Trace Id is missing

Frimodig handling mot svindel: Forstyrring av Storm-1152

Del
Et fargerikt utvalg av sirkler med forskjellige ikoner.

Oversikt

I mars 2023 opplevde en stor Microsoft-kunde en serie med spam og cyber-angrep som forårsaket avbrudd i kundens systemer.

Grunnen? En stormflod av uredelig opprettede Microsoft Outlook- og Hotmail-kontoer som forsøker å høste fordelene av kundens tjenester som tilbys som testprøver til potensielle brukere, selv om disse falske kontoene ikke hadde noen intensjon om å betale for disse tjenestene. Som et resultat, blokket kunden alle nye kontoopprettelser fra Microsoft Outlook og Hotmail-adresser.

Det som faktisk var bak dette angrepet, var et større og svindelbasert firma basert i Vietnam - en gruppe Microsoft kaller Storm-1152.

Storm-1152 driver ulovlige nettsteder og sosiale mediesider, selger uredelige Microsoft-kontoer og verktøy, for å omgå programvare for identitetskontroll på tvers av velkjente teknologiplattformer. Disse tjenestene reduserer tiden og innsatsen som er nødvendig, for at kriminelle skal kunne gjennomføre en rekke kriminell og krenkende atferd på nettet. Frem til i dag har Storm-1152 laget omtrent 750 millioner uredelige Microsoft-kontoer for salg, og konsernet har hatt flere millioner dollar i ulovlig omsetning, noe som har kostet Microsoft og andre selskaper enda mer for å bekjempe den kriminelle aktiviteten.

Det viser seg at flere grupper brukte kontoer fra Storm-1152 til å delta i løsepengevirus, datatyveri og utpressing inkludert​ Octo Tempest, Storm-0252, Storm-0455, med flere. Kontosalgsvirksomheten gjorde den til en av de største leverandørene av nettkriminalitet-som-en-tjeneste på nettet.

Microsoft hadde sporet økningen av denne ondsinnede aktiviteten siden 2022, og økt bruken av maskinlæringsalgoritmer for å forhindre og oppdage observerte mønstre for opprettelsen av disse uredelige kontoene. Våren 2023 markerte imidlertid et vendepunkt på grunn av det eskalerende misbruket av Microsoft og partnerplattformer. Dette krevde en mer aggressiv handling og det ble opprettet et kryssfungerende team på tvers av Microsoft og vår partner Arkose Labs.

Umiddelbart etter handlingen observerte vi en nedgang på omtrent 60 % i registreringstrafikken. Denne nedgangen matcher de 60 % eller mer av nye registreringer som vår algoritme eller partnere har identifisert som misbruk, og som ble umiddelbart suspendert fra Microsofts tjenester. 

Dette koordinerte engasjementet resulterte i at Microsoft Digital Crimes Unit (DCU) toksine førsterettslige skritt i desember 2023 for å beslaglegge og stenge nettstedene Storm-1152 brukte for å selge tjenestene sine. Umiddelbart etter handlingen observerte vi en nedgang på omtrent 60 % i registreringstrafikken. Denne nedgangen matcher de 60 % eller mer av nye registreringer som vår algoritme eller partnere har identifisert som misbruk, og som ble umiddelbart suspendert fra Microsofts tjenester. Den 23. juli anla vi en ny sivil søksmål for å forstyrre ny infrastruktur som gruppen hadde forsøkt å sette opp etter søksmålet vårt i desember.

Denne nye trusselrapporten går bak kulissene om hvordan handlingen gikk ned og fremhever viktigheten av å samarbeide på tvers av industrien for å gå etter cybertrusler. Saken er et eksempel på hvordan industrien kan bruke juridiske kanaler for å avskrekke andre grupper og holde enkeltpersoner trygge på nettet Det taler også om viktigheten av pågående forstyrrelser og hvordan rettslige handlinger forblir en effektiv metode mot nettkriminelle, selv når de endrer taktikk. Men når alt er sagt, er ingen operasjon en “one-and-done”.

