Microsoft, iş ortaklarıyla birlikte Çince oltalama kiti ekosistemini yıktı

Microsoft ve ortaklar ekibi, yıl başından bu yana tüm dünyada 75 000'den fazla kuruluşa 1 milyardan fazla oltalama e-postası ve SMS gönderiminden sorumlu olan Çince siber suç araçlarının ve hizmetlerinin geniş ekosistemini dahaştı. Şirket, bu operasyonu Çarşamba günü Japonya hükümeti, Health-ISAC ve çeşitli siber güvenlik şirketleriyle çalışma sonrası duyurdu.

YAM Store, CoGUI ve Iron Man'ın kapatılması

Microsoft, şirketin Storm-2990 olarak takip ettiği Çince tehdit aktörlerinden oluşan kümede önceden tasarlanmış oltalama kitlerini geliştirdiğini ve sattığını duyurdu. Zararlı mesajların dörtte üçüne yakını Microsoft kullanıcılarına yöneliktir. Kitlerle hedef alınanlar başlıca ABD ve Japonya'da sağlık, finansal hizmetler, lojistik ve BT sektörlerinde faaliyet gösteren bireyler ve kuruluşlardı.

Federal mahkeme kararıyla Microsoft ve Health-ISAC, YAM Store, CoGUI ve Iron Man adlı hizmetlerin temel altyapısını işleyen alan adlarını devre dışı bıraktı ve yönlendirdi. Şirket ayrıca YAM Store ile bağlantılı 20 000'den fazla hesabı kapattı ve operasyonu engelleme, kendi hizmetlerinde barındırılan altyapıyı ortadan kaldırma ve sahtecilik için kullanılan 100 000'den fazla alan adını engelleme işlemlerine devam ettiğini açıkladı.

Çalınan kimlik doğrulama verileri ve finansal sahtekarlık

Oltalama kitleri içinde siber suçluların kampanyalar için kullandığı meşru markaların taklit şablonları bulunuyordu. Araştırmacılar, benzer altyapının ve örtüşen aktivitenin bu araçların ortak geliştirme kökenlerine, kod yeniden kullanımına veya geliştiriciler arasında yakın işbirliğine işaret ettiğini belirtti.

Siber hırsızlar, kitleri çalınan kimlik doğrulama ve finansal verileri ele geçirmek, ayrıca cihaz kodlarıyla kimlik doğrulama sürecini kötüye kullanarak yetkilendirme tokenlerine ve ele geçirilen hesaplara erişim sağlamak için kullanıyordu. Araçlar ağırlıklı olarak finansal sahtekarlığa yönelikti ve genellikle çalınan kredi kartı bilgileriyle pahalı ürünlerin sahte satın alımını ya da finansal platformlardaki dolandırıcı işlemleri içeriyordu.

Yeraltı hizmetlerinin ekonomisi

Araştırmaya yardımcı olan Resecurity, Iron Man altyapısına erişim sağladı ve 130 ülkede bankaları, perakendecileri, sağlık sağlayıcılarını, ulaşım kurumlarını, polis departmanlarını ve devlet kurumlarını taklit eden 2 360 oltalama şablonunu keşfetti. Cloudflare, Oracle, Proofpoint ve TRM Labs da araştırma ve soruşturma desteği sağladı.

Microsoft Digital Crimes Unit'nin baş hukuk danışmanı ve genel müdürü Stephen Masad, davanın Japonya'daki kişilere ve kuruluşlara yönelik sahtekarlık faaliyetleriyle başladığını ve araştırmacıların tüm dünyada suçlulara kaynak sağlayan yeraltı hizmetleri ekonomisine kadar ulaştığını duyurdu.

YAM Store, CoGUI ve Iron Man'ın engellenmesinin, suçluların güvenle bağımlı oldukları hesaplara, araçlara ve altyapıya erişimi zorlaştıracağını belirtti.

Kaynaklar: Cyberscoop · The Record · Securityweek