Microsoft saisit les domaines d’un réseau de phishing financé par USDT ciblant 75 000 entreprises

Microsoft, travaillant en tandem avec le groupe de cybersécurité Health-ISAC, a obtenu une ordonnance du tribunal des États-Unis pour saisir et rediriger des domaines qui fournissaient un soutien essentiel à trois services de cybercriminalité spécifiques connus sous les noms de YAM Store, CoGUI et Iron Man.

La mise hors service, annoncée le 14 octobre, a effectivement désactivé plus de 20 000 comptes liés à YAM Store et bloqué un total de plus de 100 000 domaines utilisés pour la fraude et l’usurpation d’identité. Selon l’enquête, le réseau a généré des dizaines de millions de dollars pour les opérateurs qui le dirigeaient en facilitant la livraison de plus d’un milliard de messages malveillants depuis janvier. Cette opération à grande échelle a ciblé plus de 75 000 organisations situées dans plus de 150 pays différents.

Origines et portée de l’enquête

L’enquête a été initiée après que l’Agence nationale de police du Japon a alerté Microsoft fin l’année dernière concernant des arnaques ciblant à la fois les entreprises et les consommateurs. Les enquêteurs ont finalement retracé ces campagnes jusqu’à un marché mené en langue chinoise, où divers groupes criminels pouvaient acheter l’infrastructure nécessaire pour mener des opérations de phishing sans avoir besoin de construire de tels systèmes eux-mêmes. Ce modèle de marché spécifique a permis aux fraudeurs de faire rapidement évoluer leurs opérations illicites en leur donnant accès à des identifiants compromis et à des outils préconstruits.

YAM Store agissait comme un fournisseur d’hébergement, de ressources cloud et de comptes Microsoft et Google obtenus frauduleusement. Dans certains cas, les opérateurs ont réactivé des domaines expirés qui appartenaient auparavant à des organisations éducatives et des organisations à but non lucratif, utilisant ces sites web apparemment légitimes pour obtenir des comptes Microsoft 365 dans le but de les revendre. Pendant ce temps, Iron Man et CoGUI fournissaient des messages et des pages de phishing prêts à l’emploi pour imiter les agences gouvernementales, les autorités de transport, les détaillants et les banques. Microsoft et la société de sécurité Resecurity ont identifié plus de 2 300 modèles d’Iron Man, permettant aux clients du service d’adapter leurs arnaques à des pays et des marques spécifiques.

Paiements en cryptomonnaie et gel des actifs

Les enquêtes techniques menées par Microsoft ont révélé que ces services acceptaient diverses formes de cryptomonnaie, y compris Ethereum et USDT de Tether. La boutique en ligne de YAM Store prenait en charge USDT sur le réseau Tron, tout en acceptant également WeChat Pay et Alipay. Cloudflare a par ailleurs déclaré que les acheteurs avaient la possibilité de payer les offres du marché en utilisant USDC. Ces options de paiement diverses ont fourni aux clients plusieurs canaux pour acheter des services de phishing et des identifiants compromis sans avoir à recourir aux systèmes bancaires traditionnels.

Pour étendre la distribution de l’infrastructure et des comptes au-delà de sa propre boutique en ligne, YAM Store maintenait un niveau de sous-revendeur. Cette structure hiérarchique a permis au réseau d’atteindre une base beaucoup plus large d’acheteurs potentiels. TRM Labs, une société d’analyse de blockchain, a déclaré que ses renseignements ont aidé les enquêteurs à localiser et à geler les actifs liés au groupe. Bien que l’entreprise n’ait pas précisé la valeur exacte des actifs gelés, le dommage financier immédiat de l’opération reste incertain. L’absence d’un chiffre spécifique souligne la difficulté inhérente à quantifier l’impact économique des opérations de cybercriminalité distribuées de cette nature.

Dérangement de l’infrastructure et prochaines étapes

L’effort d’application de la loi s’est concentré sur les services que les criminels utilisaient après l’achèvement de leurs achats. Cloudflare a interdit des centaines de projets et de domaines associés, désactivé les projets Workers qui soutenaient les pages de phishing et suspendu des comptes. Dans les cas où elle ne pouvait pas saisir directement les domaines, elle a placé des pages d’avertissement devant les liens malveillants. Cette approche spécifique vise à neutraliser la menace même dans des situations où la juridiction légale est limitée.

Microsoft a identifié une dépendance critique au sein de l’activité d’abonnement d’Iron Man. Les clients achetaient l’accès à un logiciel de phishing connecté à un serveur de licences contrôlé par le fournisseur. En désactivant cette infrastructure, les autorités pouvaient interférer avec la capacité des clients à utiliser les kits qu’ils avaient achetés, même si des copies du logiciel restaient en circulation. La répression a impliqué le Centre de contrôle de la cybercriminalité et la police du Japon, ainsi que des partenaires de l’application de la loi des États-Unis, Proofpoint, Oracle, Resecurity et d’autres.

Microsoft a déclaré que les fournisseurs ciblés faisaient partie d’un réseau criminel plus large et que l’infrastructure associée est toujours en cours de retrait. Cloudflare a noté que certains enregistreurs de domaines opèrent dans des juridictions qui rendent les saisies légales difficiles, ce qui oblige l’entreprise à bloquer l’accès via des avertissements de sécurité pendant que les domaines restent en ligne. Le prochain défi consiste à limiter la vitesse à laquelle les fournisseurs peuvent remplacer les comptes compromis et les domaines saisis. Les autorités continuent de surveiller le réseau pour toute nouvelle infrastructure qui pourrait émerger en réponse à la mise hors service.