Impedir os serviços de gateway para o crime cibernético

O Storm-1152 desempenha um papel significativo no ecossistema altamente especializado de crimes cibernéticos como serviço. Os criminosos cibernéticos precisam de contas fraudulentas para suportar suas atividades criminosas amplamente automatizadas. Como atualmente as empresas conseguem identificar e encerrar rapidamente as contas fraudulentas, os criminosos precisam de uma quantidade ainda maior de contas para contornar os esforços de mitigação. Em vez de gastar tempo tentando criar milhares de contas fraudulentas, os criminosos cibernéticos podem simplesmente comprá-las do Storm-1152 e de outros grupos. Isso permite que os criminosos concentrem seus esforços em seus objetivos finais de phishing, spamming, ransomware e outros tipos de fraude e abuso. O Storm-1152 e outros grupos possibilitam que dezenas de criminosos cibernéticos realizem suas atividades mal-intencionadas de forma mais eficiente e eficaz.

As Informações sobre ameaças da Microsoft identificou vários grupos envolvidos em ransomware, roubo de dados e extorsão que usaram contas do Storm-1152. Por exemplo, Octo Tempest, também conhecido como Scattered Spider, obteve contas fraudulentas da Microsoft por meio do Storm-1152. O Octo Tempest é um grupo de crime cibernético com motivação financeira que utiliza amplas campanhas de engenharia social para comprometer organizações em todo o mundo com o objetivo de executar extorsão financeira. A Microsoft continua a rastrear vários outros agentes de ameaças de ransomware ou extorsão que adquiriram contas fraudulentas do Storm-1152 para aprimorar seus ataques, incluindo o Storm-0252 e o Storm-0455.

Na quinta-feira, 7 de dezembro, a Microsoft obteve uma ordem judicial do Distrito Sul de Nova York para confiscar a infraestrutura sediada nos Estados Unidos e retirar do ar os sites usados pelo Storm-1152 para prejudicar os clientes da Microsoft. Embora nosso caso se concentre em contas fraudulentas da Microsoft, os sites afetados também vendiam serviços para contornar medidas de segurança em outras plataformas tecnológicas conhecidas. Portanto, esta ação teve um impacto maior, beneficiando usuários não só da Microsoft. Especificamente, a Unidade de Crimes Digitais da Microsoft interrompeu:

A Microsoft está empenhada em fornecer uma experiência digital segura para todas as pessoas e organizações do planeta. Trabalhamos em estreita colaboração com o Arkose Labs para implantar uma avançada solução de defesa CAPTCHA. A solução exige que todos os possíveis usuários que desejam abrir uma conta Microsoft declarem que são seres humanos (não um bot) e verifiquem a precisão dessa representação resolvendo vários tipos de desafios.

Como disse o fundador e CEO da Arkose Labs, Kevin Gosschalk: "O Storm-1152 é um inimigo formidável, estabelecido com o único objetivo de ganhar dinheiro capacitando os adversários a cometer ataques complexos. O grupo se distingue pelo fato de ter construído seu negócio de CaaS à luz do dia e não na dark web. O Storm-1152 operava como uma empresa típica de internet, fornecendo treinamento para suas ferramentas e até mesmo suporte completo ao cliente. Na realidade, o Storm-1152 era uma porta de entrada aberta para fraudes graves."

A atividade do Storm-1152 não apenas viola os termos de serviços da Microsoft ao vender contas fraudulentas, mas também busca propositalmente prejudicar os clientes da Arkose Labs e enganar as vítimas fingindo ser usuários legítimos em uma tentativa de contornar as medidas de segurança.

Nossa análise da atividade do Storm-1152 incluiu detecção, análise, telemetria, testes de compra disfarçados e engenharia reversa para identificar a infraestrutura mas-intencionada hospedada nos Estados Unidos. As Informações sobre ameaças da Microsoft e a unidade Arkose Cyber Threat Intelligence Research (ACTIR) forneceram dados e insights adicionais para fortalecer nosso caso jurídico.

Como parte da nossa investigação, conseguimos confirmar a identidade dos atores que lideram as operações do Storm-1152 – Duong Dinh Tu, Linh Van Nguyễn (também conhecido como Nguyễn Van Linh) e Tai Van Nguyen, baseados no Vietnã. Nossas descobertas mostram que esses indivíduos operaram e escreveram o código para sites ilícitos, publicaram instruções passo a passo detalhadas sobre como usar seus produtos por meio de tutoriais em vídeo e forneceram serviços de chat para ajudar aqueles que usavam seus serviços fraudulentos.

Desde então, a Microsoft apresentou uma denúncia criminal às autoridades dos EUA. Somos gratos por nossa parceria com as autoridades policiais, que possibilitaram levar à justiça aqueles que procuram prejudicar nossos clientes.
 

A ação de hoje é uma continuação da estratégia mais ampla da Microsoft de mirar no ecossistema cibercriminoso e visar as ferramentas que os cibercriminosos usam para lançar seus ataques. Ela tem como base a nossa expansão de um método legal usado com sucesso para interromper operações de malware e de estado-nação. Também fizemos parcerias com outras organizações do setor para aumentar o compartilhamento de informações sobre fraudes e aprimorar ainda mais nossos algoritmos de inteligência artificial e aprendizado de máquina que detectam e sinalizam rapidamente contas fraudulentas.

Como dissemos anteriormente, nenhuma interrupção é concluída em um dia. A perseguição ao crime cibernético exige persistência e vigilância contínua para interromper qualquer nova infraestrutura mal-intencionada. Embora a ação legal de hoje afete as operações do Storm-1152, esperamos que outros agentes de ameaças adaptem suas técnicas como resultado disso. A colaboração contínua dos setores público e privado, como a de hoje com a Arkose Labs e as autoridades policiais dos EUA, continua sendo essencial se quisermos reduzir significativamente o impacto do crime cibernético.