Microsoft révèle comment un réseau de phishing financé par USDT a ciblé 75 000 organisations

Microsoft a perturbé des fournisseurs de cybercriminalité acceptant les cryptomonnaies, liés à plus d'un milliard de messages de phishing dans le monde cette année.

La société et le groupe de cybersécurité Health-ISAC ont obtenu une ordonnance d'un tribunal américain pour saisir et rediriger des domaines soutenant YAM Store, CoGUI et Iron Man, trois services qui vendaient des comptes et des outils de phishing à des fraudeurs, selon un communiqué du 14 octobre.

Microsoft a déclaré avoir désactivé plus de 20 000 comptes liés à YAM Store et continuait de bloquer plus de 100 000 domaines d'usurpation et de fraude. Depuis janvier, les services ont aidé des criminels à envoyer des messages ciblant plus de 75 000 organisations dans plus de 150 pays, générant des dizaines de millions de dollars pour leurs opérateurs.

L'enquête a commencé après que l'Agence nationale de la police du Japon a alerté Microsoft sur des escroqueries visant les consommateurs et les entreprises à la fin de l'année dernière. Les enquêteurs ont retracé les campagnes jusqu'à un marché en langue chinoise où des groupes criminels pouvaient acheter l'infrastructure nécessaire pour mener des opérations de phishing sans avoir à la construire eux-mêmes.

YAM Store fournissait des comptes Microsoft et Google obtenus frauduleusement, des ressources cloud et de l'hébergement. Certains opérateurs ont relancé des domaines expirés appartenant à des organisations à but non lucratif et éducatives, puis ont utilisé les sites Web apparemment légitimes pour obtenir des comptes Microsoft 365 à revendre.

CoGUI et Iron Man fournissaient des pages et des messages de phishing prêts à l'emploi qui imitaient des banques, des détaillants, des autorités de transport et des agences gouvernementales. Microsoft et la société de sécurité Resecurity ont identifié plus de 2 300 modèles Iron Man, permettant aux clients de personnaliser les escroqueries en fonction des marques et des pays.

Paiements en cryptomonnaie et répression d'une infrastructure plus large

L'enquête technique de Microsoft a révélé que les services acceptaient des cryptomonnaies, y compris le USDT de Tether et l'Ethereum. La vitrine de YAM Store soutenait le USDT sur le réseau Tron aux côtés d'Alipay et de WeChat Pay, tandis que Cloudflare a déclaré que les acheteurs pouvaient également payer les offres du marché avec du USDC.

Les options de paiement offraient aux clients plusieurs canaux pour acheter des identifiants compromis et des services de phishing. YAM Store maintenait également un niveau de sous-revendeur, élargissant la distribution de comptes et d'infrastructure au-delà de sa propre vitrine.

La société d'analyse blockchain TRM Labs a déclaré que son intelligence avait aidé les enquêteurs à localiser des actifs liés au groupe et à les geler. La société n'a pas précisé la valeur des actifs gelés, laissant l'impact financier immédiat de l'opération incertain.

L'effort d'application a également ciblé les services que les criminels utilisaient après avoir effectué leurs achats. Cloudflare a déclaré avoir suspendu des comptes, désactivé des projets Workers soutenant des pages de phishing et interdit des centaines de domaines et de projets associés. Il a placé des pages d'avertissement devant des liens malveillants où il n'a pas pu saisir des domaines.

Microsoft a également identifié une dépendance dans l'activité d'abonnement d'Iron Man : les clients achetaient l'accès à un logiciel de phishing connecté à un serveur de licence contrôlé par un fournisseur. Désactiver cette infrastructure pourrait interférer avec la capacité des clients à utiliser les kits achetés, même si des copies restaient en circulation.

La répression impliquait la police japonaise et le Centre de contrôle de la cybercriminalité, ainsi qu'Oracle, Proofpoint, Resecurity et des partenaires des forces de l'ordre américaines. Microsoft a déclaré que les fournisseurs ciblés faisaient partie d'un réseau criminel plus large, avec une infrastructure connexe toujours en cours de suppression.

Le prochain défi est de limiter la rapidité avec laquelle les fournisseurs peuvent remplacer les domaines saisis et les comptes compromis. Cloudflare a déclaré que certains bureaux d'enregistrement de domaines opéraient dans des juridictions qui rendaient les saisies légales difficiles, il doit donc bloquer l'accès par des avertissements de sécurité même si ces domaines restent en ligne.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.