Oppdagelsen og identifisering av Storm-1152

I februar 2023 observerte Matthew Mesa, senior sikkerhetsforsker i Microsofts Threat Intelligence Center (MSTIC), et økende mønster av Microsoft Outlook-kontoer som ble brukt i massephishingkampanjer. I sin rolle analyserer Mesa e-postkampanjer, og ser etter mistenkelig aktivitet. Da han fortsatte å se en økning i bruken av uredelige kontoer, spurte han seg selv: "kan alle disse kontoene være relatert til hverandre?"

Han opprettet umiddelbart en ny trusselaktørprofil, Storm-1152, og begynte å spore aktiviteten og flagget funnene sine til Microsofts identitetsteam. Shinesa Cambric, hovedproduktsjef for Microsofts anti-misbruk og svindelforsvarsteam, hadde også sporet denne ondsinnede aktiviteten og hadde lagt merke til en økning av automatiserte kontoer (eller bots) som forsøkte å overvinne CAPTCHA-utfordringene som ble brukt for å beskytte registreringsprosessen for Microsoft-forbrukere tjenester.​

"Teamet mitt fokuserer både på forbrukeropplevelsen vår så vel som vår bedriftsopplevelse, noe som betyr at vi beskytter milliarder av kontoer hver dag mot svindel og misbruk," forklarer Cambric. “Vår rolle er å forstå trusselaktørens metodologier slik at vi kan omgå angrep og forhindre tilgang til systemene våre. Vi tenker alltid på forebygging – på hvordan vi kan stoppe skadelige aktører ved inngangsdøren.”

Det som fanget oppmerksomheten hennes var det stadig voksende nivået av svindel som var relatert til denne aktiviteten. Da flere parter – Microsoft-partnere så vel som deler av forsyningskjeden vår – tok kontakt for å rapportere skaden som følge av disse bot-skapte Microsoft-kontoene, gikk Cambric i gang.

Sammen med cybersikkerhetsforsvaret og leverandøren av botadministrasjon Arkose Labs, jobbet Cambrics team for å identifisere og deaktivere gruppens falske kontoer, og delte detaljer om arbeidet deres med trusseletterretningskolleger i Microsofts MSTIC og Arkose Cyber ​​Threat Intelligence Research-enhet (ACTIR).

“Vår rolle er å forstå trusselaktørens metodologier slik at vi kan omgå angrep og forhindre tilgang til systemene våre. Vi tenker alltid på forebygging – på hvordan vi kan stoppe skadelige aktører ved inngangsdøren.” 
Shinesa Cambric 
Principal Product Manager, Anti-Abuse and Fraud Defense Team, Microsoft 

"Til å begynne med var vår rolle å beskytte Microsoft mot ondsinnet kontooppretting," forklarer Arkose Labs Chief Customer Officer Patrice Boffa, "Men når Storm-1152 ble identifisert som en gruppe, begynte vi også å samle inn mye av trusselinformasjonen."

Forstå Storm-1152

Som en økonomisk motivert gruppe under utvikling, skilte Storm-1152 seg ut som uvanlig godt organisert og profesjonell med sine tilbud om cyberkriminalitet som en tjeneste (CaaS). Storm-1152 opererte som et legitimt selskap og kjørte sin ulovlige CAPTCHA-løsningstjeneste på høylys dag.

"Hvis du ikke var klar over at dette var en ondsinnet organisasjon, kan du sammenligne det med et hvilket som helst annet SaaS-selskap," 
Patrice Boffa
Chief Customer Officer, Arkose Labs

"Hvis du ikke var klar over at dette var en ondsinnet organisasjon, kan du sammenligne det med et hvilket som helst annet SaaS-selskap," sier Boffa, og legger til at Storm-1152s AnyCAPTCHA.com hadde en offentlig vendt nettside, aksepterte kryptovalutabetalinger gjennom PayPal, og til og med tilbød en støttekanal.

Denne tjenesten brukte roboter for å høste CAPTCHA-tokens i store kvantum, som ble solgt til kunder, som deretter brukte tokenene til upassende formål (for eksempel masseoppretting av uredelige Microsoft-kontoer for senere bruk i nettangrep) før de utløp. Forsøkene på å opprette uredelige kontoer skjedde så raskt og effektivt at Arkose Labs-teamet konkluderte med at gruppen brukte automatisert maskinlæringsteknologi. 

