Microsoft expõe como rede de phishing financiada por USDT visou 75.000 organizações

A Microsoft interrompeu fornecedores de cibercrime que aceitam criptomoedas, ligados a mais de um bilhão de mensagens de phishing em todo o mundo este ano.

A empresa e o grupo de cibersegurança Health-ISAC obtiveram uma ordem judicial nos EUA para apreender e redirecionar domínios que apoiavam YAM Store, CoGUI e Iron Man, três serviços que vendiam contas e ferramentas de phishing para golpistas, de acordo com uma declaração de 14 de outubro.

A Microsoft afirmou que desativou mais de 20.000 contas ligadas ao YAM Store e estava continuando a bloquear mais de 100.000 domínios de impostores e fraudes. Desde janeiro, os serviços ajudaram criminosos a enviar mensagens direcionadas a mais de 75.000 organizações em mais de 150 países, gerando dezenas de milhões de dólares para seus operadores.

A investigação começou após a Agência Nacional de Polícia do Japão alertar a Microsoft sobre fraudes direcionadas a consumidores e empresas no final do ano passado. Investigadores rastrearam as campanhas até um mercado de língua chinesa onde grupos criminosos podiam comprar a infraestrutura necessária para executar operações de phishing sem construí-la eles mesmos.

O YAM Store forneceu contas da Microsoft e do Google obtidas fraudulentamente, recursos de nuvem e hospedagem. Alguns operadores reativaram domínios expirados pertencentes a organizações sem fins lucrativos e educacionais, e então usaram os sites aparentemente legítimos para obter contas do Microsoft 365 para revenda.

CoGUI e Iron Man forneceram páginas e mensagens de phishing prontas que imitavam bancos, varejistas, autoridades de transporte e agências governamentais. A Microsoft e a empresa de segurança Resecurity identificaram mais de 2.300 modelos do Iron Man, permitindo que os clientes personalizassem fraudes para marcas e países.

Pagamentos em criptomoeda e uma repressão a uma infraestrutura mais ampla

A investigação técnica da Microsoft descobriu que os serviços aceitavam criptomoedas, incluindo o USDT da Tether e o Ethereum. A loja do YAM Store suportava USDT na rede Tron, juntamente com Alipay e WeChat Pay, enquanto a Cloudflare disse que os compradores também podiam pagar pelas ofertas do mercado com USDC.

As opções de pagamento deram aos clientes múltiplos canais para comprar credenciais comprometidas e serviços de phishing. O YAM Store também mantinha um nível de revenda secundário, expandindo a distribuição de contas e infraestrutura além de sua própria loja.

A empresa de análise de blockchain TRM Labs disse que sua inteligência ajudou os investigadores a localizar ativos ligados ao grupo e congelá-los. A empresa não especificou o valor dos ativos congelados, deixando o dano financeiro imediato da operação incerto.

O esforço de aplicação da lei também visou serviços que os criminosos usaram após fazer suas compras. A Cloudflare disse que suspendeu contas, desativou projetos de Workers que apoiavam páginas de phishing e baniu centenas de domínios e projetos associados. Colocou páginas de aviso na frente de links maliciosos onde não conseguiu apreender domínios.

A Microsoft também identificou uma dependência no negócio de assinatura do Iron Man: os clientes compravam acesso a software de phishing conectado a um servidor de licenciamento controlado pelo fornecedor. Desativar essa infraestrutura poderia interferir na capacidade dos clientes de usar kits adquiridos, mesmo que cópias permanecessem em circulação.

A repressão envolveu a polícia do Japão e o Centro de Controle de Cibercrime, juntamente com a Oracle, Proofpoint, Resecurity e parceiros de aplicação da lei dos EUA. A Microsoft afirmou que os fornecedores visados faziam parte de uma rede criminosa maior, com infraestrutura relacionada ainda sendo removida.

O próximo desafio é limitar a rapidez com que os fornecedores podem substituir domínios apreendidos e contas comprometidas. A Cloudflare disse que alguns registradores de domínios operam em jurisdições que dificultam apreensões legais, então deve bloquear o acesso através de avisos de segurança, mesmo que esses domínios permaneçam online.

Este conteúdo é disponibilizado apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou fiscal. Quaisquer eventos, recompensas, promoções online ou informações relacionadas aqui mencionados não devem ser interpretados como uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar quaisquer outras operações com criptoativos. Os criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar consoante a região. O utilizador é responsável por garantir que a sua participação está em conformidade com a legislação e os regulamentos locais aplicáveis.