Trace Id is missing

Drzen ukrep proti goljufijam: Preprečevanje Storm-1152

Skupna raba
Pisan nabor krogov z različnimi ikonami.

Pregled

Marca 2023 je velika Microsoftova stranka doživela vrsto kibernetskih napadov z neželeno pošto, ki so povzročili izpade v strankinem sistemu.

Kaj je bil vzrok? Množica goljufivo ustvarjenih računov Microsoft Outlook in Hotmail, ki skušajo izkoristiti prednosti strankinih storitev, zagotovljenih kot preizkusne različice bodočim uporabnikom, čeprav ti lažni računi niso imeli namena nikoli plačati za te storitve. Posledično je stranka blokirala vse nove prijave računov z naslovov Microsoft Outlook in Hotmail.

Za tem napadom je dejansko stalo večje goljufivo podjetje s sedežem v Vietnamu – skupina, ki jo Microsoft imenuje Storm-1152.

Skupina Storm-1152 je upravljala nezakonita spletna mesta in strani v družbenih omrežjih ter prodajal lažne Microsoftove račune in orodja za izogibanje programski opremi za preverjanje identitete na znanih tehnoloških platformah. Storitve skupine Storm-1152 delujejo kot prehod do kibernetske kriminalitete, saj skrajšajo čas in trud, ki sta potrebna kriminalcem za množična kriminalna dejanja in zlorabo na spletu. Skupno je skupina do zdaj ustvarila približno 750 milijonov goljufivih Microsoftovih računov za prodajo, kar je skupini prineslo več milijonov dolarjev nezakonitih prihodkov, podjetjem pa še več stroškov v boju proti njihovi kriminalni dejavnosti.

Izkazalo se je, da je več skupin uporabljalo račune Storm-1152 za ​​vključevanje v izsiljevalsko programsko opremo, krajo podatkov in izsiljevanje, vključno zOcto Tempest, Storm-0252, Storm-0455in drugimi. S prodajo računov so postali eden največjih ponudnikov spletnega kriminala kot storitve.

Microsoft je od leta 2022 sledil porastu te zlonamerne dejavnosti in povečal uporabo algoritmov strojnega učenja za preprečevanje in odkrivanje opazovanih vzorcev za ustvarjanje teh goljufivih računov. Vendar pa je pomlad 2023 zaznamovala prelomnico zaradi naraščajoče zlorabe Microsofta in partnerskih platform. Potrebni so bili agresivnejši ukrepi in ustanovljena je bila medfunkcionalna ekipa Microsofta in našega partnerja Arkose Labs.

Takoj po tem dejanju smo opazili približno 60% zmanjšanje prometa pri prijavi. To zmanjšanje se močno ujema s 60% ali več prijavami, ki so jih naši algoritmi ali partnerji kasneje prepoznali kot zlorabe in smo jih nato začasno izključili iz Microsoftovih storitev. 

Rezultat usklajenega prizadevanja je Microsoftova enota za digitalne zločine (DCU), ki je sprožilaprvipravni postopek v decembru 2023 za zaseg in zaprtje spletnih mest, ki jih je skupina Storm-1152 uporabljala za prodajo svojih storitev. Takoj po tem dejanju smo opazili približno 60% zmanjšanje prometa pri prijavi. To zmanjšanje se močno ujema s 60% ali več prijavami, ki so jih naši algoritmi ali partnerji kasneje prepoznali kot zlorabe in smo jih nato začasno izključili iz Microsoftovih storitev. 23. julija smo vložili drugo civilno tožbo, da bi prekinili delovanje nove infrastrukture, ki jo je skupina poskušala vzpostaviti po naši decembrski tožbi.

To poročilo o nastajajočih grožnjah govori o zakulisju, kako je do te akcije prišlo, in poudarja pomen sodelovanja v pregonu kibernetskih groženj v celotni panogi. Gre za primer, kako lahko panoga uporabi zakonite kanale za pomoč pri odvračanju drugih skupin in zagotavlja varnost posameznikov na spletu.​ Govori tudi o pomembnosti nenehnih prekinitvah in o tem, kako pravni ukrepi ostajajo učinkovita metoda proti kibernetskim kriminalcem, tudi ko spremenijo svojo taktiko. Na koncu koncev noben postopek ni enkraten in dokončen.