"Da vi opplevde tempoet i tilpasningen deres til vår avbøtende innsats, skjønte vi at mange av angrepene deres var KI-basert," sa Boffa. "Sammenlignet med andre motstandere som vi har sett, brukte Storm-1152 KI på innovative måter." Arkose Labs og Microsoft-team var i stand til å observere en endring i forretningstaktikk som en måte å tilpasse seg økt oppdagelses- og forebyggende innsats.

Opprinnelig fokuserte Storm-1152 på å tilby tjenester for kriminelle for å omgå sikkerhetsforsvar for andre teknologiselskaper, med​Microsoft​ var det største offeret. Storm-1152 tilbød tjenester for åomgå​​ forsvar for å opprette uredelige kontoer, og så tilbød de en ny tjeneste etter at dette ble oppdaget. I stedet for å tilby verktøy for å omgå forsvar for kontooppretting, endret gruppen taktikk ved å bruke sine egne bot-høstede CAPTCHA-bekjempende tokens for å opprette uredelige Microsoft-kontoer for videresalg.

"Det vi observerte ved Storm-1152 er typisk," sier Boffa. Hver gang du oppdager en trusselaktør, prøver de noe annet. Å ligge et steg foran er en lek med katt og mus.”

Å bygge en rettssak mot Storm-1152

Da den uredelige aktiviteten nådde et kokepunkt i mars 2023, engasjerte Cambric og Mesa Microsofts Digital Crimes Unit (DCU) for å se hva mer som kunne gjøres.

Som Microsofts eksterne håndhevingsarm forfølger DCU vanligvis bare de mest seriøse eller vedvarende aktørene. Den fokuserer på forstyrrelser som øker kostnadene ved å gjøre forretninger – slik som kriminelle henvisninger og/eller sivile søksmål er primære verktøy for.

Sean Farrell, Lead Counsel for Cybercrime Enforcement-teamet i Microsofts DCU, Jason Lyons, Principal Manager of Investigations i DCU Cybercrime Enforcement Team hos Microsoft og senior cyber-etterforsker Maurice Mason gikk sammen for å undersøke videre. De koordinerte med Microsofts eksterne rådgivere for å utforme en juridisk strategi og samlet bevisene som kreves for å inngi et sivilt søksmål, og hentet innsikt fra flere team på tvers av Microsoft og trusseletterretningen Arkose Labs samlet inn.

"Mye av jobben var allerede gjort da DCU ble involvert," minnes Lyons. "Identity-teamet og Arkose Labs hadde allerede gjort betydelig arbeid med å identifisere og deaktivere kontoer, og fordi MSTIC var i stand til å koble de falske kontoene til visse nivåer av infrastruktur, trodde vi at dette ville være en god DCU-rettssak."

Noen av faktorene som bidrar til dannelsen av en sak som er verdt å forfølge inkluderer å ha lover som kan brukes i et sivilt søksmål, ha jurisdiksjon og selskapets vilje til å offentlig navngi enkeltpersoner.

Lyons sammenlignet vurderingen av disse faktorene med en triage-prosess, der DCU undersøkte fakta og informasjon for å hjelpe det å avgjøre om alt utgjorde en god sak. "Basert på hva vi gjør, spør vi om vi vil bruke tid og energi på å iverksette tiltak," sier han. “Vil virkningen være verdt resurssene vi må benytte her?” Svaret i denne saken var ja.

Mason fikk i oppgave å jobbe med å tilskrive Storm-1152s nettkriminalitet som en tjeneste aktiviteter. "Min rolle var å spore hvordan Storm-1152 solgte disse uredelige kontoene til andre trusselaktørgrupper og identifisere personene bak Storm-1152," forklarer Mason.

Gjennom deres etterforskningsarbeid, som inkluderte en dyp gjennomgang av sosiale medier-sider og betalingsidentifikatorer, var Microsoft og Arkose Labs i stand til å identifisere personene bak Storm-1152 — Duong Dinh Tu, Linh Van Nguyễn (også kjent som Nguyễn Van Linh), og Tai Van Nguyen.

Funnene våre viser at disse enkeltpersonene drev og skrev koden for de ulovlige nettstedene, publiserte trinnvise instruksjoner for hvordan produktene skulle brukes via videoopplæringer, og leverte chattjenester for å hjelpe de som brukte de uredelige tjenestene. Ytterligere forbindelser ble deretter opprettet til gruppens tekniske infrastruktur, som teamet var i stand til å identifisere til USA-baserte verter.

