Microsoft-ը գործընկերների հետ քանդեց չինաերեն ֆիշինգ-կիտերի էկոհամակարգը

Microsoft-ը և գործընկերների խումբը քանդեց չինաերեն կիբերհանցագործության գործիքների և ծառայությունների լայն էկոհամակարգ, որը պատասխանատու էր տարվա սկզբից ամբողջ աշխարհում 75 000-ից ավելի կազմակերպություններին 1 միլիարդից ավելի ֆիշինգ էլ. փոստի և SMS հաղորդագրություններ ուղարկելու համար։ Ընկերությունը հայտարարեց այս օպերացիայի մասին չորեքշաբթի՝ Ճապոնիայի կառավարության, Health-ISAC-ի և մի քանի կիբերանվտանգության ընկերության հետ համագործակցելուց հետո։

YAM Store-ի, CoGUI-ի և Iron Man-ի անջատումը

Microsoft-ը հայտարարեց, որ կազմակերպված ֆիշինգ-կիտերը մշակել և վաճառել են չինաերեն սպառնալիքի գործողները կլաստերում, որին ընկերությունը հետևում է որպես Storm-2990։ Վնասակար հաղորդագրությունների երեք երորդից ավելին Microsoft-ի օգտատերերին էր ուղղված։ Կիտերով նպատակային ընտրվել են առանձին անձինք և կազմակերպություններ առողջապահության, ֆինանսական ծառայությունների, լոգիստիկայի և IT ոլորտներում, հիմնականում ԱՄՆ-ում և Ճապոնիայում։

Ֆեդերալ դատարանի որոշումների հիման վրա Microsoft-ը և Health-ISAC-ը հեռացրեցին և վերահասցեավորեցին դոմենները, որոնք սպասարկում էին YAM Store-ի, CoGUI-ի և Iron Man-ի անվան տակ հայտնի ծառայությունների հիմնական ենթակառուցվածքը։ Ընկերությունը նաև անջատեց 20 000-ից ավելի հաշիվ, որը կապված էր YAM Store-ի հետ, և հայտարարեց, որ շարունակում է դադարեցնել օպերացիայի ընթացքը, հեռացնել իր ծառայություններում տեղադրված ենթակառուցվածքը և արգելափակել 100 000-ից ավելի դոմեն, որոնք օգտագործվում էին նմանակության և խաբեբանության համար։

Գողությամբ ստացված նույնականացման տվյալներ և ֆինանսական խաբեբանություն

Ֆիշինգ-կիտերում ընդգրկված էին լեգիտիմ բրենդների նմանակման շաբլոններ, որոնք կիբերհանցագործները օգտագործում էին զանգվածային քամեայներ իրականացնելու համար։ Հետազոտների կարծիքով, նման ենթակառուցվածքը և փոխկապակցված ակտիվությունը ցույց էին տալիս, որ գործիքներն ունեին ընդհանուր զարգացման սկզբնակետեր, կոդի կրկնակի օգտագործում կամ միմյանց հետ սեղմ համագործակցություն ծրագրավորողների միջև։

Կիբերհանցագործները օգտագործում էին կիտերը գողությամբ ստացված նույնականացման և ֆինանսական տվյալներ ստանալու, ինչպեն նաև սարքի կոդի նույնականացման գործընթացը չարաշահելու համար՝ ստանալու նույնականացման թոքեններ և մուտք դեպի կոմպրոմետավորված հաշիվներ։ Գործիքները հիմնականում օգտագործվում էին ֆինանսական խաբեբանության համար, որը սովորաբար ներառում էր գողությամբ ստացված վճարային տվյալներով թանկ գույքի խաբեբաձ գնում կամ գործարքներ լեգիտիմ ֆինանսական հարթակներում։

Երկրատակ ծառայությունների տնտեսություն

Resecurity-ը, որն օգնեց հետազոտությանը, մուտք ստացավ Iron Man-ի ենթակառուցվածք և հայտնաբերեց 2 360 ֆիշինգ-շաբլոն, որոնք նմանակում էին բանկերին, մանրածախ վաճառողներին, առողջապահական մատակարարներին, տրանսպորտային մարմիններին, ոստիկանության բաժիններին և պետական վարչություններին 130 երկրում։ Cloudflare-ը, Oracle-ը, Proofpoint-ը և TRM Labs-ը նաև ապահովեցին հետազոտական և օպերատիվ աջակցություն։

Microsoft-ի Digital Crimes Unit-ի գլխավոր իրավական խորհրդատու և գեներալ մենեջեր Սթիվեն Մասադամը հայտարարեց, որ գործը սկսվել է Ճապոնիայում մարդկանց և կազմակերպությունների նկատմամբ իրականացված խաբեբաձ ակտիվությամբ, և հետազոտողները հասցրեցին դեպի երկրատակ ծառայությունների տնտեսությունը, որը ամբողջ աշխարհում ապահովում է հանցագործներին։

Նա նշեց, որ YAM Store-ի, CoGUI-ի և Iron Man-ի դադարեցումը դժվարացնում է հանցագործների համար այն հաշիվների, գործիքների և ենթակառուցվածքի ձեռքբերումը, ինչի վրա նրանք կախված են։

Աղբյուրներ: Cyberscoop · The Record · Securityweek