Azione di rilievo contro le frodi: arrestare Storm-1152

A febbraio 2023, Matthew Mesa, Senior Security Researcher del Threat Intelligence Center (MSTIC) di Microsoft, ha osservato uno schema crescente di account Microsoft Outlook usati nelle campagne di phishing di massa. Nel suo ruolo, Mesa analizza le campagne di posta elettronica e cerca eventuale attività sospetta. Poiché continuava a osservare una crescita dell'uso di account fraudolenti, si è chiesto: "tutti questi account potrebbero essere correlati tra loro?"

Ha immediatamente creato un nuovo profilo dell'attore di minacce, Storm-1152 e ha iniziato a monitorarne l'attività e ha segnalato le sue scoperte al team che si occupa di identità di Microsoft. Anche Shinesa Cambric, Principal Product Manager dell'Anti-Abuse and Fraud Defense Team di Microsoft stava monitorando questa attività dannosa e aveva notato un aumento degli account automatizzati (bot) che provavano a superare le verifiche CAPTCHA usate per proteggere il processo di iscrizione ai servizi per gli utenti Microsoft.​

"Il mio team si è concentrato sia sull'esperienza utente sia sull'esperienza aziendale, il che significa che stiamo proteggendo ogni giorno miliardi di account da frode e abuso", ha spiegato Cambric. "Il nostro ruolo è quello di comprendere le metodologie degli attori di minacce affinché possiamo evitare gli attacchi e impedire l'accesso ai nostri sistemi. Pensiamo sempre alla prevenzione, a come poter fermare gli attori malintenzionati alla porta di ingresso".

Cosa ha destato la sua attenzione è stato il crescente livello di frode correlato all'attività. Quando più parti, i partner Microsoft e alte parti della nostra catena di approvvigionamento, ci hanno contattato per segnalare il danno causato da questi account Microsoft creati da bot, Cambric è entrata in azione.

Insieme al provider di difesa della cybersecurity e di gestione dei bot Arkose Labs, il team di Cambric ha lavorato per identificare e disabilitare gli account fraudolenti del gruppo e ha condiviso i dettagli del proprio lavoro con i colleghi che si occupano di intelligence sulle minacce nel MSTIC di Microsoft e l'unità Arkose Cyber Threat Intelligence Research (ACTIR).

"Inizialmente il nostro ruolo era quello di proteggere Microsoft dalla creazione di account dannosi", spiega Patrice Boffa, Chief Customer Officer di Arkose Labs; "Tuttavia, una volta che Storm-1152 è stato identificato come gruppo, abbiamo anche iniziato a raccogliere molta intelligence sulle minacce".

Quando l'attività fraudolenta ha raggiunto il punto massimo a marzo 2023, Cambric e Mesa hanno coinvolto la Digital Crimes Unit (DCU) di Microsoft per vedere cosa si poteva fare.

In quanto braccio di tutela esterno di Microsoft, la DCU generalmente persegue solo gli attori più seri o persistenti. Si concentra sull'interruzione, aumentando i costi dell'attività, per cui le azioni penali e/o le cause civili rappresentano gli strumenti principali.

Sean Farrell, Lead Counsel per il team di Cybercrime Enforcement nella DCU di Microsoft, Jason Lyons, Principal Manager of Investigations nel team Cybercrime Enforcement della DCU di Microsoft e il Senior Cyber Investigator Maurice Mason hanno unito le forze per indagare ulteriormente. Hanno coordinato il consiglio esterno di Microsoft per progettare una strategia legale e hanno messo insieme le prove necessarie per avviare un'azione civile, ottenendo informazioni dettagliate da più team Microsoft e l'intelligence sulle minacce raccolta da Arkose Labs.

"Era stato già fatto molto lavoro prima che la DCU venisse coinvolta", ha ricordato Lyons. "Il team che si occupa di identità e Arkose Labs avevano già fatto un lavoro significativo nell'identificazione e disabilitazione degli account e, poiché MSTIC era in grado di collegare gli account fraudolenti ad alcuni livelli dell'infrastruttura, abbiamo pensato che fosse un buon caso legale per la DCU".

Alcuni dei fattori che contribuiscono alla formazione di un caso che vale la pena perseguire includono la disponibilità di leggi che possono essere usate in un'azione civile, la giurisdizione e la volontà dell'azienda di individuare pubblicamente i soggetti.

Lyons ha paragonato la considerazione di tali fattori a un processo di triage, in cui la DCU esamina i fatti e le informazioni per determinare se si tratta di un buon caso. "In base a quello che facciamo, ci chiediamo se desideriamo spendere tempo ed energie nell'operazione", ha detto. "L'impatto che avrà sarà valso le risorse che avremo utilizzato?" La risposta in questo caso era sì.

Mason è stato incaricato di lavorar sull'attribuzione delle attività di cybercrime-as-a-service di Storm-1152. "Il mio ruolo consisteva nel monitorare in che modo Storm-1152 aveva venduto questi account fraudolenti ad altri gruppi dell'attore di minacce e identificare i soggetti dietro Storm-1152", ha spiegato Mason.

Attraverso il loro lavoro investigativo, che ha incluso un controllo approfondito delle pagine dei social media e degli identificativi di pagamento, Microsoft e Arkose Labs sono state in grado di identificare i soggetti dietro Storm-1152: Duong Dinh Tu, Linh Van Nguyễn (noto anche come Nguyễn Van Linh) e Tai Van Nguyen.

I loro dati dimostrano che questi individui hanno utilizzato e scritto il codice dei siti web illeciti, pubblicato istruzioni dettagliate su come usare i loro prodotti tramite videotutorial e fornito servizi di chat per assistere gli utenti dei servizi fraudolenti. Sono stati effettuati altri collegamenti all'infrastruttura tecnica del gruppo, che il team è stato in grado di localizzare negli Stati Uniti.

Descrivendo la decisione di andare avanti con il caso, Ferrel ha affermato, "Qui siamo stati fortunati grazie all'enorme lavoro dei team, che hanno identificato gli attori che avevano creato l'infrastruttura e i servizi criminali.

Uno dei motivi per i quali perseguiamo tali azioni nella DCU è quello di ridurre l'impatto di questi criminali informatici. Lo facciamo avviando cause legali o azioni penali che portano ad arresti e accuse formali. Penso che riuscire a identificare gli attori e a identificarli pubblicamente in azioni legali negli Stati Uniti rappresenti un messaggio molto forte".​​

Riflettendo sul risultato dell'indagine e della chiusura di Storm-1152, Farrel nota che il caso è importante non solo per il suo impatto su di noi e sulle altre aziende interessate, ma per lo sforzo di Microsoft di scalare l'impatto di queste operazioni, che fanno parte dell'ecosistema di cybercrime-as-a-service complessivo.