Une action audacieuse contre la fraude : Déstabiliser Storm-1152

En février 2023, Matthew Mesa, chercheur principal en sécurité au sein du centre de renseignement sur les menaces de Microsoft (MSTIC), a observé un nombre croissant de comptes Microsoft Outlook utilisés dans des campagnes d'hameçonnage de masse. Dans le cadre de ses fonctions, M. Mesa analyse les campagnes de courrier électronique et recherche les activités suspectes. Alors qu'il continuait à constater une augmentation de l'utilisation de comptes frauduleux, il s'est posé la question suivante : « Tous ces comptes pourraient-ils être liés les uns aux autres ? »

Il a immédiatement créé un nouveau profil d'acteur de la menace, Storm-1152, et a commencé à suivre leur activité et a signalé ses découvertes à l'équipe Identité de Microsoft. Shinesa Cambric, cheffe de produit principal de l'équipe de défense contre les abus et les fraudes de Microsoft, a également surveillé cette activité malveillante et a remarqué une augmentation des comptes automatisés (bots) qui tentent de déjouer les défis CAPTCHA utilisés pour protéger le processus d'inscription aux services grand public de Microsoft.​

« Mon équipe se concentre à la fois sur l'expérience du consommateur et sur celle de l'entreprise, ce qui signifie que nous protégeons chaque jour des milliards de comptes contre la fraude et les abus », explique Mme. Cambric. « Notre rôle est de comprendre les méthodologies des acteurs de la menace afin de pouvoir contourner les attaques et empêcher l'accès à nos systèmes. Nous sommes toujours en train de songer à la prévention, à la manière dont nous pouvons arrêter les indésirables à la porte d'entrée de nos systèmes. »

Ce qui a attiré son attention, c'est le niveau croissant de la fraude liée à cette activité. Lorsque de nombreuses parties – des partenaires de Microsoft ainsi que des éléments de notre chaîne d'approvisionnement – nous ont contactés pour signaler les dommages causés par ces comptes Microsoft créés par des robots, Cambric est passé à l'action.

En collaboration avec Arkose Labs, fournisseur de services de défense en cybersécurité et de gestion des robots, l'équipe de M. Cambric s'est efforcée d'identifier et de désactiver les comptes frauduleux du groupe, et a partagé les détails de son travail avec ses collègues du MSTIC de Microsoft et de l'unité Arkose Cyber Threat Intelligence Research (ACTIR).

« Au départ, notre rôle était de protéger Microsoft contre la création de comptes malveillants », explique Patrice Boffa, Chief Customer Officer d'Arkose Labs. « Mais une fois que Storm-1152 a été identifié en tant que groupe, nous avons également entrepris de collecter un grand nombre de renseignements sur les menaces. »

Quand l'activité frauduleuse a atteint son point d'ébullition en mars 2023, Cambric et Mesa ont fait appel à l'unité de lutte contre la criminalité numérique (DCU) de Microsoft pour voir ce qu'il était possible de faire.

En tant que branche externe de Microsoft chargée de l'application de la loi, la DCU ne poursuit généralement que les acteurs les plus sérieux ou les plus persistants. Elle se concentre sur la perturbation – l'augmentation du coût des affaires – pour laquelle les renvois au pénal et/ou les poursuites civiles sont les principaux outils.

Sean Farrell, avocat principal de l'équipe chargée de la lutte contre la cybercriminalité au sein de la DCU de Microsoft, Jason Lyons, responsable principal des enquêtes au sein de l'équipe chargée de la lutte contre la cybercriminalité à la DCU de Microsoft, et Maurice Mason, enquêteur principal en cybercriminalité, se sont réunis pour approfondir l'enquête. Ils se sont coordonnés avec l'avocat externe de Microsoft pour concevoir une stratégie juridique et ont rassemblé les preuves nécessaires pour intenter une action civile, en s'appuyant sur les idées de plusieurs équipes au sein de Microsoft et sur les informations sur les menaces recueillies par Arkose Labs.

« Beaucoup de travail avait déjà été fait avant que la DCU n'intervienne », se souvient Lyons. « L'équipe Identité et Arkose Labs avaient déjà effectué un travail considérable pour identifier et désactiver les comptes, et comme MSTIC a pu relier les comptes frauduleux à certains niveaux de l'infrastructure, nous avons pensé qu'il s'agirait d'un bon cas juridique pour la DCU ».

Parmi les facteurs qui contribuent à la constitution d'une affaire digne d'être poursuivie,  citons l'existence de lois pouvant être utilisées dans le cadre d'une action civile, l'existence d'une juridiction et la volonté de l'entreprise de nommer publiquement les personnes concernées.

Lyons compare l'examen de ces facteurs à un processus de triage, où la DCU examine les faits et les informations pour l'aider à déterminer si tous les éléments constituent un bon dossier. « Sur la base de ce que nous faisons, nous nous demandons si nous voulons consacrer notre temps et notre énergie à l'action », explique-t-il. « L'impact sera-t-il à la hauteur des ressources que nous devrons y consacrer ? » Dans ce cas, la réponse est oui.

Mason a été chargé de travailler sur l'attribution des activités de cybercriminalité en tant que service de Storm-1152. « Mon rôle était de suivre la manière dont Storm-1152 vendait ces comptes frauduleux à d'autres groupes d'acteurs de la menace et d'identifier les individus à l'origine de Storm-1152 », explique Mason.

Grâce à leur travail d'enquête, qui comprenait un examen approfondi des pages de réseaux sociaux et des identifiants de paiement, Microsoft et Arkose Labs ont pu identifier les individus à l'origine de Storm-1152 – Duong Dinh Tu, Linh Van Nguyễn (également connu sous le nom de Nguyễn Van Linh), et Tai Van Nguyen.

Leurs constatations montrent que ces personnes ont exploité et écrit le code des sites web illicites, publié des instructions détaillées, étape par étape, sur la manière d’utiliser leurs produits au moyen de tutoriels vidéo, et fourni des services de conversation instantanée pour aider ceux qui utilisent leurs services frauduleux. D'autres connexions ont ensuite été établies avec l'infrastructure technique du groupe, que l'équipe a pu rattacher à des hôtes basés aux États-Unis.

Décrivant la décision de poursuivre l'affaire, M. Farrell déclare : « Dans ce cas, nous avons eu de la chance grâce à l'excellent travail des équipes, qui ont identifié les acteurs qui ont mis en place l'infrastructure et les services criminels.

L'une des raisons pour lesquelles nous menons ces actions au sein de la DCU est de limiter l'impact de ces cybercriminels. Nous le faisons en intentant des actions en justice ou en fournissant des références pénales qui conduisent à des arrestations et à des poursuites. Je pense qu'il s'agit d'un message très fort lorsque vous êtes en mesure d'identifier les acteurs et de les identifier publiquement dans des plaidoiries juridiques aux États-Unis. »​​

Réfléchissant à l'issue de l'enquête et de la perturbation provoquée par Storm-1152, Farrell note que l'affaire est importante non seulement en raison de son impact pour nous et les autres entreprises concernées, mais aussi en raison des efforts déployés par Microsoft pour étendre l'impact de ces opérations, qui font partie de l'écosystème global de la cybercriminalité en tant que service.