Ação arrojada contra a fraude: Desfazer o Storm-1152

Em fevereiro de 2023, Matthew Mesa, Investigador de Segurança Superior no Centro de Informações sobre Ameaças da Microsoft (MSTIC), observou um padrão crescente de contas do Microsoft Outlook a ser utilizadas em campanhas de phishing em massa. Na sua função, Mesa analisa campanhas de e-mail e procura atividade suspeita. À medida que continuou a ver um aumento na utilização de contas fraudulentas, perguntou-se a si mesmo: “estas contas podem estar relacionadas umas com as outras?”

Criou imediatamente um novo perfil de ator de ameaças, Storm-1152, e começou a monitorizar a sua atividade e sinalizou as suas descobertas à equipa de Identidade da Microsoft. Shinesa Cambric, Gestora de Produtos Superior da Equipa de Defesa Contra Abuso e Fraude da Microsoft, também estava a monitorizar esta atividade maliciosa e tinha reparado num aumento em contas automatizadas (bots) a tentar passar pelos desafios de CAPTCHA utilizados para proteger o processo de inscrição em serviços para consumidores da Microsoft.​​

“A minha equipa concentra-se tanto na nossa experiência de consumidor como na nossa experiência empresarial, o que significa que estamos a proteger milhares de milhões de contas todos os dias contra fraude e abuso,” explica Cambric. “A nossa função é compreender as metodologias dos atores de ameaças para que possamos evitar ataques e prevenir o acesso aos nossos sistemas. Estamos sempre a pensar em prevenção, sobre como podemos parar maus atores no início.”

O que lhe chamou a atenção foi o nível crescente de fraude relacionada com a atividade. Quando várias partes, parceiros da Microsoft e partes da nossa cadeia de fornecimento, comunicaram o dano resultante destas contas Microsoft criadas por bots, Cambric começou a batalha.

Juntamente com a Arkose Labs, fornecedor de defesa de cibersegurança e gestão de bots, a equipa de Cambric trabalhou para identificar e desativar as contas fraudulentas do grupo e partilhou detalhes do seu trabalho com colegas de informações sobre ameaças na MSTIC da Microsoft e a unidade de Pesquisa de Informações Sobre Ameaças da Arkose (ACTIR).

“Inicialmente, a nossa função era proteger a Microsoft contra a criação maliciosa de contas,” explica Patrice Boffa, Diretora de Clientes da Arkose Labs, “Mas quando o Storm-1152 foi identificado como grupo, também começámos a recolher muitas das informações sobre ameaças.”

Quando a atividade fraudulenta atingiu um nível de crise em março de 2023, Cambric e Mesa envolveram a Unidade de Crimes Digitais (DCU) da Microsoft para ver o que mais se podia fazer.

Enquanto ramo de imposição externa da Microsoft, a DCU normalmente só persegue os atores mais sérios ou persistentes. Concentra-se na disrupção, aumentar o custo de operar, para a qual as referências criminosas e/ou ações civis nos tribunais são as principais ferramentas.

Sean Farrell, Advogado Líder da equipa de Imposição de Cibercrime na DCU da Microsoft, Jason Lyons, Gestor Principal de Investigações na Equipa de Imposição de Cibercrime da DCU na Microsoft e Maurice Mason, Investigador Cibernético Superior, juntaram-se para investigar mais. Coordenaram com os advogados externos da Microsoft para conceber uma estratégia jurídica e reuniram as provas necessárias para dar entrada a uma ação civil nos tribunais, obtendo informações de várias equipas na Microsoft e as informações sobre ameaças que a Arkose Labs estava a recolher.

“Muito do trabalho já tinha sido feito quando a DCU se envolveu”, lembra Lyons. “A equipa de Identidade e a Arkose Labs já tinham feito trabalho significativo na identificação e desativação de contas, e uma vez que a MSTIC foi capaz de ligar as contas fraudulentas a determinados níveis de infraestrutura, pensámos que este seria um bom caso jurídico para a DCU.”

Alguns dos fatores que contribuem para a formação de um caso que vale a pena processar incluem ter leis que podem se reutilizadas numa ação civil, ter jurisdição e a disponibilidade da empresa para divulgar publicamente o nome de indivíduos.

Lyons comparou a consideração destes fatores a um processo de triagem, em que a DCU examinou os factos e informações para ajudar a determinar se tudo constituía um bom caso. “Com base no que fazemos, perguntamos se queremos dedicar o nosso tempo e energia para agir,” diz. “O impacto vale os recursos que temos de utilizar?” A resposta neste caso era sim.

Mason foi incumbido de trabalhar na atribuição das atividades de cibercrime como serviço do Storm-1152. “A minha função foi monitorizar como o Storm-1152 vendia estas contas fraudulentas a outros grupos atores de ameaças e identificar os indivíduos por trás do Storm-1152,” explica Mason.

Através do seu trabalho de investigação, que incluiu uma revisão detalhada das páginas de redes sociais e dos identificadores de pagamento, a Microsoft e a Arkose Labs puderam identificar os indivíduos por trás do Storm-1152: Duong Dinh Tu, Linh Van Nguyễn (também conhecido como Nguyễn Van Linh) e Tai Van Nguyen.

As suas conclusões mostram que estes indivíduos operavam e escreviam o código para os sites ilícitos, publicavam instruções detalhadas passo a passo sobre como utilizar os seus produtos através de tutoriais em vídeo e forneciam serviços de chat para ajudar aqueles que utilizavam os seus serviços fraudulentos. Foram depois feitas ligações adicionais à infraestrutura técnica do grupo, que a equipa pôde localizar em anfitriões nos EUA.

Descrevendo a decisão para avançar com o caso, Farrell diz, “Aqui tivemos sorte devido ao grande trabalho das equipas, que tinham identificado os atores que tinham montado a infraestrutura e os serviços criminosos.

Uma das razões para procurarmos estas ações na DCU é para dissuadir o impacto destes cibercriminosos. Fazemos isto ao dar entrada a processos legais ou ao fornecer referências criminosas que levam a detenções e ações judiciais. Acho que dá um exemplo forte quando se é capaz de identificar os atores e identificá-los publicamente em processos jurídicos nos Estados Unidos.”​​​

Refletindo sobre o resultado da investigação e da disrupção do Storm-1152, Farrell nota que o caso é importante não só devido ao seu impacto para nós e para as outras empresas afetadas, mas também devido ao esforço da Microsoft para dimensionar o impacto destas operações, que fazem parte do ecossistema de cibercrime como serviço geral.