Правоохоронці зірвали роботу мережі за мільярдом фішингових повідомлень
Правоохоронці та партнери зірвали роботу мережі, яку пов’язують із понад мільярдом фішингових повідомлень у 150 країнах.
Правоохоронні органи та партнери в різних країнах зірвали роботу кіберзлочинної екосистеми, яку пов’язують із поширенням понад мільярда шкідливих повідомлень проти більш як 75 тисяч організацій у 150 країнах. Від початку року понад 750 мільйонів таких повідомлень електронною поштою та SMS були спрямовані на клієнтів Microsoft.
Про операцію повідомляє BBC News. Розслідування розпочали Microsoft і Національне поліцейське агентство Японії після хвилі шахрайської активності. Вони виявили китайськомовний кіберзлочинний майданчик, що пропонував інструменти й послуги для фішингових кампаній.
Інфраструктура та фішингові набори
Слідчі відстежили активність до підпільного маркетплейсу YAM Store, який Microsoft позначає як Storm-3119. Його пов’язали з фішинговими наборами CoGUI, Haozi та Iron Man System, що їх компанія сукупно відстежує під назвою Storm-2990.
За даними Microsoft, YAM Store продавав скомпрометовані або шахрайськи отримані середовища Microsoft і Google, облікові записи, ліцензії та сховища. Оператори купували прострочені домени реальних організацій, відновлювали їхні сайти, щоб створити враження активності компаній, і використовували ці ідентичності для одержання хмарних облікових записів. Також вони створювали фіктивні організації з контентом і документацією за допомогою інструментів ШІ.
Вилучення доменів і блокування облікових записів
У скомпрометованих середовищах Microsoft зловмисники, за твердженням компанії, застосовували викрадені облікові дані застосунків для керування акаунтами й ліцензіями, а також використовували SharePoint і OneDrive для розміщення файлів. Фішингові набори містили приманки про несплачені дорожні збори, штрафи, проблеми з доставкою та перевірку облікового запису. Вони мали геообмеження, фальшиві CAPTCHA, фільтрацію IP-адрес та інші механізми, що ускладнювали аналіз безпеки.
За рішенням Окружного суду США Південного округу Флориди Microsoft і Health-ISAC вилучили та перенаправили домени, які підтримували YAM Store, CoGUI та Iron Man. Microsoft також деактивувала понад 20 тисяч облікових записів, пов’язаних із YAM Store, і заблокувала 100 тисяч доменів, що використовувалися для імітації та шахрайства. У розслідуванні також брали участь японські органи влади, JC3, Resecurity, Cloudflare, Oracle, Proofpoint і TRM Labs.