Odkritje in identifikacija Storm-1152

V februarju 2023 je Matthew Mesa, višji varnostni raziskovalec v Microsoftovem središču za obveščanje o grožnjah (MSTIC), opazil naraščajoč vzorec računov v Microsoft Outlooku, ki se uporabljajo v kampanjah množičnega lažnega predstavljanja. V svoji vlogi Mesa analizira e-poštne kampanje in išče sumljive dejavnosti. Ker je ves čas opažal naraščanje uporabe goljufivih računov, se je vprašal: "Ali so lahko vsi ti računi med seboj povezani?"

Takoj je ustvaril nov profil akterja grožnje, pri Storm-1152, in začel slediti njihovi dejavnosti ter svoje ugotovitve sporočil Microsoftovi skupini za identifikacijo. Shinesa Cambric, glavna produktna vodja Microsoftove ekipe za zaščito pred zlorabami in goljufijami, je prav tako spremljala to zlonamerno dejavnost in opazila povečanje števila avtomatiziranih računov (botov), ​​ki poskušajo premagati izzive CAPTCHA, ki se uporabljajo za zaščito postopka prijave potrošnikov v Microsoftove storitve.​​

„Moja ekipa se osredotoča tako na našo potrošniško izkušnjo kot tudi na izkušnjo našega podjetja, kar pomeni, da vsak dan ščitimo milijarde računov pred goljufijami in zlorabami,« pojasnjuje Cambric. „Naša vloga je razumeti metodologije akterjev groženj, da se lahko izognemo napadom in preprečimo dostop do naših sistemov. Vedno razmišljamo o preprečevanju – o tem, kako lahko slabe akterje ustavimo že pri vhodnih vratih.“

Njeno pozornost je pritegnila naraščajoča stopnja goljufij, povezanih s to dejavnostjo. Ko je več strank – Microsoftovih partnerjev in delov naše dobavne verige – prijavilo škodo, ki je nastala zaradi Microsoftovih računov, ki so jih ustvarili boti, je Cambric ukrepala.

Skupaj s ponudnikom obrambe in upravljanja kibernetske varnosti Arkose Labs je ekipa gospe Cambric delala na identifikaciji in onemogočanju goljufivih računov skupine ter delila podrobnosti o svojem delu s kolegi za obveščanje o grožnjah v Microsoftovem MSTIC in raziskovalno enoto Arkose Cyber ​za obveščanje o grožnjah in raziskovanje (ACTIR).

„Naša vloga je razumeti metodologije akterjev groženj, da se lahko izognemo napadom in preprečimo dostop do naših sistemov. Vedno razmišljamo o preprečevanju – o tem, kako lahko slabe akterje ustavimo že pri vhodnih vratih.“ 
Shinesa Cambric 
Glavni produktni vodja, skupina za zaščito pred zlorabami in goljufijami, Microsoft 

„Na začetku je bila naša vloga zaščititi Microsoft pred zlonamernim ustvarjanjem računov,“ pojasnjuje Patrice Boffa, glavni vodja strank Arkose Labs, „ko pa je bil Storm-1152 prepoznan kot skupina, smo začeli zbirati tudi veliko informacij o kibernetskih grožnjah.“

Razumevanje skupine Storm-1152

Storm-1152 je kot finančno motivirana skupina v razvoju izstopala kot nenavadno dobro organizirana in profesionalna s ponudbo kibernetske kriminalitete kot storitve (CaaS). Skupina Storm-1152, ki je delovala kot zakonito podjetje, je sredi belega dne izvajal svojo nedovoljeno storitev reševanja izzivov CAPTCHA.

„Če niste vedeli, da je to zlonamerna organizacija, bi jo lahko primerjali s katerim koli drugim podjetjem SaaS,“ 
Patrice Boffa
Vodja ključnih strank, Arkose Labs

„Če niste vedeli, da gre za zlonamerno organizacijo, bi jo lahko primerjali s katerim koli drugim podjetjem SaaS,“ pravi Boffa in dodaja, da je AnyCAPTCHA.com, ki pripada skupini Storm-1152, imel javno spletno mesto, sprejemal plačila v kriptovalutah prek PayPala in celo ponujal kanal za podporo.

