Odvážná akce proti podvodu: Narušení činnosti skupiny Storm-1152

V únoru 2023 zaznamenal Matthew Mesa, Senior Security Researcher v centru Microsoft Threat Intelligence Center (MSTIC), rostoucí výskyt účtů služby Microsoft Outlook používaných v hromadných phishingových kampaních. Mesa v rámci své role analyzuje e-mailové kampaně a hledá podezřelé aktivity. Protože nadále pozoroval nárůst počtu podvodných účtů, položil si otázku: „Můžou být všechny tyto účty vzájemně propojeny?“

Okamžitě vytvořil nový profil aktéra hrozeb s názvem Storm-1152, začal sledovat jeho aktivitu a svá zjištění oznámil týmu společnosti Microsoft pro identity. Shinesa Cambric, hlavní produktová manažerka týmu Microsoftu pro ochranu před zneužíváním a podvody, také sledovala tuto škodlivou aktivitu a zaznamenala nárůst počtu automatizovaných účtů (botů), které se pokoušejí překonat výzvy CAPTCHA používané k ochraně procesu registrace do uživatelských služeb společnosti Microsoft.​

„Můj tým se zaměřuje na prostředí pro běžné uživatele i pro podnikovou sféru, což znamená, že každý den chráníme miliardy účtů před podvody a zneužitím,“ vysvětluje Shinesa Cambric. „Naším úkolem je porozumět metodikám aktérů hrozeb, abychom mohli útoky obcházet a zabránit přístupu do našich systémů. Stále přemýšlíme o prevenci – o tom, jak můžeme aktéry se zlými úmysly zastavit hned na vstupu.“

Její pozornost upoutala rostoucí míra podvodů spojených s touto činností. Když nám pak více stran – partneři Microsoftu i části našeho dodavatelského řetězce – oznamovalo škody způsobené těmito účty Microsoftu vytvořenými boty, začala Shinesa Cambric jednat.

Společně s poskytovatelem kybernetické obrany a správy botů, společností Arkose Labs, pracovala Shinesa Cambric na identifikaci a zakázání podvodných účtů této skupiny a sdílela podrobnosti o své práci s kolegy z oddělení MSTIC společnosti Microsoft a z oddělení Arkose Cyber Threat Intelligence Research (ACTIR) (ACTIR), kteří se zabývají analýzou hrozeb.

„Zpočátku bylo naší úlohou chránit Microsoft před vytvářením škodlivých účtů,“ vysvětluje Patrice Boffa, ředitel pro zákazníky společnosti Arkose Labs, „ale jakmile byla skupina Storm-1152 identifikována, začali jsme také shromažďovat mnoho analytických informací o hrozbách“.

Když tato podvodná činnost v březnu 2023 dosáhla kritické úrovně, zapojili Shinesa Cambric a Patrice Mesa oddělení Digital Crimes Unit (DCU) společnosti Microsoft, aby zjistili, co dalšího by se ještě dalo udělat.

DCU, coby tým Microsoftu pro externí vynucovací opatření, obvykle stíhá pouze nejzávažnější nebo nejvytrvalejší aktéry. Zaměřuje se na narušení jejich činnosti – zvýšení nákladů na jejich podnikání. K tomu slouží především trestní oznámení nebo občanskoprávní žaloby.

Sean Farrell, vedoucí poradce týmu pro potírání kybernetických trestných činů v oddělení DCU společnosti Microsoft, Jason Lyons, hlavní manažer prošetřování v týmu DCU v Microsoftu pro potírání kybernetických trestných činů, a hlavní vyšetřovatel kybernetických trestných činů Maurice Mason se spojili, aby společně pokračovali v dalším vyšetřování. Ve spolupráci s externím právním zástupcem společnosti Microsoft navrhli právní strategii a shromáždili důkazy potřebné k podání občanskoprávní žaloby, přičemž využili poznatky od více týmů v Microsoftu a informace analýzy hrozeb, které shromažďovala společnost Arkose Labs.

„V době, kdy se zapojilo oddělení DCU, už bylo hodně práce hotové,“ vzpomíná Jason Lyons. „Lidé z týmu pro identity a ze společnost Arkose Labs už odvedli významný kus práce při identifikování a zakazování účtů, a protože centrum MSTIC dokázalo propojit podvodné účty s určitými úrovněmi infrastruktury, mysleli jsme si, že to bude dobrý právní případ pro DCU.“

Mezi faktory přispívající k vytvoření určitého případu, který stojí za to řešit, patří existence zákonů, které lze použít v občanskoprávním řízení, existující jurisdikce a ochota dané firmy veřejně uvádět jména osob.

Lyons přirovnal zvažování těchto faktorů k procesu třídění, kdy oddělení DCU zkoumá fakta a informace, které mu pomáhají určit, jestli vše tvoří dobrý případ. „Na základě naší činnosti se ptáme, jestli chceme věnovat čas a energii tomu, abychom podnikli nějaké kroky,“ říká. „Bude dopad odpovídat prostředkům, které do případu musíme vložit?“ Odpověď byla v tomto případě kladná.

Maurice Mason byl pověřen prací na atribuci aktivit kybernetických trestných činů jako služby u skupiny Storm-1152. „Mým úkolem bylo sledovat, jak skupina Storm-1152 prodávala tyto podvodné účty dalším skupinám aktérů hrozeb, a identifikovat osoby, které za skupinou Storm-1152 stojí,“ vysvětluje Maurice Mason.

Díky vyšetřování, která zahrnovalo podrobnou kontrolu stránek sociálních sítí a identifikátorů plateb, se společnostem Microsoft a Arkose Labs podařilo identifikovat osoby, které stojí za skupinou Storm-1152: Duong Dinh Tu, Linh Van Nguyễn (známý také jako Nguyễn Van Linh) a Tai Van Nguyen.

Podle jejich zjištění tyto osoby provozovaly a psaly kód pro nelegální weby, zveřejňovaly podrobné videonávody s postupy používání jejich produktů a poskytovaly chatové služby na pomoc těm, kteří jejich podvodné služby využívali. Pak byla dále prověřována technická infrastruktura této skupiny, u které se týmu podařilo najít propojení s hostiteli v USA.

Farrel popisuje rozhodnutí pokračovat v případu takto: „Tady jsme měli štěstí díky skvělé práci týmů, které identifikovaly aktéry, kteří vytvořili danou infrastrukturu a kriminální služby.

Jedním z důvodů, proč v DCU podnikáme tyto kroky, je zabránit dopadu činnosti těchto kyberzločinců. Dosahujeme toho podáváním žalob nebo podáváním trestních oznámení, která vedou k zatčením a trestním stíháním. Myslím, že je to velmi silný signál, když jste schopni identifikovat příslušné aktéry a veřejně je označit v soudních spisech ve Spojených státech.“​​

Sean Farrell při úvahách o výsledku vyšetřování skupiny Storm-1152 a narušení její činnosti poznamenává, že tento případ je důležitý nejen kvůli jeho dopadu na nás a další postižené společnosti, ale také kvůli snaze společnosti Microsoft pracovat s dopadem těchto operací, které jsou součástí celkového ekosystému kybernetických trestných činů jako služby.