırganlar, doğrudan Teams'e bir bağlantı yapıştırmanın güvenlik taramalarını tetikleyeceğini bildikleri için bunun yerine uzak oturum sırasında yükü kendileri navigate etmektedir. Bir vakada tehdit aktörünün, kullanıcıdan bir dosyayı indirmek ve ardından çalıştırmak için bir PowerShell komutu çalıştırmasını istediği tespit edilmiştir. Bu komut, Microsoft Azure Blob Depolama alanından bir MSI yükleyici indirmek üzere tasarlanmıştır.

Kurban yükleyiciyi çalıştırdığında, içine gömülü bir Python implantını çıkarmaktan ve yürütmekten sorumlu bir PowerShell betiği başlatılır. Arka kapı daha sonra tüm bilgisayar ve kullanıcı nesneleri için Etkin Dizin sorguları yapan ve ardından bilgileri harici bir sunucuya ileten başka bir MSI işlemi başlatır. Dış Microsoft Teams sohbeti, bir yazılım zafiyetinden ziyade güveni istismar ettiği için etkili bir ilk erişim vektörü haline gelmiştir.

## This story in other languages

- [中文](https://www.dataloco.com/zh/microsoft-teams-it)
- [हिन्दी](https://www.dataloco.com/hi/hamalvara-malvayara-oura-ranasamavayara-falna-ka-le-microsoft-teams-aaiita-sahayata-ghatal-ka-upayaga-kara-raha-ha)
- [Polski](https://www.dataloco.com/pl/atakujacy-wykorzystuja-oszustwa-wsparcia-technicznego-w-microsoft-teams-do-wdrazania-zlosliwego-oprogramowania)
- [Indonesia](https://www.dataloco.com/id/penyerang-gunakan-penipuan-dukungan-ti-microsoft-teams-untuk-menyebarkan-perangkat-lunak-berbahaya-dan-ransomware)
- [ไทย](https://www.dataloco.com/th/microsoft-teams)
- [Nederlands](https://www.dataloco.com/nl/aanvallers-gebruiken-microsoft-teams-it-ondersteuningsfraude-voor-malware-en-ransomware)