Microsoft ujawnia, jak sieć phishingowa finansowana przez USDT zaatakowała 75 000 organizacji

Microsoft zakłócił działalność dostawców cyberprzestępczości akceptujących kryptowaluty, powiązanych z ponad miliardem wiadomości phishingowych na całym świecie w tym roku.

Firma oraz grupa zajmująca się cyberbezpieczeństwem Health-ISAC uzyskały nakaz sądowy w USA, aby przejąć i przekierować domeny wspierające YAM Store, CoGUI i Iron Man, trzy usługi, które sprzedawały konta i narzędzia phishingowe oszustom, według oświadczenia z 14 października.

Microsoft poinformował, że wyłączył ponad 20 000 kont powiązanych z YAM Store i kontynuuje blokowanie ponad 100 000 domen podszywających się i oszukańczych. Od stycznia usługi te pomogły przestępcom wysłać wiadomości skierowane do ponad 75 000 organizacji w ponad 150 krajach, generując dziesiątki milionów dolarów dla ich operatorów.

Śledztwo rozpoczęło się po tym, jak Japońska Agencja Policji Narodowej powiadomiła Microsoft o oszustwach skierowanych do konsumentów i firm pod koniec ubiegłego roku. Śledczy prześledzili kampanie do rynku w języku chińskim, gdzie grupy przestępcze mogły zakupić infrastrukturę potrzebną do prowadzenia operacji phishingowych bez konieczności budowania jej samodzielnie.

YAM Store dostarczał nielegalnie pozyskane konta Microsoft i Google, zasoby chmurowe oraz hosting. Niektórzy operatorzy ożywili wygasłe domeny należące do organizacji non-profit i edukacyjnych, a następnie użyli pozornie legalnych stron internetowych do uzyskania kont Microsoft 365 do dalszej odsprzedaży.

CoGUI i Iron Man dostarczały gotowe strony phishingowe i wiadomości, które naśladowały banki, detalistów, władze transportowe i agencje rządowe. Microsoft i firma zabezpieczeń Resecurity zidentyfikowały ponad 2300 szablonów Iron Man, umożliwiając klientom dostosowanie oszustw do marek i krajów.

Płatności kryptowalutowe i szersza akcja przeciwko infrastrukturze

Techniczne śledztwo Microsoftu wykazało, że usługi akceptowały kryptowaluty, w tym USDT i Ethereum. Sklep YAM wspierał USDT w sieci Tron obok Alipay i WeChat Pay, podczas gdy Cloudflare poinformował, że nabywcy mogli również płacić za oferty na rynku za pomocą USDC.

Opcje płatności dawały klientom wiele kanałów do zakupu skompromitowanych danych uwierzytelniających i usług phishingowych. YAM Store utrzymywał również poziom sub-dystrybutora, rozszerzając dystrybucję kont i infrastruktury poza własny sklep.

Firma analityczna blockchain TRM Labs powiedziała, że jej informacje pomogły śledczym zlokalizować aktywa powiązane z grupą i je zamrozić. Firma nie określiła wartości zamrożonych aktywów, pozostawiając niejasne bezpośrednie straty finansowe operacji.

Akcja egzekucyjna dotknęła również usług, z których przestępcy korzystali po dokonaniu zakupów. Cloudflare poinformował, że zawiesił konta, wyłączył projekty Workers wspierające strony phishingowe oraz zablokował setki powiązanych domen i projektów. Umieścił strony ostrzegawcze przed złośliwymi linkami, gdzie nie mógł przejąć domen.

Microsoft zidentyfikował również zależność w modelu subskrypcyjnym Iron Man: klienci kupowali dostęp do oprogramowania phishingowego połączonego z serwerem licencyjnym kontrolowanym przez dostawcę. Wyłączenie tej infrastruktury mogłoby zakłócić możliwość korzystania z zakupionych zestawów, nawet jeśli kopie pozostały w obiegu.

Akcja przeciwko przestępczości obejmowała japońską policję i Centrum Kontroli Cyberprzestępczości, a także Oracle, Proofpoint, Resecurity i partnerów z amerykańskich organów ścigania. Microsoft poinformował, że ukierunkowani dostawcy byli częścią większej sieci przestępczej, a powiązana infrastruktura nadal była usuwana.

Następnym wyzwaniem jest ograniczenie, jak szybko dostawcy mogą zastępować przejęte domeny i skompromitowane konta. Cloudflare powiedział, że niektórzy rejestratorzy domen działają w jurysdykcjach, które utrudniają prawne przejęcia, dlatego musi blokować dostęp przez ostrzeżenia bezpieczeństwa, nawet gdy te domeny pozostają online.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.