Microsoft rivela come una rete di phishing finanziata da USDT ha preso di mira 75.000 organizzazioni

Microsoft ha interrotto fornitori di crimine informatico che accettano criptovalute, collegati a oltre un miliardo di messaggi di phishing in tutto il mondo quest'anno.

L'azienda e il gruppo di cybersicurezza Health-ISAC hanno ottenuto un'ordinanza da un tribunale statunitense per sequestrare e reindirizzare i domini che supportano YAM Store, CoGUI e Iron Man, tre servizi che vendevano account e strumenti di phishing ai truffatori, secondo una dichiarazione del 14 ottobre.

Microsoft ha dichiarato di aver disabilitato oltre 20.000 account collegati a YAM Store e sta continuando a bloccare oltre 100.000 domini di impersonificazione e frode. Da gennaio, i servizi hanno aiutato i criminali a inviare messaggi mirati a oltre 75.000 organizzazioni in più di 150 paesi, generando decine di milioni di dollari per i loro operatori.

L'indagine è iniziata dopo che l'Agenzia Nazionale di Polizia del Giappone ha avvisato Microsoft di truffe mirate a consumatori e aziende alla fine dell'anno scorso. Gli investigatori hanno rintracciato le campagne a un mercato di lingua cinese dove i gruppi criminali potevano acquistare l'infrastruttura necessaria per gestire operazioni di phishing senza doverla costruire da soli.

YAM Store forniva account Microsoft e Google ottenuti fraudolentemente, risorse cloud e hosting. Alcuni operatori hanno riattivato domini scaduti appartenenti a organizzazioni non profit e educative, utilizzando poi i siti web apparentemente legittimi per ottenere account Microsoft 365 da rivendere.

CoGUI e Iron Man fornivano pagine e messaggi di phishing pronti all'uso che imitavano banche, rivenditori, autorità di trasporto e agenzie governative. Microsoft e la società di sicurezza Resecurity hanno identificato oltre 2.300 modelli di Iron Man, consentendo ai clienti di personalizzare le truffe in base ai marchi e ai paesi.

Pagamenti in criptovaluta e un'azione di repressione più ampia

L'indagine tecnica di Microsoft ha scoperto che i servizi accettavano criptovalute, tra cui USDT di Tether ed Ethereum. Il negozio di YAM supportava USDT sulla rete Tron insieme a Alipay e WeChat Pay, mentre Cloudflare ha dichiarato che i compratori potevano anche pagare per le offerte del mercato con USDC.

Le opzioni di pagamento offrivano ai clienti più canali per acquistare credenziali compromesse e servizi di phishing. YAM Store manteneva anche un livello di sub-rivenditore, espandendo la distribuzione di account e infrastrutture oltre il proprio negozio.

La società di analisi blockchain TRM Labs ha dichiarato che la sua intelligenza ha aiutato gli investigatori a localizzare beni collegati al gruppo e a congelarli. L'azienda non ha specificato il valore dei beni congelati, lasciando poco chiaro il danno finanziario immediato dell'operazione.

L'azione di enforcement ha anche preso di mira i servizi utilizzati dai criminali dopo aver effettuato i loro acquisti. Cloudflare ha dichiarato di aver sospeso account, disabilitato progetti Workers che supportavano pagine di phishing e vietato centinaia di domini e progetti associati. Ha posizionato pagine di avviso davanti ai link malevoli dove non poteva sequestrare i domini.

Microsoft ha anche identificato una dipendenza nel business in abbonamento di Iron Man: i clienti acquistavano accesso a software di phishing collegato a un server di licenza controllato dal fornitore. Disabilitare quell'infrastruttura potrebbe interferire con la capacità dei clienti di utilizzare i kit acquistati, anche se le copie rimanessero in circolazione.

La repressione ha coinvolto la polizia giapponese e il Centro di Controllo del Crimine Informatico, insieme a Oracle, Proofpoint, Resecurity e partner delle forze dell'ordine statunitensi. Microsoft ha dichiarato che i fornitori presi di mira facevano parte di una rete criminale più ampia, con infrastrutture correlate ancora in fase di rimozione.

La prossima sfida è limitare la rapidità con cui i fornitori possono sostituire i domini sequestrati e gli account compromessi. Cloudflare ha dichiarato che alcuni registrar di domini operano in giurisdizioni che rendono difficile il sequestro legale, quindi deve bloccare l'accesso tramite avvisi di sicurezza anche se quei domini rimangono online.

Questo contenuto è fornito a solo scopo informativo generale e non costituisce consulenza finanziaria, di investimento, legale o fiscale. Qualsiasi evento, ricompensa, promozione online o informazione correlata menzionata nel presente documento non deve essere considerata una raccomandazione, una sollecitazione o un invito ad acquistare, vendere, fare trading o altrimenti negoziare criptovalute. Le criptovalute sono altamente volatili e possono comportare perdite. La disponibilità dei servizi, dei prodotti e degli eventi correlati di WEEX può variare a seconda della regione. È tua responsabilità assicurarti che la tua partecipazione sia conforme alle leggi e ai regolamenti locali applicabili.