"En av grunnene til at vi forfølger disse handlingene i DCU er å avskrekke virkningen av disse nettkriminelle. Vi gjør dette ved å reise søksmål eller ved å gi kriminelle henvisninger som fører til arrestasjoner og rettsforfølgelse.”
Sean Farrell 
Ledende rådgiver, team for håndhevelse av nettkriminalitet; Microsoft

Farrell beskriver beslutningen om å gå videre med saken: «Her var vi heldige på grunn av det store arbeidet til teamene, som hadde identifisert aktørene som hadde satt opp infrastrukturen og de kriminelle tjenestene.

En av grunnene til at vi forfølger disse handlingene i DCU er å avskrekke virkningen av disse nettkriminelle. Vi gjør dette ved å reise søksmål eller ved å gi kriminelle henvisninger som fører til arrestasjoner og rettsforfølgelse. Jeg tror det sender et veldig sterkt budskap når du er i stand til å identifisere skuespillerne og identifisere dem offentlig i rettslige prosesser i USA.”​​

Storm-1152 dukker opp igjen og en andre rettslig handling​

Mens teamet så en umiddelbar nedgang i infrastrukturen etter forstyrrelsen i desember 2023, dukket Storm-1152 opp igjen og lanserte et nytt nettsted kalt RockCAPTCHA og nye veiledningsvideoer for å hjelpe kundene sine. RockCAPTCHA målrettet sine angrep mot Microsoft ved å tilby tjenester spesielt utviklet for å prøve å overvinne CAPTCHA-sikkerhetstiltakene til Arkose Labs. Julys handling gjorde det mulig for Microsoft å ta kontroll over dette nettstedet og sende et nytt slag til skuespillerne.

Arkose Cyber ​​Threat Intelligence Research Unit (ACTIR) tok også en nærmere titt på hvordan Storm-1152 forsøkte å gjenoppbygge tjenestene deres. De observerte gruppen ved å bruke mer sofistikerte taktikker, inkludert å intensivere utnyttelsen av kunstig intelligens (KI), for å skjule aktiviteten deres og unngå oppdagelse. Denne gjenoppblomstringen er en indikasjon på endringene som skjer i trussellandskapet og demonstrerer de avanserte egenskapene til angripere som er godt kjent med KI-teknologier. 

Et av hovedområdene hvor Storm-1152 har integrert KI er unnvikelsesteknikker. Arkose Labs har sett at gruppen benytter seg av KI for å syntetisk generere menneskeaktige signaturer.

Vikas Shetty er produktsjef for Arkose Labs og leder trusselforskningsenheten ACTIR. “Bruken av KI-modeller lar angriperne trene systemer som avgir disse menneskelignende signaturene, som deretter kan brukes i stor skala til angrep”, forteller Shetty. "Kompleksiteten og variasjonen til disse signaturene gjør det vanskelig for tradisjonelle oppdagelsessmetoder å følge med."

Dessuten observerte Arkose Labs Storm-1152 som forsøkte å rekruttere og ansette KI-ingeniører, inkludert masterstudenter, PhD-kandidater og til og med professorer i land som Vietnam og Kina.

"Disse personene får betalt for å utvikle avanserte KI-modeller som kan unngå sofistikerte sikkerhetstiltak. Kompetansen til disse KI-ingeniørene sikrer at modellene ikke bare er effektive, men også kan tilpasses nye sikkerhetsprotokoller, sier Shetty.

Å forbli vedvarende er nøkkelen til en meningsfull forstyrrelse av nettkriminelle operasjoner, og det samme er å holde styr på hvordan nettkriminelle opererer og bruker ny teknologi.

"Vi må fortsette å være utholdende og ta handlinger som gjør det vanskeligere for kriminelle å tjene penger," sa Farrell. "Dette er grunnen til at vi anla en ny rettssak for å ta kontroll over dette nye domenet. Vi må sende et budskap om at vi ikke tolererer aktivitet som ønsker å skade våre kunder og enkeltpersoner på nettet.”

