Кибермаркет прикрыли — рассылка уже разогналась

Microsoft и Национальное полицейское агентство Японии провели совместную операцию против нескольких связанных между собой сервисов, которые помогали преступникам рассылать мошеннические сообщения и создавать поддельные сайты. В операции также участвовали Cloudflare, Oracle, Proofpoint, Resecurity и TRM Labs.

Расследование выявило три элемента преступной инфраструктуры: YAM Store, CoGUI и Iron Man. По данным Microsoft, их использовали для атак на 75 тысяч организаций более чем в 150 странах. Через эти сервисы отправили свыше миллиарда вредоносных сообщений, в том числе около 750 миллионов — клиентам Microsoft. Мошенническая деятельность принесла преступникам миллионы долларов.

Сервисы работали как готовый набор для фишинга — способа обманом выманивать у людей пароли, платёжные данные и другую чувствительную информацию. Клиентам предлагали заранее подготовленные поддельные сайты и сообщения, имитировавшие известные компании и организации. Среди приманок были страницы, выдававшие себя за Amazon, государственные ведомства, финансовые учреждения и другие известные бренды. Заказчику не требовалось нанимать программиста и создавать убедительную копию сайта с нуля.

CoGUI представлял собой PhaaS — «фишинг как услуга»: готовую инфраструктуру, которую преступники могли арендовать или использовать для атак. Сервис применял методы уклонения от обнаружения, включая снятие цифрового «отпечатка» браузера и географические ограничения. Проще говоря, он мог учитывать особенности устройства и местоположение посетителя, затрудняя работу защитных фильтров.

По сведениям расследования, CoGUI нацеливался на жертв в Японии и США, а затем его сменил новый сервис Iron Man. YAM Store выступал площадкой, через которую участники получали доступ к другим элементам преступной экосистемы. Microsoft присвоила этому рынку обозначение Storm-3119 и назвала его Initial Access Broker — посредником, который предоставляет доступ к уже скомпрометированным или добытым мошенническим путём аккаунтам и цифровым средам, в том числе в сервисах Microsoft и Google.

Все три компонента были известны Microsoft и правоохранительным органам, но проникнуть в сеть пользователей этих сервисов удалось лишь благодаря совместной работе. Преступная площадка работала полностью на китайском языке, поэтому к расследованию привлекли носителей языка, чтобы получить доступ к подпольному YAM Store.

У YAM Store был и способ поддерживать ассортимент в актуальном состоянии. Автоматизация находила истёкшие цифровые среды или названия организаций и использовала связанные с ними настоящие клиентские данные, чтобы обходить существующие системы обнаружения. Это позволяло обновлять набор доступов и затрудняло выявление мошеннических операций.

В результате Microsoft изъяла домены, связанные с инфраструктурой YAM Store, CoGUI и Iron Man, и заблокировала их либо перенаправила трафик. Операция нарушила работу сервисов, использовавшихся для масштабного фишинга, однако сама по себе не означает, что все созданные ими сообщения или полученные преступниками данные автоматически исчезли.