Microsoft та партнери знешкодили екосистему китайськомовних фішинг-комплектів

Microsoft та група партнерів знешкодили широко розгорнуту екосистему інструментів і сервісів китайськомовної кіберзлочинності, яка з початку року відповідає за надсилання понад 1 мільярда фішинг-повідомлень електронної пошти та SMS понад 75 000 організацій у світі. Компанія заявила про це в середу після співпраці з урядом Японии, Health-ISAC та кількома компаніями з кібербезпеки.

Злам YAM Store, CoGUI та Iron Man

Microsoft заявила, що персоналізовані фішинг-набори розробили та продали китайськомовні загрозові актори в кластері, за яким компанія спостерігає як Storm-2990. Більше третини шливих повідомлень було спрямовано проти користувачів Microsoft. Набори використовувалися для атак на осіб і організації в сферах охорони здоров'я, фінансових послуг, логістики та IT, переважно в США та Японии.

За постановою федерального суду Microsoft та Health-ISAC зняли та перенаправили домени, які обслуговували основну інфраструктуру YAM Store, CoGUI та Iron Man. Компанія також відключила понад 20 000 облікових записів, пов'язаних із YAM Store, і заявила, що продовжує руйнувати інфраструктуру, розміщену в її сервісах, а також блокувати понад 100 000 доменів, які використовувалися для імперсонації та шахрайства.

Вкрадені облікові дані та фінансове шахрайство

Фішинг-набори включали імітації шаблонів легітимних брендів, які кіберзлочинці використовували для проведення великих за обсягом кампаній. За словам дослідників, подібна інфраструктура та випадкова активність вказували на те, що інструменти мали спільне походження, повторне використання коду або тісну співпрацю між розробниками.

Кіберзлочинці використовували набори для крадіжки облікових даних авторизації та фінансової інформації, а також для зловживання процесом авторизації кодом пристрою, перехоплення токенів авторизації та отримання доступу до скомпрометованих облікових записів. Інструменти в основному використовувалися для фінансового шахрайства, яке, як правило, означало шахрайську покупку дорогоченних товарів вкраденими платіжними даними або транзакції на легітимних фінансових платформах.

Підпільна сервісна економіка

Resecurity, яка брала участь у розслідуванні, отримала доступ до інфраструктури Iron Man і виявила 2 360 шаблонів фішингу, що імітують банки, роздрібних продавців, постачальників охорони здоров'я, транспортні органи, департаменти поліції та урядові агентства в 130 країнах. Cloudflare, Oracle, Proofpoint та TRM Labs також надали дослідницьку та слідчу підтримку.

Генеральний юрисконсульт та генеральний менеджер цифрових злочинних підрозділів Microsoft Стівен Масадам сказав, що справа почалася в Японии з шахрайської активності, спрямованої на людей та організації, і розслідувачі довели її до підпільної сервісної економіки, яка постачає злочинців по всьому світу. За його словами, злам YAM Store, CoGUI та Iron Man ускладнює злочинцям отримання тих облікових записів, інструментів та інфраструктури, від яких вони залежать.

Джерела: Cyberscoop · The Record · Securityweek