Microsoft раскрывает, как финансируемая USDT фишинговая сеть нацелилась на 75 000 организаций

Microsoft нарушила деятельность поставщиков киберпреступности, принимающих криптовалюту, связанных с более чем одним миллиардом фишинговых сообщений по всему миру в этом году.

Компания и группа по кибербезопасности Health-ISAC получили судебный приказ в США на изъятие и перенаправление доменов, поддерживающих YAM Store, CoGUI и Iron Man, три сервиса, которые продавали аккаунты и инструменты для фишинга мошенникам, согласно заявлению от 14 октября.

Microsoft сообщила, что отключила более 20 000 аккаунтов, связанных с YAM Store, и продолжает блокировать более 100 000 доменов, связанных с подделкой и мошенничеством. С января эти сервисы помогли преступникам отправить сообщения, нацеленные на более чем 75 000 организаций в более чем 150 странах, что принесло десятки миллионов долларов их операторам.

Расследование началось после того, как Национальное полицейское агентство Японии предупредило Microsoft о мошенничествах, нацеленных на потребителей и бизнес, в конце прошлого года. Следователи проследили за кампаниями до китайскоязычного рынка, где преступные группы могли приобрести инфраструктуру, необходимую для проведения фишинговых операций, не создавая ее самостоятельно.

YAM Store поставлял мошеннически полученные аккаунты Microsoft и Google, облачные ресурсы и хостинг. Некоторые операторы возобновили истекшие домены, принадлежащие некоммерческим и образовательным организациям, а затем использовали эти, казалось бы, легитимные веб-сайты для получения аккаунтов Microsoft 365 для перепродажи.

CoGUI и Iron Man предоставляли готовые фишинговые страницы и сообщения, имитирующие банки, ритейлеров, транспортные органы и государственные учреждения. Microsoft и компания по безопасности Resecurity идентифицировали более 2 300 шаблонов Iron Man, позволяя клиентам адаптировать мошенничество под бренды и страны.

Крипто-платежи и более широкое подавление инфраструктуры

Техническое расследование Microsoft показало, что сервисы принимали криптовалюту, включая USDT от Tether и Ethereum. Магазин YAM поддерживал USDT в сети Tron наряду с Alipay и WeChat Pay, в то время как Cloudflare сообщила, что покупатели также могли оплачивать предложения на рынке с помощью USDC.

Варианты оплаты предоставили клиентам несколько каналов для покупки скомпрометированных учетных данных и фишинговых услуг. YAM Store также поддерживала уровень суб-реселлеров, расширяя распределение аккаунтов и инфраструктуры за пределами своего собственного магазина.

Фирма по аналитике блокчейна TRM Labs сообщила, что ее разведывательные данные помогли следователям найти активы, связанные с группой, и заморозить их. Компания не уточнила стоимость замороженных активов, оставив немедленный финансовый ущерб операции неясным.

Усиление также нацелилось на сервисы, которые преступники использовали после совершения покупок. Cloudflare сообщила, что приостановила аккаунты, отключила проекты Workers, поддерживающие фишинговые страницы, и заблокировала сотни связанных доменов и проектов. Она разместила страницы предупреждений перед вредоносными ссылками, где не могла изъять домены.

Microsoft также выявила зависимость в подписном бизнесе Iron Man: клиенты покупали доступ к фишинговому программному обеспечению, связанному с лицензированным сервером, контролируемым поставщиком. Отключение этой инфраструктуры могло помешать клиентам использовать купленные наборы, даже если копии оставались в обращении.

Подавление включало полицию Японии и Центр контроля киберпреступности, а также Oracle, Proofpoint, Resecurity и партнеров правоохранительных органов США. Microsoft сообщила, что нацеленные поставщики были частью более крупной преступной сети, связанная инфраструктура все еще удаляется.

Следующей задачей является ограничение того, как быстро поставщики могут заменить изъятые домены и скомпрометированные аккаунты. Cloudflare сообщила, что некоторые регистраторы доменов работают в юрисдикциях, которые затрудняют юридические изъятия, поэтому она должна блокировать доступ через предупреждения безопасности, даже если эти домены остаются онлайн.

Этот контент предоставляется исключительно в общих информационных целях и не является финансовым, инвестиционным, юридическим или налоговым советом. Любые мероприятия, вознаграждения, онлайн-акции или связанная с ними информация, упомянутые в настоящем документе, не должны рассматриваться как рекомендация, приглашение к покупке, продаже, торговле или иной сделке с какими-либо криптоактивами. Криптоактивы очень волатильны и могут привести к убыткам. Доступность услуг, продуктов WEEX и связанных с ними событий может варьироваться в зависимости от региона. Вы несете ответственность за обеспечение того, чтобы ваше участие соответствовало применимым местным законам и нормативным актам.