Erfaringer og fremtidige implikasjoner

Farrell reflekterer over resultatet av Storm-1152-etterforskningen og avbruddet, og bemerker at saken er viktig ikke bare på grunn av dens innvirkning på oss og de andre berørte selskapene, men på grunn av Microsofts innsats for å skalere virkningen av disse operasjonene, som er en del av det samlede økosystemet for nettkriminalitet som en tjeneste.

Et sterkt budskap til offentligheten

«Å vise at vi kunne bruke de juridiske spakene vi har brukt så effektivt på skadelig programvare-angrep og nasjonalstatsoperasjoner, har ført til en betydelig reduksjon eller utbedring av aktørens aktivitet, som har stupt til nesten null i ganske lang tid etter at vi sendte inn dokumentet. søksmål, sier Farrell. "Jeg tror fra dette vi så at du kan ha reell avskrekking, og budskapet publikum får ut av det er viktig - ikke bare for virkningen, men for det større beste for nettsamfunnet."

Nye tilgangsvektorer i identitet

En annen viktig observasjon har vært et generelt skifte fra trusselaktører som prøver å kompromittere endepunkter, men som heller går etter identiteter.  Vi ser med de fleste angrep med løsepengevirus at trusselaktørene benytter seg av stjålne eller kompromitterte identiteter som sine første angrepsvektorer.
“Denne trenden viser hvordan identitet kommer til å ta over som den første tilgangsvektoren for fremtidige hendelser”, forteller Mason. "CISOer vil kanskje ta en mer seriøs holdning til identitet når de modellerer for organisasjonene deres - fokuser mer på identitetssiden først, og gå deretter til endepunkter."

Pågående innovasjon er essensielt

Gjenoppblomstringen av Storm-1152 og dens KI-strategier understreker cybertruslenes utviklende natur. Deres sofistikerte bruk av KI for både unndragelse og utfordringsløsning utgjør betydelige utfordringer for tradisjonelle sikkerhetstiltak. Organisasjoner må tilpasse seg ved å innlemme avanserte KI-drevne oppdagelses- og dempingsteknikker for å ligge i forkant av disse truslene.
"Tilfellet av Storm-1152 fremhever det kritiske behovet for kontinuerlig innovasjon innen cybersikkerhet for å motvirke den sofistikerte taktikken som brukes av KI-kyndige angripere," sier Shetty. "Når disse gruppene fortsetter å utvikle seg, må også forsvaret som er utformet for å beskytte mot dem."

Vi vet at vi vil fortsette å møte nye sikkerhetsutfordringer i dagene som kommer, men vi er optimistiske med tanke på hva vi har lært av denne handlingen. Som medlem av forsvarsfellesskapet vet vi at vi jobber bedre sammen i tjeneste for det som er best for fellesskapet, og at fortsatt samarbeid mellom offentlig og privat sektor fortsatt er avgjørende i møte med nettkriminalitet.

Farrell sier: "Samarbeidet på tvers av teamet i denne handlingen – som kombinerer innsatsen med trusseletterretning, identitetsbeskyttelse, etterforskning, tilskrivelse, rettslige handlinger og eksterne partnerskap – er en modell for hvordan vi bør operere."

Relaterte artikler

Forstyrre gatewaytjenester til nettkriminalitet

Microsoft, med trusselinformasjonsstøtte fra Arkose Labs, går til søksmål for å forstyrre den største selgeren og skaperen av uredelige Microsoft-kontoer, et konsern vi kaller Storm-1152. Vi observerer, legger merke til og handler for å beskytte kundene våre.
Mer informasjon

Microsoft, Amazon og internasjonale rettsmyndigheter går sammen for å bekjempe teknisk støtte-svindel

Se hvordan Microsoft og Amazon slo seg sammen for første gang noensinne for å fjerne ulovlige telefonsentre for teknisk støtte i hele India.
Mer informasjon

På innsiden av kampen mot hackere som er ansvarlige for avbrudd på sykehus, og har satt liv i fare

Gå bak kulissene i en fellesoperasjon mellom Microsoft, programvareutvikleren Fortra og Health-ISAC for å forstyrre sprukne Cobalt Strike-servere og gjøre det vanskeligere for cyberkriminelle å operere.
Mer informasjon

Følg Microsoft Sikkerhet