Microsoft и Health-ISAC изъяли домены поставщиков фишинга, принимавших криптовалюту
простыми словами
Microsoft и организация по безопасности взяли под контроль адреса сайтов, которые использовали преступные магазины. Эти магазины продавали украденные логины и инструменты для мошенничества. Оплату они принимали в криптовалюте. Компании получили судебный приказ, чтобы остановить использование сайтов.
Подробное изложение
Microsoft и кибербезопасная группа Health-ISAC получили судебный приказ США на изъятие и перенаправление доменов, которые обслуживали YAM Store, CoGUI и Iron Man. Эти три сервиса продавали аккаунты и инструменты для фишинг Выдача себя за доверенную сторону ради кражи данных, часто с помощью похожих доменов. Полное определение термина фишинг мошенникам. В заявлении от 14 октября Microsoft сообщила, что отключила более 20 000 аккаунтов, связанных с YAM Store, и продолжает блокировать более 100 000 доменов, которые выдают себя за другие сайты или используются для мошенничества.
Microsoft заявила, что с начала года эти сервисы помогали преступникам рассылать сообщения более чем 75 000 организациям в более чем 150 странах и что они принесли операторам десятки миллионов долларов. По данным компании, в этом году с их помощью было отправлено более одного миллиарда фишинговых сообщений по всему миру.
Расследование началось после того, как Национальное полицейское агентство Японии в конце прошлого года предупредило Microsoft о мошеннических схемах, направленных на потребителей и компании. Следователи проследили кампании до китайскоязычной площадки, где преступные группы могли купить инфраструктуру для фишинговых операций.
YAM Store поставлял украденные аккаунты Microsoft и Google, облачные ресурсы и хостинг. Некоторые операторы возрождали истекшие домены, принадлежащие некоммерческим и образовательным организациям, а затем использовали внешне законные сайты, чтобы получить аккаунты Microsoft 365 для перепродажи. CoGUI и Iron Man предоставляли готовые фишинговые страницы и сообщения, имитирующие банки, ритейлеров, транспортные ведомства и государственные учреждения. Microsoft и компания в сфере безопасности Resecurity выявили более 2 300 шаблонов Iron Man.
Техническое расследование Microsoft показало, что сервисы принимали криптовалюты, включая USDT от Tether и Ethereum. Витрина YAM Store поддерживала USDT в сети Tron наряду с Alipay и WeChat Pay. Cloudflare сообщила, что покупатели могли также оплачивать предложения маркетплейса в USDC. У YAM Store был также уровень субреселлеров.
Компания по аналитике блокчейна TRM Labs заявила, что ее данные помогли следователям найти активы, связанные с группой, и заморозить их. Стоимость замороженных активов компания не раскрыла.
Cloudflare сообщила, что приостановила работу аккаунтов, отключила проекты Workers, поддерживавшие фишинговые страницы, и заблокировала сотни связанных доменов и проектов. Там, где изъять домены не удалось, компания разместила предупреждающие страницы перед вредоносными ссылками.
В операции участвовали японская полиция и Центр контроля киберпреступности, а также Oracle, Proofpoint, Resecurity и правоохранительные партнеры из США. Microsoft заявила, что поставщики были частью более широкой преступной сети, и связанная инфраструктура все еще удаляется. Cloudflare сообщила, что некоторые регистратор Компания, которая регистрирует доменные имена в регистратуре для своих клиентов. Полное определение термина регистратор доменов работают в юрисдикциях, где законные изъятия затруднены.