Microsoft expõe como rede de phishing financiada por USDT atacou 75.000 organizações

A Microsoft desmantelou fornecedores de cibercrime que aceitam criptomoedas, ligados a mais de um bilhão de mensagens de phishing em todo o mundo este ano.

A empresa e o grupo de cibersegurança Health-ISAC obtiveram uma ordem judicial nos EUA para apreender e redirecionar domínios que apoiavam YAM Store, CoGUI e Iron Man, três serviços que vendiam contas e ferramentas de phishing para golpistas, de acordo com uma declaração de 14 de outubro.

A Microsoft afirmou que desativou mais de 20.000 contas ligadas ao YAM Store e estava continuando a bloquear mais de 100.000 domínios de impersonação e fraude. Desde janeiro, os serviços ajudaram criminosos a enviar mensagens direcionadas a mais de 75.000 organizações em mais de 150 países, gerando dezenas de milhões de dólares para seus operadores.

A investigação começou após a Agência Nacional de Polícia do Japão alertar a Microsoft sobre golpes direcionados a consumidores e empresas no final do ano passado. Investigadores rastrearam as campanhas até um mercado de língua chinesa onde grupos criminosos podiam comprar a infraestrutura necessária para executar operações de phishing sem construí-la eles mesmos.

O YAM Store forneceu contas da Microsoft e do Google obtidas fraudulentamente, recursos em nuvem e hospedagem. Alguns operadores reviveram domínios expirados pertencentes a organizações sem fins lucrativos e educacionais, e então usaram os sites aparentemente legítimos para obter contas do Microsoft 365 para revenda.

CoGUI e Iron Man forneceram páginas e mensagens de phishing prontas que imitavam bancos, varejistas, autoridades de transporte e agências governamentais. A Microsoft e a empresa de segurança Resecurity identificaram mais de 2.300 modelos do Iron Man, permitindo que os clientes personalizassem golpes para marcas e países.

Pagamentos em criptomoedas e uma repressão mais ampla à infraestrutura

A investigação técnica da Microsoft descobriu que os serviços aceitavam criptomoedas, incluindo USDT da Tether e Ethereum. A loja do YAM Store suportava USDT na rede Tron, juntamente com Alipay e WeChat Pay, enquanto a Cloudflare disse que os compradores também poderiam pagar pelas ofertas do mercado com USDC.

As opções de pagamento deram aos clientes múltiplos canais para comprar credenciais comprometidas e serviços de phishing. O YAM Store também mantinha um nível de revenda secundário, expandindo a distribuição de contas e infraestrutura além de sua própria loja.

A empresa de análise de blockchain TRM Labs disse que sua inteligência ajudou os investigadores a localizar ativos ligados ao grupo e congelá-los. A empresa não especificou o valor dos ativos congelados, deixando o dano financeiro imediato da operação incerto.

O esforço de aplicação da lei também visou serviços que os criminosos usaram após fazerem suas compras. A Cloudflare disse que suspendeu contas, desativou projetos de Workers que apoiavam páginas de phishing e baniu centenas de domínios e projetos associados. Colocou páginas de aviso na frente de links maliciosos onde não conseguiu apreender domínios.

A Microsoft também identificou uma dependência no negócio de assinatura do Iron Man: os clientes compraram acesso a software de phishing conectado a um servidor de licenciamento controlado pelo fornecedor. Desativar essa infraestrutura poderia interferir na capacidade dos clientes de usar kits adquiridos, mesmo que cópias permanecessem em circulação.

A repressão envolveu a polícia do Japão e o Centro de Controle de Cibercrime, juntamente com Oracle, Proofpoint, Resecurity e parceiros de aplicação da lei dos EUA. A Microsoft disse que os fornecedores-alvo faziam parte de uma rede criminosa maior, com infraestrutura relacionada ainda sendo removida.

O próximo desafio é limitar a rapidez com que os fornecedores podem substituir domínios apreendidos e contas comprometidas. A Cloudflare disse que alguns registradores de domínios operam em jurisdições que dificultam apreensões legais, então deve bloquear o acesso através de avisos de segurança, mesmo que esses domínios permaneçam online.

Este conteúdo é fornecido apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou tributário. Quaisquer eventos, recompensas, promoções online ou informações relacionadas mencionadas neste documento não devem ser consideradas uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar qualquer outra transação com criptoativos. Criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar conforme a região. É de sua responsabilidade garantir que sua participação esteja em conformidade com as leis e regulamentações locais aplicáveis.