Microsoft розкриває, як фінансована USDT фішингова мережа націлилася на 75 000 організацій

Microsoft зупинив постачальників кіберзлочинності, які приймали криптовалюту, пов'язаних з більш ніж мільярдом фішингових повідомлень у всьому світі цього року.

Компанія та група з кібербезпеки Health-ISAC отримали судовий наказ у США на вилучення та перенаправлення доменів, що підтримують YAM Store, CoGUI та Iron Man, три сервіси, які продавали облікові записи та фішингові інструменти шахраям, згідно з заявою від 14 жовтня.

Microsoft повідомила, що вона деактивувала більше 20 000 облікових записів, пов'язаних з YAM Store, і продовжує блокувати більше 100 000 доменів, що імітують та шахрайських. З січня ці сервіси допомогли злочинцям надіслати повідомлення, націлені на понад 75 000 організацій у більш ніж 150 країнах, заробляючи десятки мільйонів доларів для своїх операторів.

Розслідування розпочалося після того, як Національна поліція Японії попередила Microsoft про шахрайства, націлені на споживачів та бізнес, наприкінці минулого року. Слідчі відстежили кампанії до ринку китайською мовою, де злочинні групи могли купувати інфраструктуру, необхідну для проведення фішингових операцій, не будуючи її самостійно.

YAM Store постачав шахрайськи отримані облікові записи Microsoft та Google, хмарні ресурси та хостинг. Деякі оператори відновили прострочені домени, що належать неприбутковим та освітнім організаціям, а потім використовували здавалося б легітимні веб-сайти для отримання облікових записів Microsoft 365 для перепродажу.

CoGUI та Iron Man постачали готові фішингові сторінки та повідомлення, які імітували банки, роздрібні торговці, транспортні органи та державні установи. Microsoft та компанія з безпеки Resecurity виявили більше 2300 шаблонів Iron Man, що дозволяє клієнтам налаштовувати шахрайства під бренди та країни.

Криптооплати та ширша кампанія проти інфраструктури

Технічне розслідування Microsoft виявило, що сервіси приймали криптовалюту, включаючи USDT від Tether та Ethereum. Вітрина YAM Store підтримувала USDT в мережі Tron поряд з Alipay та WeChat Pay, тоді як Cloudflare повідомила, що покупці також могли платити за пропозиції на ринку USDC.

Варіанти оплати надали клієнтам кілька каналів для покупки скомпрометованих облікових даних та фішингових послуг. YAM Store також підтримував рівень суб-реселлерів, розширюючи розподіл облікових записів та інфраструктури за межами власної вітрини.

Фірма з аналітики блокчейну TRM Labs повідомила, що її розвідка допомогла слідчим знайти активи, пов'язані з групою, та заморозити їх. Компанія не уточнила вартість заморожених активів, залишаючи невизначеним негайний фінансовий збиток операції.

Зусилля з правозастосування також націлилися на сервіси, які злочинці використовували після здійснення своїх покупок. Cloudflare повідомила, що вона призупинила облікові записи, деактивувала проекти Workers, що підтримують фішингові сторінки, та заборонила сотні пов'язаних доменів та проектів. Вона розмістила попереджувальні сторінки перед шкідливими посиланнями, де не змогла вилучити домени.

Microsoft також виявила залежність у бізнесі підписки Iron Man: клієнти купували доступ до фішингового програмного забезпечення, пов'язаного з сервером ліцензування, контрольованим постачальником. Деактивація цієї інфраструктури може заважати клієнтам використовувати придбані набори, навіть якщо копії залишаються в обігу.

Кампанія проти злочинності включала поліцію Японії та Центр контролю кіберзлочинності, а також Oracle, Proofpoint, Resecurity та партнерів правоохоронних органів США. Microsoft повідомила, що націлені постачальники були частиною більшої злочинної мережі, з пов'язаною інфраструктурою, яка все ще видаляється.

Наступним викликом є обмеження того, як швидко постачальники можуть замінити вилучені домени та скомпрометовані облікові записи. Cloudflare повідомила, що деякі реєстратори доменів працюють у юрисдикціях, які ускладнюють юридичні вилучення, тому їй потрібно блокувати доступ через попередження безпеки, навіть якщо ці домени залишаються онлайн.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.