Microsoft saisit les domaines d’un réseau de phishing USDT ciblant 75 000 entreprises

Microsoft et le groupe de cybersécurité Health-ISAC ont obtenu une ordonnance d’un tribunal américain pour saisir et rediriger les domaines soutenant YAM Store, CoGUI et Iron Man, trois services qui vendaient des identifiants volés et des outils de phishing aux fraudeurs. Cette perturbation a ciblé un réseau qui acceptait les USDT de Tether et l’Ethereum pour faciliter l’envoi de plus d’un milliard de messages malveillants dans le monde cette année.

Portée de la perturbation

Selon un communiqué publié le 14 octobre, l’entreprise a désactivé plus de 20 000 comptes liés à YAM Store. Les enquêteurs continuent de bloquer plus de 100 000 domaines d’usurpation d’identité et de fraude. Depuis janvier, les services ont aidé les criminels à envoyer des messages ciblant plus de 75 000 organisations dans plus de 150 pays. Les opérations ont généré des dizaines de millions de dollars pour leurs opérateurs.

L’enquête a commencé après que l’Agence nationale de police du Japon a alerté Microsoft sur des arnaques ciblant les consommateurs et les entreprises fin de l’année dernière. Les enquêteurs ont retracé les campagnes jusqu’à un marché en langue chinoise où les groupes criminels pouvaient acheter l’infrastructure nécessaire pour mener des opérations de phishing sans la construire eux-mêmes. Ce marché servait de hub pour l’achat d’outils prêts à l’emploi, permettant aux attaquants de lancer des campagnes complexes avec un surcoût technique minimal.

Rôles des fournisseurs et méthodes de paiement

YAM Store fournissait des comptes Microsoft et Google obtenus frauduleusement, des ressources cloud et de l’hébergement. Certains opérateurs ont réactivé des domaines expirés appartenant à des organisations à but non lucratif et des établissements d’enseignement. Ils ont utilisé ces sites web apparemment légitimes pour obtenir des comptes Microsoft 365 pour la revente. YAM Store maintenait également un niveau de sous-revendeur, qui élargissait la distribution des comptes et de l’infrastructure au-delà de sa propre boutique.

CoGUI et Iron Man fournissaient des pages et des messages de phishing prêts à l’emploi imitant les banques, les détaillants, les autorités de transport et les agences gouvernementales. Microsoft et la société de sécurité Resecurity ont identifié plus de 2 300 modèles Iron Man. Ces modèles permettaient aux clients d’adapter les arnaques à des marques et des pays spécifiques. La variété des modèles permettait aux fraudeurs d’usurper un large éventail d’entités de confiance, augmentant les probabilités de vol d’identifiants réussi.

L’enquête technique de Microsoft a révélé que les services acceptaient des cryptomonnaies, y compris les USDT de Tether et l’Ethereum. La boutique de YAM Store prenait en charge les USDT sur le réseau Tron en plus d’Alipay et de WeChat Pay. Cloudflare a déclaré que les acheteurs pouvaient également payer les offres du marché avec des USDC. Ces multiples canaux de paiement offraient aux clients plusieurs options pour acheter des identifiants compromis et des services de phishing, rendant les pistes financières plus difficiles à suivre pour les forces de l’ordre.

Application de la loi et gel des actifs

La société d’analyse blockchain TRM Labs a déclaré que son intelligence avait aidé les enquêteurs à localiser les actifs liés au groupe et à les geler. L’entreprise n’a pas précisé la valeur des actifs gelés. Ce manque de transparence laisse l’ampleur du dommage financier immédiat de l’opération incertain. Bien que la saisie des domaines et des comptes perturbe les opérations actuelles, les actifs gelés représentent une récupération partielle des fonds illicites générés par le réseau.

L’effort d’application de la loi a également ciblé les services utilisés par les criminels après leurs achats. Cloudflare a suspendu des comptes, désactivé des projets Workers soutenant des pages de phishing et interdit des centaines de domaines et de projets associés. Il a placé des pages d’avertissement devant les liens malveillants lorsqu’il ne pouvait pas saisir directement les domaines. Cette approche a permis à Cloudflare d’atténuer les dommages même lorsque la juridiction légale sur les registraires de domaines était limitée.

Microsoft a identifié une dépendance spécifique dans l’activité d’abonnement d’Iron Man. Les clients achetaient l’accès à un logiciel de phishing connecté à un serveur de licence contrôlé par le fournisseur. La désactivation de cette infrastructure pouvait interférer avec la capacité des clients à utiliser les kits achetés, même si des copies du logiciel restaient en circulation. Cette suppression technique vise à rendre les outils précédemment achetés inutilisables, réduisant le retour sur investissement pour les groupes criminels.

La répression a impliqué la police japonaise et le Centre de contrôle de la cybercriminalité, ainsi qu’Oracle, Proofpoint, Resecurity et des partenaires de l’application de la loi américains. Microsoft a déclaré que les fournisseurs ciblés faisaient partie d’un réseau criminel plus large. L’infrastructure associée est toujours en cours de suppression. Le prochain défi est de limiter la rapidité avec laquelle les fournisseurs peuvent remplacer les domaines saisis et les comptes compromis. Certains registraires de domaines opèrent dans des juridictions qui rendent les saisies légales difficiles. Cloudflare doit bloquer l’accès par des avertissements de sécurité même si ces domaines restent en ligne. La suppression continue de l’infrastructure associée indique que la perturbation est un processus continu plutôt qu’un événement unique.