Microsoft e Health-ISAC apreendem domínios ligados a fornecedores de phishing pagos em criptomoedas
em linguagem simples
A Microsoft e um grupo de segurança assumiram o controle de endereços da web usados por lojas criminosas que vendiam logins roubados e ferramentas de golpe. As lojas recebiam pagamentos em criptomoedas. As empresas obtiveram uma ordem judicial para impedir que os sites continuassem sendo usados.
Resumo completo
A Microsoft e o grupo de cibersegurança Health-ISAC obtiveram uma ordem judicial dos EUA para apreender e redirecionar domínios que davam suporte à YAM Store, ao CoGUI e ao Iron Man. Os três serviços vendiam contas e ferramentas de phishing Fingir ser alguém de confiança para roubar dados, muitas vezes com domínios parecidos com os verdadeiros. Definição completa de phishing para golpistas. Em comunicado de 14 de outubro, a Microsoft afirmou ter desativado mais de 20.000 contas ligadas à YAM Store e seguir bloqueando mais de 100.000 domínios de falsificação de identidade e fraude.
A Microsoft disse que os serviços ajudaram criminosos a enviar mensagens direcionadas a mais de 75.000 organizações em mais de 150 países desde janeiro, e que eles geraram dezenas de milhões de dólares para seus operadores. A empresa vinculou a rede a mais de um bilhão de mensagens de phishing em todo o mundo neste ano.
A investigação começou depois que a Agência Nacional de Polícia do Japão alertou a Microsoft sobre golpes voltados a consumidores e empresas no fim do ano passado. Os investigadores rastrearam as campanhas até um mercado de língua chinesa, onde grupos criminosos podiam comprar a infraestrutura para executar operações de phishing.
A YAM Store fornecia contas da Microsoft e do Google obtidas de forma fraudulenta, recursos em nuvem e hospedagem. Alguns operadores reativavam domínios expirados pertencentes a organizações sem fins lucrativos e instituições educacionais e, em seguida, usavam os sites aparentemente legítimos para obter contas do Microsoft 365 para revenda. O CoGUI e o Iron Man forneciam páginas e mensagens de phishing prontas, que imitavam bancos, varejistas, autoridades de transporte e órgãos governamentais. A Microsoft e a empresa de segurança Resecurity identificaram mais de 2.300 modelos do Iron Man.
A investigação técnica da Microsoft constatou que os serviços aceitavam criptomoedas, incluindo o USDT da Tether e o Ethereum. A vitrine da YAM Store aceitava USDT na rede Tron, além da Alipay e do WeChat Pay. A Cloudflare disse que os compradores também podiam pagar pelas ofertas do mercado com USDC. A YAM Store também mantinha um nível de subrevendedores.
A empresa de análise de blockchain TRM Labs disse que sua inteligência ajudou os investigadores a localizar ativos ligados ao grupo e congelá-los. A empresa não informou o valor dos ativos congelados.
A Cloudflare disse que suspendeu contas, desativou projetos Workers que davam suporte a páginas de phishing e bloqueou centenas de domínios e projetos associados. Quando não conseguiu apreender domínios, colocou páginas de aviso à frente de links maliciosos.
A operação contou com a polícia do Japão e com o Centro de Controle de Crimes Cibernéticos, além da Oracle, da Proofpoint, da Resecurity e de parceiros de aplicação da lei dos EUA. A Microsoft disse que os fornecedores faziam parte de uma rede criminosa maior, e que a infraestrutura relacionada ainda está sendo removida. A Cloudflare disse que alguns registrador Uma empresa que registra nomes de domínio no registro para seus clientes. Definição completa de registrador de domínio operam em jurisdições que dificultam apreensões legais.