Microsoft und Health-ISAC beschlagnahmen Domains krimineller Phishing-Anbieter mit Krypto-Zahlung
in einfachen worten
Microsoft und eine Sicherheitsgruppe haben Internetadressen übernommen, die kriminelle Shops nutzten. Diese Shops verkauften gestohlene Logins und Betrugswerkzeuge. Bezahlt wurde mit Kryptowährung. Die Firmen erhielten einen Gerichtsbeschluss, damit die Seiten nicht mehr genutzt werden können.
Ausführliche Zusammenfassung
Microsoft und die Cybersicherheitsgruppe Health-ISAC haben auf Grundlage einer Gerichtsanordnung aus den USA erreicht, dass Domains beschlagnahmt und umgeleitet werden durften, die YAM Store, CoGUI und Iron Man unterstützten. Die drei Dienste verkauften Konten und Phishing-Werkzeuge an Betrüger. In einer Erklärung vom 14. Oktober teilte Microsoft mit, man habe mehr als 20.000 Konten deaktiviert, die mit YAM Store verbunden waren, und blockiere weiterhin mehr als 100.000 Domains, die für Identitätsdiebstahl und Betrug genutzt werden.
Microsoft erklärte, die Dienste hätten Kriminellen geholfen, seit Januar Nachrichten an mehr als 75.000 Organisationen in über 150 Ländern zu senden, und sie hätten Dutzende Millionen Dollar für ihre Betreiber eingebracht. Das Unternehmen verknüpft das Netzwerk in diesem Jahr mit mehr als einer Milliarde Phishing-Nachrichten weltweit.
Die Untersuchung begann, nachdem die Nationale Polizeibehörde Japans Microsoft Ende letzten Jahres auf Betrugsmaschen hingewiesen hatte, die sich an Verbraucher und Unternehmen richteten. Ermittler verfolgten die Kampagnen bis zu einem chinesischsprachigen Markt, auf dem kriminelle Gruppen die Infrastruktur für Phishing-Aktionen kaufen konnten.
YAM Store stellte betrügerisch erlangte Microsoft- und Google-Konten, Cloud-Ressourcen und Hosting bereit. Einige Betreiber reaktivierten abgelaufene Domains, die gemeinnützigen und Bildungseinrichtungen gehörten, und nutzten die scheinbar legitimen Seiten, um Microsoft-365-Konten für den Weiterverkauf zu erlangen. CoGUI und Iron Man lieferten fertige Phishing-Seiten und Nachrichten, die Banken, Händler, Verkehrsbehörden und staatliche Stellen nachahmten. Microsoft und die Sicherheitsfirma Resecurity identifizierten mehr als 2.300 Vorlagen von Iron Man.
Die technische Untersuchung von Microsoft ergab, dass die Dienste Kryptowährungen akzeptierten, darunter Tethers USDT und Ethereum. Das Storefront von YAM Store unterstützte USDT im Tron-Netzwerk neben Alipay und WeChat Pay. Cloudflare sagte, Käufer konnten Angebote des Marktplatzes auch mit USDC bezahlen. YAM Store betrieb außerdem eine Ebene für Sub-Reseller.
Das Blockchain-Analyseunternehmen TRM Labs erklärte, seine Erkenntnisse hätten Ermittlern geholfen, Vermögenswerte der Gruppe aufzuspüren und einzufrieren. Der Wert der eingefrorenen Vermögenswerte wurde nicht genannt.
Cloudflare teilte mit, es habe Konten gesperrt, Workers-Projekte deaktiviert, die Phishing-Seiten unterstützten, und Hunderte damit verbundene Domains und Projekte gesperrt. Wo Domains nicht beschlagnahmt werden konnten, setzte das Unternehmen Warnseiten vor schädlichen Links.
An dem Vorgehen waren die Polizei Japans und das Cybercrime Control Center beteiligt, außerdem Oracle, Proofpoint, Resecurity und Strafverfolgungspartner aus den USA. Microsoft sagte, die Zulieferer seien Teil eines größeren kriminellen Netzwerks, und die damit verbundene Infrastruktur werde weiterhin entfernt. Cloudflare erklärte, einige Domain-Registrare arbeiteten in Rechtsräumen, in denen rechtliche Beschlagnahmen schwierig seien.