Ação ousada contra fraudes: desmantelando o Storm-1152

Em fevereiro de 2023, Matthew Mesa, pesquisador sênior de segurança no Centro de Inteligência contra Ameaças da Microsoft (MSTIC), observou um padrão de aumento nas contas do Microsoft Outlook usadas em campanhas de phishing em massa. Na sua função, Matthew analisa campanhas de email e procura por atividades suspeitas. Ao notar que o uso de contas fraudulentas estava crescendo, ele se perguntou: "será que todas essas contas estão relacionadas?"

Ele rapidamente criou um novo perfil de ator de ameaça, o Storm-1152, e começou a rastrear suas atividades, sinalizando suas descobertas para a equipe de identidade da Microsoft. Shinesa Cambric, gerente principal de produtos da Equipe de Defesa Anti-Abuso e Fraude da Microsoft, também acompanhava essa atividade maliciosa e observou um aumento de contas automatizadas (bots) tentando burlar os desafios CAPTCHA usados para proteger o processo de criação de conta dos serviços para consumidores da Microsoft.​

"A minha equipe se preocupa com a experiência do consumidor quanto com a experiência empresarial, o que significa que estamos protegendo bilhões de contas todos os dias contra fraudes e abusos", explica Shinesa. "Nosso papel é entender as metodologias dos atores de ameaças para que possamos contornar ataques e prevenir acessos aos nossos sistemas. Estamos sempre pensando em como barrar esses criminosos logo na entrada".

O que chamou sua atenção foi o aumento da fraude associado à essa atividade. Quando vários parceiros da Microsoft e até partes da nossa cadeia de fornecedores relataram os danos causados por essas contas Microsoft criadas por bots, Shinesa entrou em ação.

Juntamente com o provedor de defesa cibernética e gerenciamento de bots Arkose Labs, a equipe de Shinesa trabalhou para identificar e desativar as contas fraudulentas do grupo e compartilhou detalhes de seu trabalho com colegas que trabalham com inteligência cibernética no MSTIC da Microsoft e na unidade de Pesquisa de Inteligência contra Ameaças Cibernéticas da Arkose (ACTIR).

"Inicialmente, nosso trabalho era proteger a Microsoft contra a criação maliciosa de contas", explica Patrice Boffa, diretor de atendimento ao cliente da Arkose Labs, "No entanto, quando o Storm-1152 foi identificado como um grupo, também começamos a coletar muitas informações sobre ameaças".

Quando a atividade fraudulenta atingiu um ponto crítico em março de 2023, Shinesa e Matthew decidiram envolver a Unidade de Crimes Digitais (DCU) da Microsoft para ver o que mais poderia ser feito.

Como o braço de imposição externa da Microsoft, a DCU geralmente persegue apenas os criminosos mais sérios ou persistentes. Ela foca na interrupção e no aumento do custo das operações criminosas, usando referências criminais e/ou ações civis como principais ferramentas.

Sean Farrell, conselheiro principal da equipe de Imposição contra Crimes Cibernéticos da DCU da Microsoft, Jason Lyons, gerente principal de investigações na mesma equipe, e o investigador sênior de crimes cibernéticos, Maurice Mason, se reuniram para investigar mais a fundo. Eles coordenaram com o advogado externo da Microsoft para elaborar uma estratégia jurídica e reuniram as evidências necessárias para entrar uma ação civil, aproveitando insights de várias equipes da Microsoft e informações sobre ameaças que a Arkose Labs estava coletando.

"Muito trabalho já havia sido feito antes da DCU entrar em cena,” lembra Jason. “A equipe de Identidade e a Arkose Labs já tinham feito um trabalho significativo na identificação e desativação de contas, e como o MSTIC conseguiu vincular essas contas a certos níveis de infraestrutura, pensamos que esse seria um bom caso jurídico para a DCU"

Alguns dos fatores que contribuem para a formação de um caso que vale a pena ser investigado incluem a existência de leis aplicáveis para a ação civil, a existência de jurisdição e a disposição da empresa em nomear publicamente os indivíduos envolvidos.

Jason comparou a consideração desses fatores a um processo de triagem, onde a DCU analisou os fatos e informações para decidir se era válido seguir com a ação. "Com base no que fazemos, perguntamos se queremos investir nosso tempo e energia nessa ação", afirma ele. "O impacto vai justificar os recursos que temos que investir?" Neste caso, a resposta foi sim.

Maurice foi encarregado de rastrear as atividades de crimes cibernéticos como serviço do Storm-1152. "Meu papel era rastrear como o Storm-1152 vendia essas contas fraudulentas para outros grupos e identificar os indivíduos por trás do Storm-1152", explica Maurice.

Através de um trabalho investigativo detalhado, que incluiu análise de páginas de redes sociais e identificadores de pagamento, a Microsoft e a Arkose Labs conseguiram identificar os indivíduos por trás do Storm-1152: Duong Dinh Tu, Linh Van Nguyễn (também conhecido como Nguyễn Van Linh) e Tai Van Nguyen.

As descobertas mostraram que esses indivíduos eram responsáveis por operar e programar os sites ilícitos, além de publicar tutoriais em vídeo com o passo a passo detalhado sobre como usar seus produtos e oferecer serviços de chat para ajudar os usuários que usavam seus serviços fraudulentos. A equipe também fez conexões com a infraestrutura técnica do grupo, localizada em servidores nos EUA.

Sobre a decisão de seguir com o caso, Sean acrescenta: "aqui, tivemos sorte de contar com o ótimo trabalho das equipes, que identificaram os atores responsáveis pela infraestrutura e pelos serviços criminosos.

Um dos motivos pelos quais buscamos essas ações na DCU é para minimizar o impacto desses cibercriminosos. Fazemos isso entrando com processos judiciais ou fornecendo referências criminais que podem levar a prisões e acusações. Acredito que isso manda uma mensagem forte quando você consegue identificar os atores e nomeá-los publicamente em petições jurídicas nos EUA".​​

Ao refletir sobre o resultado da investigação e interrupção do Storm-1152, Sean destaca que o caso é importante não apenas pelo impacto que teve sobre nós e outras empresas afetadas, mas também pelo esforço da Microsoft em ampliar o impacto dessas operações, que fazem parte do ecossistema geral de crime cibernético como serviço.