Overzicht
In maart 2023 kreeg een grote Microsoft-klant te maken met een reeks cyberaanvallen met spam, leidend tot storingen in het systeem van de klant.
De oorzaak? Een spervuur van frauduleus gemaakte Microsoft Outlook- en Hotmail-accounts die de voordelen van de services van de klant probeerden te benutten, services die worden aangeboden als proefversies voor potentiële gebruikers. Deze nepaccounts hadden niet de intentie om ooit voor deze services te betalen. Als gevolg daarvan blokkeerde de klant alle nieuwe accountregistraties van Microsoft Outlook- en Hotmail-adressen.
Achter deze aanval zat in werkelijkheid een grotere frauduleuze organisatie uit Vietnam. Microsoft noemt deze groep Storm-1152.
Storm-1152 beheerde onrechtmatige websites en socialmediapagina's waar frauduleuze Microsoft-accounts werden verkocht. De groep bood ook hulpmiddelen aan om software voor identiteitsverificatie op bekende technologieplatformen te omzeilen. De services van Storm-1152 dienen als een gateway voor cybercriminaliteit door ervoor te zorgen dat criminelen minder tijd en moeite nodig hebben voor criminele en onrechtmatige activiteiten online. In totaal heeft de groep ongeveer 750 miljoen frauduleuze Microsoft-accounts gemaakt om te verkopen, zodat de groep een onrechtmatige opbrengst van miljoenen dollars heeft verdiend. Voor bedrijven kost het zelfs nog meer om deze criminele activiteit te bestrijden.
Het blijkt dat meerdere groepen gebruikmaakten van de accounts van Storm-1152 voor activiteiten met ransomware, gegevensdiefstal en afpersing. Enkele van deze groepen zijn Octo Tempest, Storm-0252 en Storm-0455. De handel in accounts maakte Storm-1152 een van de grootste providers van cybercriminaliteit als een service.
Microsoft houdt de opkomst van deze kwaadaardige activiteit bij sinds 2022. Machine learning-algoritmen worden sindsdien steeds vaker gebruikt om het maken van deze frauduleuze accounts te voorkomen en om eerder waargenomen patronen op tijd te detecteren. In de lente van 2023 vond er echter een wending plaats vanwege het toenemende misbruik van Microsoft en partnerplatformen. Een agressievere tegenactie was noodzakelijk, uitgevoerd door een nieuw samengesteld, functieoverschrijdend team van Microsoft en partner Arkose Labs.
De gecoördineerde inspanning leidde tot de eerste juridische actie door de Digital Crimes Unit (DCU) van Microsoft, in december 2023. Deze actie bestond uit het in beslag nemen en sluiten van de websites die Storm-1152 gebruikte om de services te verkopen. Onmiddellijk na de actie zagen we een afname van ongeveer 60% in het aantal registraties. Deze afname komt nauw overeen met het percentage registraties die onze algoritmen of partners later identificeerden als onrechtmatig (60% of meer). Aansluitend hebben we deze registraties geblokkeerd voor Microsoft-services. Op 23 juli dienden we een tweede civiele procedure in om de nieuwe infrastructuur te verstoren die de groep probeerde in te richten na de rechtszaak in december.
Dit rapport over de opkomende bedreiging neemt een kijkje achter de schermen van de actie en benadrukt het belang van samenwerking tussen branches om cyberbedreigingen te vervolgen. Het dossier is een voorbeeld van hoe branches juridische kanalen kunnen gebruiken om te helpen andere groepen te ontmoedigen en individuen veilig online te houden. Het laat ook het belang zien van continue verstoringen en hoe juridische acties een effectieve methode tegen cybercriminelen blijven, zelfs wanneer ze hun tactieken veranderen. Uiteindelijk is geen enkele operatie een eenmalige.
Volg Microsoft Beveiliging