Microsoft y Health-ISAC incautan dominios vinculados a proveedores de phishing pagados con criptomonedas
en claro
Microsoft y un grupo de seguridad se hicieron con el control de direcciones web usadas por tiendas delictivas que vendían accesos robados y herramientas de estafa. Estas tiendas cobraban en criptomonedas. Las empresas consiguieron una orden judicial para impedir que se siguieran usando los sitios.
Resumen completo
Microsoft y el grupo de ciberseguridad Health-ISAC obtuvieron una orden judicial de EE. UU. para incautar y redirigir dominios que daban soporte a YAM Store, CoGUI e Iron Man. Los tres servicios vendían cuentas y herramientas de phishing Suplantación de alguien de confianza para robar datos, a menudo con dominios de apariencia similar. Definición completa de phishing a estafadores. En un comunicado del 14 de octubre, Microsoft afirmó que había desactivado más de 20.000 cuentas vinculadas a YAM Store y que seguía bloqueando más de 100.000 dominios de suplantación y fraude.
Microsoft señaló que los servicios habían ayudado a delincuentes a enviar mensajes dirigidos a más de 75.000 organizaciones en más de 150 países desde enero, y que generaron decenas de millones de dólares para sus operadores. La compañía vinculó la red con más de mil millones de mensajes de phishing en todo el mundo este año.
La investigación comenzó cuando la Agencia Nacional de Policía de Japón alertó a Microsoft sobre estafas dirigidas a consumidores y empresas a finales del año pasado. Los investigadores rastrearon las campañas hasta un mercado en lengua china donde los grupos criminales podían comprar la infraestructura para ejecutar operaciones de phishing.
YAM Store suministraba cuentas de Microsoft y Google obtenidas de forma fraudulenta, recursos en la nube y alojamiento. Algunos operadores reactivaron dominios caducados que pertenecían a organizaciones sin ánimo de lucro y educativas, y luego usaron los sitios, aparentemente legítimos, para obtener cuentas de Microsoft 365 destinadas a su reventa. CoGUI e Iron Man suministraban páginas y mensajes de phishing listos para usar que imitaban a bancos, comercios, autoridades de transporte y organismos públicos. Microsoft y la firma de seguridad Resecurity identificaron más de 2.300 plantillas de Iron Man.
La investigación técnica de Microsoft constató que los servicios aceptaban criptomonedas, como el USDT de Tether y Ethereum. El escaparate de YAM Store admitía USDT en la red Tron, junto con Alipay y WeChat Pay. Cloudflare afirmó que los compradores también podían pagar las ofertas del mercado con USDC. YAM Store también contaba con un nivel de subrevendedores.
La firma de análisis de cadenas de bloques TRM Labs afirmó que su inteligencia ayudó a los investigadores a localizar activos vinculados al grupo y a congelarlos. La compañía no indicó el valor de los activos congelados.
Cloudflare afirmó que suspendió cuentas, desactivó proyectos de Workers que daban soporte a páginas de phishing y prohibió cientos de dominios y proyectos asociados. Cuando no pudo incautar dominios, colocó páginas de advertencia delante de los enlaces maliciosos.
La operación contra la red contó con la participación de la policía japonesa y del Centro de Control de Delitos Informáticos, además de Oracle, Proofpoint, Resecurity y socios de las fuerzas de seguridad de EE. UU. Microsoft afirmó que los proveedores formaban parte de una red criminal más amplia, y que la infraestructura relacionada todavía se está eliminando. Cloudflare afirmó que algunos registrador Empresa que registra nombres de dominio en el registro por cuenta de sus clientes. Definición completa de registrador de dominios operan en jurisdicciones que dificultan las incautaciones legales.