Microsoft expone cómo una red de phishing financiada por USDT atacó a 75,000 organizaciones

Microsoft interrumpió a proveedores de cibercriminalidad que aceptan criptomonedas, vinculados a más de mil millones de mensajes de phishing en todo el mundo este año.

La empresa y el grupo de ciberseguridad Health-ISAC obtuvieron una orden judicial en EE. UU. para incautar y redirigir dominios que apoyaban a YAM Store, CoGUI e Iron Man, tres servicios que vendían cuentas y herramientas de phishing a estafadores, según un comunicado del 14 de octubre.

Microsoft dijo que había desactivado más de 20,000 cuentas vinculadas a YAM Store y continuaba bloqueando más de 100,000 dominios de suplantación y fraude. Desde enero, los servicios ayudaron a los criminales a enviar mensajes dirigidos a más de 75,000 organizaciones en más de 150 países, generando decenas de millones de dólares para sus operadores.

La investigación comenzó después de que la Agencia Nacional de Policía de Japón alertara a Microsoft sobre estafas dirigidas a consumidores y empresas a finales del año pasado. Los investigadores rastrearon las campañas hasta un mercado de habla china donde grupos criminales podían comprar la infraestructura necesaria para ejecutar operaciones de phishing sin tener que construirla ellos mismos.

YAM Store suministró cuentas de Microsoft y Google obtenidas fraudulentamente, recursos en la nube y alojamiento. Algunos operadores revivieron dominios expirados pertenecientes a organizaciones sin fines de lucro y educativas, y luego utilizaron los sitios web aparentemente legítimos para obtener cuentas de Microsoft 365 para reventa.

CoGUI e Iron Man suministraron páginas y mensajes de phishing listos que imitaban a bancos, minoristas, autoridades de transporte y agencias gubernamentales. Microsoft y la firma de seguridad Resecurity identificaron más de 2,300 plantillas de Iron Man, permitiendo a los clientes personalizar estafas para marcas y países.

Pagos en criptomonedas y una represión más amplia de la infraestructura

La investigación técnica de Microsoft encontró que los servicios aceptaban criptomonedas, incluyendo USDT de Tether y Ethereum. La tienda de YAM soportaba USDT en la red Tron junto con Alipay y WeChat Pay, mientras que Cloudflare dijo que los compradores también podían pagar por las ofertas del mercado con USDC.

Las opciones de pago ofrecieron a los clientes múltiples canales para comprar credenciales comprometidas y servicios de phishing. YAM Store también mantenía un nivel de sub-revendedor, expandiendo la distribución de cuentas e infraestructura más allá de su propia tienda.

La firma de análisis de blockchain TRM Labs dijo que su inteligencia ayudó a los investigadores a localizar activos vinculados al grupo y congelarlos. La compañía no especificó el valor de los activos congelados, dejando poco claro el daño financiero inmediato de la operación.

El esfuerzo de aplicación también apuntó a los servicios que los criminales usaron después de realizar sus compras. Cloudflare dijo que suspendió cuentas, desactivó proyectos de Workers que apoyaban páginas de phishing y prohibió cientos de dominios y proyectos asociados. Colocó páginas de advertencia frente a enlaces maliciosos donde no pudo incautar dominios.

Microsoft también identificó una dependencia en el negocio de suscripción de Iron Man: los clientes compraban acceso a software de phishing conectado a un servidor de licencias controlado por el vendedor. Desactivar esa infraestructura podría interferir con la capacidad de los clientes para usar kits comprados, incluso si las copias permanecían en circulación.

La represión involucró a la policía de Japón y al Centro de Control de Cibercriminalidad, junto con Oracle, Proofpoint, Resecurity y socios de la ley en EE. UU. Microsoft dijo que los proveedores apuntados eran parte de una red criminal más grande, con infraestructura relacionada aún siendo eliminada.

El próximo desafío es limitar cuán rápido los proveedores pueden reemplazar dominios incautados y cuentas comprometidas. Cloudflare dijo que algunos registradores de dominios operan en jurisdicciones que dificultan las incautaciones legales, por lo que debe bloquear el acceso a través de advertencias de seguridad incluso cuando esos dominios permanecen en línea.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.