مايكروسوفت تكشف كيف استهدفت شبكة تصيد ممولة بـ USDT 75,000 منظمة

أوقفت مايكروسوفت مزودي الجرائم الإلكترونية الذين يقبلون العملات المشفرة والمرتبطين بأكثر من مليار رسالة تصيد حول العالم هذا العام.

حصلت الشركة ومجموعة الأمن السيبراني Health-ISAC على أمر من محكمة أمريكية لمصادرة وإعادة توجيه النطاقات التي تدعم YAM Store وCoGUI وIron Man، وهي ثلاث خدمات تبيع الحسابات وأدوات التصيد للمحتالين، وفقًا لبيان صدر في 14 أكتوبر.

قالت مايكروسوفت إنها عطلت أكثر من 20,000 حساب مرتبط بـ YAM Store وكانت تواصل حظر أكثر من 100,000 نطاق مزيف ومحتال. منذ يناير، ساعدت الخدمات المجرمين في إرسال رسائل تستهدف أكثر من 75,000 منظمة في أكثر من 150 دولة، مما أدى إلى توليد عشرات الملايين من الدولارات لمشغليها.

بدأت التحقيقات بعد أن نبهت وكالة الشرطة الوطنية اليابانية مايكروسوفت إلى عمليات الاحتيال التي تستهدف المستهلكين والشركات في أواخر العام الماضي. تتبعت التحقيقات الحملات إلى سوق باللغة الصينية حيث يمكن للمجموعات الإجرامية شراء البنية التحتية اللازمة لتشغيل عمليات التصيد دون الحاجة لبنائها بأنفسهم.

زودت YAM Store حسابات مايكروسوفت وجوجل التي تم الحصول عليها بشكل احتيالي، وموارد سحابية، واستضافة. قام بعض المشغلين بإحياء النطاقات المنتهية التي تعود لمنظمات غير ربحية وتعليمية، ثم استخدموا المواقع الإلكترونية التي تبدو شرعية للحصول على حسابات Microsoft 365 لإعادة بيعها.

زودت CoGUI وIron Man صفحات ورسائل تصيد جاهزة تشبه البنوك وتجار التجزئة والسلطات النقل والوكالات الحكومية. حددت مايكروسوفت وشركة Resecurity أكثر من 2,300 نموذج من Iron Man، مما يسمح للعملاء بتخصيص عمليات الاحتيال لتناسب العلامات التجارية والدول.

المدفوعات المشفرة وحملة واسعة النطاق ضد البنية التحتية

وجدت التحقيقات الفنية لمايكروسوفت أن الخدمات كانت تقبل العملات المشفرة، بما في ذلك USDT من Tether وEthereum. دعم متجر YAM الدفع بـ USDT على شبكة Tron جنبًا إلى جنب مع Alipay وWeChat Pay، بينما قالت Cloudflare إن المشترين يمكنهم أيضًا الدفع مقابل عروض السوق باستخدام USDC.

أعطت خيارات الدفع العملاء قنوات متعددة لشراء بيانات الاعتماد المخترقة وخدمات التصيد. كما حافظت YAM Store على مستوى فرعي من إعادة البيع، مما وسع توزيع الحسابات والبنية التحتية إلى ما هو أبعد من واجهتها الخاصة.

قالت شركة تحليلات blockchain TRM Labs إن معلوماتها ساعدت المحققين في تحديد الأصول المرتبطة بالمجموعة وتجميدها. لم تحدد الشركة قيمة الأصول المجمدة، مما يجعل الأضرار المالية الفورية للعملية غير واضحة.

استهدفت جهود التنفيذ أيضًا الخدمات التي استخدمها المجرمون بعد إجراء عمليات الشراء. قالت Cloudflare إنها أوقفت الحسابات، وعطلت مشاريع العمال التي تدعم صفحات التصيد، وحظرت المئات من النطاقات والمشاريع المرتبطة. وضعت صفحات تحذير أمام الروابط الضارة حيث لم تتمكن من مصادرة النطاقات.

كما حددت مايكروسوفت اعتمادًا في أعمال الاشتراك الخاصة بـ Iron Man: اشترى العملاء الوصول إلى برامج التصيد المتصلة بخادم ترخيص يتحكم فيه البائع. قد يؤدي تعطيل تلك البنية التحتية إلى التأثير على قدرة العملاء على استخدام مجموعات الشراء، حتى لو ظلت النسخ في التداول.

شملت الحملة شرطة اليابان ومركز مكافحة الجرائم الإلكترونية، بالإضافة إلى Oracle وProofpoint وResecurity وشركاء إنفاذ القانون الأمريكيين. قالت مايكروسوفت إن الموردين المستهدفين كانوا جزءًا من شبكة إجرامية أكبر، مع استمرار إزالة البنية التحتية ذات الصلة.

التحدي التالي هو الحد من سرعة استبدال الموردين للنطاقات المصادرة والحسابات المخترقة. قالت Cloudflare إن بعض مسجلي النطاقات يعملون في ولايات قضائية تجعل المصادرات القانونية صعبة، لذا يجب عليها حظر الوصول من خلال تحذيرات أمنية حتى مع بقاء تلك النطاقات على الإنترنت.

يُقدَّم هذا المحتوى لأغراض معلوماتية عامة فقط، ولا يُشكل مشورة مالية أو استثمارية أو قانونية أو ضريبية. ولا ينبغي اعتبار أي فعاليات أو مكافآت أو عروض ترويجية عبر الإنترنت أو أي معلومات ذات صلة واردة فيه توصيةً أو طلبًا أو دعوةً لشراء الأصول المشفرة أو بيعها أو تداولها أو إجراء أي معاملات أخرى عليها. تتميز الأصول المشفرة بتقلبات سعرية مرتفعة وقد تؤدي إلى خسائر. وقد يختلف مدى توفر خدمات WEEX ومنتجاتها والفعاليات المرتبطة بها حسب المنطقة. وتقع على عاتقك مسؤولية التأكد من أن مشاركتك تتوافق مع القوانين واللوائح المحلية المعمول بها.