Рішучі заходи проти шахрайства: зрив роботи Storm-1152

У лютому 2023 р. Метью Меса, старший дослідник безпеки в Центрі Аналізу загроз Microsoft, виявив закономірність, що облікові записи Microsoft Outlook усе частіше використовують у масштабних фішингових кампаніях. Його робота полягає в аналізі кампаній електронною поштою та пошуку підозрілої активності. Метью помітив, що почастішали випадки використання фальшивих облікових записів і запитав себе, чи є між ними зв’язок?

Він негайно створив профіль нового джерела загрози, Storm-1152, і почав відстежувати його діяльність і ділитися своїми знахідками з командою корпорації Майкрософт з ідентифікації. Шинеза Камбрік, головна менеджерка з продуктів у команді корпорації Майкрософт із боротьби з шахрайством і зловживаннями, також відстежувала активність цих хакерів і помітила зростання кількості автоматичних облікових записів (ботів), що намагалися обійти тест CAPTCHA, яким захищено процес реєстрації в споживчих службах Microsoft.​

"Моя команда зосереджена на службах для окремих користувачів і корпоративних клієнтів. Це означає, що ми щодня захищаємо мільйони облікових записів від шахрайства та зловживань, – пояснює Камбрік. – Наше завдання – зрозуміти методи джерела загрози, щоб запобігти атакам і несанкціонованому доступу до наших систем. Ми завжди думаємо на випередження: як зупинити зловмисника ще до початку атаки".

Її увагу привернуло зростання випадків шахрайства з обліковими записами. Коли з різних джерел (від партнерів корпорації Майкрософт і компаній з нашого ланцюжка постачання) надійшли повідомлення про шкоду, заподіяну обліковими записами Microsoft, які створили боти, Камбрік почала діяти.

Спільно з Arkose Labs, постачальником рішень для кібербезпеки й керування ботами, команда Камбрік намагалася ідентифікувати й заблокувати підроблені облікові записи групи й надавала відомості про свою роботу колегам із Центру Аналізу кіберзагроз Microsoft і відділу Arkose Labs із вивчення кіберзагроз.

"Спочатку ми мали тільки запобігати створенню фальшивих облікових записів Microsoft, – пояснює Патріс Боффа, головна спеціалістка з роботи з клієнтами компанії Arkose Labs, – але після того, як було ідентифіковано групу Storm-1152, ми почали збирати багато даних для аналізу кіберзагроз".

Коли діяльність шахраїв набула неймовірного розмаху в березні 2023 року, Камбрік і Меса почали шукати нові шляхи їх зупинити та звернулися до підрозділу корпорації Майкрософт із боротьби з кіберзлочинністю.

Цей підрозділ, який слідкує за дотриманням юридичних прав корпорації Майкрософт за її межами, зазвичай має справу із серйозними джерелами загроз. Він перешкоджає роботі зловмисників, підвищуючи їхні витрати на ведення незаконного бізнесу. І головними інструментами для цього є кримінальні провадження та цивільні судові позови.

Шон Фаррелл (головний спеціаліст юридичної команди в підрозділі корпорації Майкрософт із боротьби з кіберзлочинністю), Джейсон Лайонс (керівник розслідувань юридичної команди в підрозділі корпорації Майкрософт із боротьби з кіберзлочинністю) і Моріс Мейсон (старший слідчий у сфері кіберзлочинності) об’єднали зусилля для подальшої роботи над цією справою. Вони координували зусилля із зовнішніми юридичними радниками корпорації Майкрософт, щоб розробити стратегію, і зібрали всі необхідні докази для подання цивільного позову, зокрема аналітичні висновки різних команд корпорації Майкрософт і відділу аналізу кіберзагроз компанії Arkose Labs.

"На момент, коли в гру вступив підрозділ корпорації Майкрософт із боротьби з кіберзлочинністю, було зроблено вже чимало", – пригадує Лайонс. – Команда корпорації Майкрософт з ідентифікації й компанія Arkose Labs уже добре попрацювали над ідентифікацією та блокуванням облікових записів. Оскільки спеціалісти Центру Аналізу загроз Microsoft змогли пов’язати підроблені облікові записи з певними рівнями інфраструктури, ми були впевнені, що це стане міцною основою для судового позову".

Серед факторів, які сприяють формуванню юридичної справи можна виділити такі: наявність законів, на які посилається цивільний позов, наявність юрисдикції та готовність компанії публічно називати зловмисників.

Лайонс порівняв це з процесом медичного сортування, коли спеціалісти підрозділу боротьби з кіберзлочинністю вивчили факти й відомості, щоб переконатися, чи вони є достатнім підґрунтям для юридичного переслідування. "Зі специфікою нашої роботи ми маємо визначити, чи варто витрачати час і ресурси на певну справу, – каже він. – Чи виправдає результат наші зусилля?" У цьому випадку відповідь – так.

Завданням Мейсона було пов’язати діяльність Storm-1152 з наданням кіберзлочину як послуги. "Я мав відстежувати, як Storm-1152 продає підроблені облікові записи іншим джерелам загроз, та ідентифікувати осіб, які стоять за цією групою", – пояснює Мейсон.

За час розслідування, яке передбачало перевірку сторінок у соцмережах і платіжних ідентифікаторів, корпорація Майкрософт і Arkose Labs змогли встановити, хто стоїть за групою Storm-1152. Це Дуонг Дінь Ту, Лін Ван Нгуєн (також відомий як Нгуєн Ван Лін) і Тай Ван Нгуєн.

Знахідки вказують на те, що ці особи писали код для нелегальних вебсайтів, публікували детальні покрокові відеоінструкції з використання їхніх незаконних послуг і консультували своїх замовників у чаті. Крім того, ми також установили зв’язки з технічною інфраструктурою зловмисників, простеживши її до хостів у США.

Фаррелл так пояснює рішення займатися справою: "У цьому випадку нам пощастило, тому що команди виконали велику роботу, ідентифікувавши осіб, які налагодили інфраструктуру й надавали незаконні послуги.

Однією з причин, чому підрозділ корпорації Майкрософт із боротьби з кіберзлочинністю відстежує цю діяльність, є необхідність знижувати вплив таких кіберзлочинців. Тому ми подаємо судові позови та ініціюємо кримінальні провадження, які закінчуються арештами й справедливими вироками. Думаю – це потужне послання, коли вдається ідентифікувати виконавців злочину й публічно притягнути їх до відповідальності в суді США".​​

Розмірковуючи про результат розслідування та припинення роботи Storm-1152, Фаррелл наголошує, що ця справа дуже важлива не лише з огляду на її вплив на різні компанії, але й через те, що корпорація Майкрософт доклала чималих зусиль для визначення наслідків цих злочинних операцій, які є частиною екосистеми "кіберзлочин як послуга".