Microsoft ושותפיה פירקו מערכת של ערכות פישינג בסינית

Microsoft וקבוצת שותפיה פירקו מערכת רחבה של כלים ושירותים לפשע סייבר בסינית, שהחל מתחילת השנה שלחה ליותר מ-75 000 ארגונים בעולם יותר מ-1 מיליירד הודעות פישינג ו-SMS. החברה הכריזה על כך ביום רביעי, לאחר עבודה משותפת עם ממשלת יפן, Health-ISAC ומספר חברות אבטחת סייבר.

פירוק YAM Store, CoGUI ו-Iron Man

לפי הצהרת Microsoft, ערכות הפישינג המסוכנות פותחו ונמכרו בקבוצה על ידי כותבי איומים בסינית, שהחברה עוקבת אחריהם בשם Storm-2990. יותר משליש מההודעות המזיקות כוונו למשתמשי Microsoft. הערכות תקפו יחידים וארגונים בתחומי הבריאות, שירותים פיננסיים, לוגיסטיקה ו-IT, בעיקר בארה״ב וביפן.

על בסיס צווי בית משפט פדרליים, Microsoft ו-Health-ISAC הסירו והפנו דומיינים שעליהם פעלה התשתית הבסיסית של שירותים מוכרים בשמות YAM Store, CoGUI ו-Iron Man. החברה גם ניתקה יותר מ-20 000 חשבונות שקושרו ל-YAM Store, והכריזה שהיא ממשיכה בפירוק המבצע, בניקוי התשתית המאוחסנת בשירותיה ובחסימת יותר מ-100 000 דומיינים ששימשו לזיוף זהויות ולהונאה.

נתוני הרשאה גנובים והונאה פיננסית

ערכות הפישינג כללו תבניות מזויפות של מותגים לגיטימיים, שפורצי הסייבר השתמשו בהן להרצת מסעות בנפח גבוה. לדברי החוקרים, תשתית דומה ופעילות חופפת מצביעים על כך שהכלים אוחדו על ידי מוצא משותף, שימוש חוזר בקוד או שיתוף פעולה צמוד בין מפתחים.

פורצי הסייבר השתמשו בערכות כדי לשוד נתוני הרשאה ומידע פיננסי, וכן כדי להשתמש בצורה שגויה בתהליך ההרשאה של מכשירים, על מנת לקבל טוקנים של הרשאה ולהשיג גישה לחשבונות פרוצים. הכלים שימשו בעיקר להונאה פיננסית, שכללה ככל הנראה רכישות מזויפות של סחורות יקרות באמצעות נתוני תשלום גנובים או עסקאות בפלטפורמות פיננסיות לגיטימיות.

כלכלת שירותים תת-קרקעית

Resecurity, שסייעה בחקירה, קיבלה גישה לתשתית של Iron Man ואיתרה 2 360 תבניות פישינג שהתחזו לבנקים, רשתות קמעונאות, ספקי בריאות, רשויות תחבורה, מחלקות משטרה ורשויות ממשלתיות ב-130 מדינות. Cloudflare, Oracle, Proofpoint ו-TRM Labs סיפקו גם תמיכה חקרית וחקירתית.

סטיבן מסאדאם, המשפטן הראשי והמנהל הכללי של החטיבה לפשע דיגיטלי ב-Microsoft, אמר שהתיק החל ביפן עם פעילות מזויפת כלפי אנשים וארגונים, והחוקרים הביאו אותו לכלכלת שירותים תת-קרקעית שמאפשרת לפורצים בכל העולם. לדבריו, פירוק YAM Store, CoGUI ו-Iron Man מקשה על פורצים להשיג את החשבונות, הכלים והתשתית שהם מסתמכים עליהם.

מקורות: Cyberscoop · The Record · Securityweek