Microsoft e Health-ISAC sequestrano nomi a dominio legati a fornitori di phishing pagati in criptovalute
in parole semplici
Microsoft e un gruppo di sicurezza hanno preso il controllo di indirizzi web usati da negozi criminali che vendevano accessi rubati e strumenti per le truffe. I negozi accettavano pagamenti in criptovalute. Le aziende hanno ottenuto un ordine del tribunale per impedire che i siti venissero usati.
Sintesi completa
Microsoft e il gruppo per la sicurezza informatica Health-ISAC hanno ottenuto da un tribunale degli Stati Uniti un ordine per sequestrare e reindirizzare i domini che sostenevano YAM Store, CoGUI e Iron Man. I tre servizi vendevano account e strumenti di phishing Fingersi un soggetto affidabile per rubare dati, spesso con domini simili a quelli autentici. Definizione completa del termine phishing ai truffatori. In una dichiarazione del 14 ottobre, Microsoft ha affermato di aver disattivato più di 20.000 account collegati a YAM Store e di continuare a bloccare più di 100.000 domini usati per impersonare altri soggetti o per frodi.
Microsoft ha affermato che i servizi avevano aiutato i criminali a inviare messaggi rivolti a più di 75.000 organizzazioni in oltre 150 Paesi dall'inizio di gennaio, e che avevano generato decine di milioni di dollari per i loro gestori. La società ha collegato la rete a più di un miliardo di messaggi di phishing in tutto il mondo quest'anno.
L'indagine è iniziata dopo che la Japan National Police Agency ha segnalato a Microsoft le truffe rivolte a consumatori e imprese alla fine dello scorso anno. Gli investigatori hanno ricondotto le campagne a un mercato di lingua cinese, dove gruppi criminali potevano acquistare l'infrastruttura per gestire operazioni di phishing.
YAM Store forniva account Microsoft e Google ottenuti in modo fraudolento, risorse cloud e hosting. Alcuni gestori riattivavano domini scaduti appartenenti a organizzazioni senza scopo di lucro e a enti educativi, poi usavano i siti apparentemente legittimi per ottenere account Microsoft 365 da rivendere. CoGUI e Iron Man fornivano pagine di phishing e messaggi già pronti, che imitavano banche, catene di vendita al dettaglio, autorità dei trasporti e agenzie governative. Microsoft e la società di sicurezza Resecurity hanno individuato più di 2.300 modelli di Iron Man.
L'indagine tecnica di Microsoft ha rilevato che i servizi accettavano criptovalute, tra cui USDT di Tether ed Ethereum. La vetrina di YAM Store supportava USDT sulla rete Tron, insieme ad Alipay e WeChat Pay. Cloudflare ha dichiarato che gli acquirenti potevano pagare le offerte del marketplace anche con USDC. YAM Store gestiva inoltre un livello di sub-rivenditori.
La società di analisi blockchain TRM Labs ha dichiarato che i suoi dati hanno aiutato gli investigatori a individuare i beni collegati al gruppo e a congelarli. La società non ha indicato il valore dei beni congelati.
Cloudflare ha dichiarato di aver sospeso account, disattivato progetti Workers che sostenevano pagine di phishing e bloccato centinaia di domini e progetti collegati. Dove non poteva sequestrare i domini, ha inserito pagine di avviso davanti ai link dannosi.
L'operazione ha coinvolto la polizia giapponese e il Cybercrime Control Center, insieme a Oracle, Proofpoint, Resecurity e partner delle forze dell'ordine degli Stati Uniti. Microsoft ha affermato che i fornitori facevano parte di una rete criminale più ampia e che l'infrastruttura collegata è ancora in fase di rimozione. Cloudflare ha affermato che alcuni registrar Un'azienda che registra nomi a dominio presso il registro per conto dei clienti. Definizione completa del termine registrar di domini operano in giurisdizioni che rendono difficili i sequestri legali.