Microsoft et Health-ISAC saisissent des domaines liés à des fournisseurs de phishing payés en cryptomonnaies
en clair
Microsoft et un groupe de sécurité ont pris le contrôle d'adresses web utilisées par des boutiques criminelles. Ces boutiques vendaient des identifiants volés et des outils d'arnaque. Elles étaient payées en cryptomonnaies. Les entreprises ont obtenu une décision de justice pour empêcher l'utilisation de ces sites.
Résumé complet
Microsoft et le groupe de cybersécurité Health-ISAC ont obtenu une ordonnance d'un tribunal des États-Unis pour saisir et rediriger les domaines qui soutenaient YAM Store, CoGUI et Iron Man. Les trois services vendaient des comptes et des outils de phishing Usurpation de l'identité d'un tiers de confiance pour voler des données, souvent avec des domaines ressemblants. Définition complète du terme phishing à des escrocs. Dans un communiqué du 14 octobre, Microsoft a indiqué avoir désactivé plus de 20 000 comptes liés à YAM Store et continuer de bloquer plus de 100 000 domaines d'usurpation d'identité et de fraude.
Microsoft a précisé que ces services avaient aidé des criminels à envoyer des messages visant plus de 75 000 organisations dans plus de 150 pays depuis janvier, et qu'ils avaient rapporté des dizaines de millions de dollars à leurs exploitants. L'entreprise relie ce réseau à plus d'un milliard de messages de phishing dans le monde cette année.
L'enquête a commencé après que l'Agence nationale de police du Japon a alerté Microsoft sur des arnaques visant les consommateurs et les entreprises à la fin de l'année dernière. Les enquêteurs ont retracé les campagnes jusqu'à un marché de langue chinoise où des groupes criminels pouvaient acheter l'infrastructure nécessaire pour mener des opérations de phishing.
YAM Store fournissait des comptes Microsoft et Google obtenus frauduleusement, des ressources cloud et de l'hébergement. Certains exploitants ont relancé des domaines expirés appartenant à des associations et à des organismes éducatifs, puis utilisé ces sites d'apparence légitime pour obtenir des comptes Microsoft 365 destinés à la revente. CoGUI et Iron Man fournissaient des pages de phishing et des messages prêts à l'emploi imitant des banques, des enseignes de distribution, des autorités de transport et des administrations. Microsoft et la société de sécurité Resecurity ont identifié plus de 2 300 modèles Iron Man.
L'enquête technique de Microsoft a montré que les services acceptaient les cryptomonnaies, dont l'USDT de Tether et l'Ethereum. La vitrine de YAM Store acceptait l'USDT sur le réseau Tron, ainsi qu'Alipay et WeChat Pay. Cloudflare a indiqué que les acheteurs pouvaient aussi payer les offres de la place de marché en USDC. YAM Store exploitait en outre un échelon de sous-revendeurs.
La société d'analyse de la blockchain TRM Labs a indiqué que ses renseignements avaient aidé les enquêteurs à localiser des actifs liés au groupe et à les geler. Elle n'a pas précisé la valeur des actifs gelés.
Cloudflare a indiqué avoir suspendu des comptes, désactivé des projets Workers servant à héberger des pages de phishing et banni des centaines de domaines et projets associés. Lorsqu'elle ne pouvait pas saisir des domaines, elle a placé des pages d'avertissement devant les liens malveillants.
L'opération a associé la police japonaise et le Centre de contrôle de la cybercriminalité, ainsi qu'Oracle, Proofpoint, Resecurity et des partenaires des forces de l'ordre des États-Unis. Microsoft a indiqué que les fournisseurs faisaient partie d'un réseau criminel plus vaste, et que l'infrastructure associée est toujours en cours de retrait. Cloudflare a indiqué que certains bureaux d'enregistrement de nom de domaine Nom lisible sur Internet, composé de libellés séparés par des points. Définition complète du terme nom de domaine opèrent dans des juridictions où les saisies judiciaires sont difficiles.