مایکروسافت به بستن «اپ استور» برای مجرمان مرتبط با بیش از یک میلیارد پیام مخرب کمک کرد

مایکروسافت با آژانس پلیس ملی ژاپن برای مقابله با جرایم سایبری به زبان چینی "اپ استور" همکاری کرد.

فروشگاه YAM، CoGUI و Iron Man افراد را در بیش از 150 کشور هدف قرار داده اند

مایکروسافت در حال همکاری با سازمان‌های مجری قانون در سراسر جهان برای از بین بردن عملیات غیرقانونی است که مشاغل و افراد را هدف قرار می‌دهد. مایکروسافت از عملیات موفقیت‌آمیز خود با آژانس پلیس ملی ژاپن خبر داده است که طی آن مجموعه‌ای از فروشگاه‌های اپلیکیشن جرایم سایبری مختل شده است. با بررسی پیام های کلاهبرداری و کلاهبرداری که مشاغل و شهروندان ژاپنی را هدف قرار می دهد، این عملیات یک بازار جنایی چند وجهی با سه عنصر کلیدی را کشف کرد.

فروشگاه YAM، CoGUI و Iron Man 75000 سازمان را در بیش از 150 کشور در سراسر جهان هدف قرار داده بودند، بیش از یک میلیارد ارتباطات مخرب برای ترویج کلاهبرداری ارسال کردند و میلیون ها دلار برای مجرمان پشت سر آنها ایجاد کردند. علاوه بر این، 750 میلیون پیام برای مشتریان خود مایکروسافت ارسال شده است.

در کنار مقامات ژاپنی، Cloudflare، Oracle، Proofpoint، Resecurity و TRM Labs نیز در این عملیات شرکت داشتند.

الگوهای جعل هویت

با کاوش در اکوسیستم جرایم سایبری که مشاغل ژاپنی را هدف قرار می دهد، محققان سه فروشگاه YAM، CoGUI و Iron Man را پیدا کردند. محققان دریافتند که اینها مسیری را برای ورود به اکوسیستم جرایم سایبری برای مجرمان سایبری فراهم می کند.

این محیط وب‌سایت‌ها و پیام‌های جعلی از پیش ساخته شده را به مجرمان ارائه می‌کرد، که برای فریب دادن هدف‌ها طراحی شده بود تا فکر کنند با مقاله واقعی در تعامل هستند. آمازون یکی از سایت‌های جعلی بود که در معرض فروش قرار داشت، بنابراین کلاهبرداران می‌توانستند به سادگی صفحات متقاعدکننده‌ای را برای سرقت اطلاعات ورود و پرداخت بدون نیاز به استخدام کدنویس خود میزبانی کنند. سایر جعل‌های فروش شامل سازمان‌های دولتی، مؤسسات مالی و سایر شرکت‌های معروف بود.

نرم‌افزار فیلتر امنیتی در ابتدا قادر به مدیریت چارچوب CoGUI فیشینگ به‌عنوان سرویس (Phaas) نبود زیرا از روش‌های پیچیده برای جلوگیری از شناسایی استفاده می‌کرد، از جمله اثر انگشت مرورگر و geofencing.

نکته جالب توجه نقش این امکانات برای توزیع دارایی های جرایم سایبری است. CoGUI ظاهرا قربانیان ژاپن و ایالات متحده را هدف قرار داده بود، اما در طول تحقیقات، سرویس جدیدی به نام مرد آهنی جایگزین شد.

فروشگاه YAM

در حالی که هر سه مؤلفه قبلا برای مایکروسافت و مقامات شناخته شده بود، تلاشی هماهنگ برای نفوذ به شبکه مجرمان سایبری با استفاده از این خدمات انجام شد. آنها در یک محیط کاملا به زبان چینی میزبانی می شدند، و باید افراد بومی زبان به تیم تحقیق اضافه شوند و به بازار زیرزمینی جرایم سایبری معروف به فروشگاه YAM دسترسی پیدا کنند.

مایکروسافت یک شماره ردیابی Storm-3119 را به بازار اختصاص داد که آن را "Initial Access Broker" توصیف می کند. این شرکت برای ارائه «محیط‌های به خطر افتاده یا به‌دست‌آمده با تقلب در ارائه‌دهندگانی مانند مایکروسافت و گوگل» به مشتریانش راه‌اندازی شده است.

در حالی که ممکن است انتظار می رود نرم افزارهای در معرض خطر در رادار ناشران خود قرار بگیرند، خالق(های) فروشگاه YAM راه حلی برای آن داشت. توانست با استفاده از اتوماسیون موجودی خود را تازه نگه دارد. این «نام‌های محیط یا سازمان منقضی شده را شناسایی کرد و از اطلاعات قانونی مشتری مرتبط با آنها برای کمک به دور زدن شناسایی‌های موجود استفاده کرد».

مایکروسافت دامنه‌های مرتبط با زیرساخت YAM/CoGUI/Iron Man را تصرف کرده و آنها را مسدود یا تغییر مسیر داده است.