Ta storitev je uporabljala bote za zbiranje žetonov CAPTCHA v velikem obsegu, ki so bili prodani strankam, ki so nato žetone uporabile za neprimerne namene (kot je množično ustvarjanje lažnih Microsoftovih računov za kasnejšo uporabo v kibernetskih napadih), preden so potekli. Poskusi vzpostavitve goljufivih računov so se dogajali s tako hitrostjo in učinkovitostjo, da je ekipa Arkose Labs sklenila, da skupina uporablja tehnologijo avtomatiziranega strojnega učenja. 

„Ko smo izkusili hitrost njihovega prilagajanja našim prizadevanjem za ublažitev, smo ugotovili, da veliko njihovih napadov temelji na umetni inteligenci,“ je dejal Boffa. „V primerjavi z drugimi nasprotniki, ki smo jih videli, je skupina Storm-1152 uporabila UI na inovativen način.“ Ekipe Arkose Labs in Microsoft so lahko opazile spremembo v poslovni taktiki kot način prilagajanja povečanim prizadevanjem za odkrivanje in preprečevanje.

Sprva se je skupina Storm-1152 osredotočila na zagotavljanje storitev za kriminalce, da bi obšli varnostno obrambo drugih tehnoloških podjetij, pri čemer je bil​Microsoft​ največja žrtev. Pri Storm-1152 so ponujali storitve ​za obhod​​ obrambe in ustvarjanje goljufivih računov, nato pa so ponudili novo storitev, ko so zaznali, da so bili odkriti. ​ Namesto da bi zagotovili orodja za obhod obrambe pri ustvarjanju računa, so se v skupini usmerili v uporabo žetonov, ki so jih zbrali z lastnimi boti, ki onemogočajo CAPTCHA, da bi ustvarili goljufive Microsoftove račune za nadaljnjo prodajo.

„Kar smo opazili pri Storm-1152, je tipično,“ pravi Boffa. „Vsakič, ko ujamete akterje groženj, poskusijo nekaj drugega. Ostati pred njimi je igra mačke in miši.”

Pripravljamo tožbo proti skupini Storm-1152

Ko je goljufiva dejavnost marca 2023 dosegla vrelišče, sta Cambric in Mesa angažirala Microsoftovo enoto za digitalne zločine (DCU), da bi ugotovila, kaj bi še lahko storili.

DCU kot Microsoftov zunanji izvršilni organ običajno preganja samo najresnejše ali vztrajne akterje. Osredotoča se na prekinitve – zvišanje stroškov poslovanja – za kar so kazenske ovadbe in/ali civilne tožbe glavno orodje.

Sean Farrell, vodilni svetovalec ekipe za boj proti kibernetski kriminaliteti v Microsoftovem DCU, Jason Lyons, glavni vodja preiskav v ekipi za boj proti kibernetskemu kriminalu v DCU pri Microsoftu, in višji preiskovalec kibernetske kriminalitete Maurice Mason so se zbrali, da bi nadaljevali preiskavo. Usklajevali so se z Microsoftovim zunanjim svetovalcem, da bi oblikovali pravno strategijo in zbrali dokaze, potrebne za vložitev civilne tožbe, pri čemer so črpali iz dognanj več ekip v Microsoftu in informacij o kibernetskih grožnjah, ki so jih zbirali v Arkose Labs.

„Veliko dela je bilo že opravljenega, ko se je vključil DCU,“ se spominja Lyons. „Ekipa Identity in Arkose Labs sta že opravila veliko dela pri prepoznavanju in onemogočanju računov, in ker je MSTIC uspel povezati goljufive račune z določenimi ravnmi infrastrukture, smo menili, da bi bil to dober pravni primer za DCU.“

Nekateri dejavniki, ki prispevajo k oblikovanju primera, vrednega pregona, vključujejo zakone, ki jih je mogoče uporabiti v civilni tožbi, pristojnost in pripravljenost podjetja, da javno imenuje posameznike.

Lyons je primerjal upoštevanje teh dejavnikov s triažnim postopkom, kjer je DCU preučil dejstva in informacije, da bi lahko ugotovil, ali gre za dober primer. „Glede na to, kar počnemo, se sprašujemo, ali želimo svoj čas in energijo porabiti za ukrepanje,“ pravi. „Ali bo učinek vreden sredstev, ki jih moramo vložiti?“ V tem primeru je bil odgovor da.

Mason je bil zadolžen za delo na pripisovanju dejavnosti kibernetskega kriminala kot storitve skupini Storm-1152. „Moja vloga je bila slediti, kako je skupina Storm-1152 prodala te goljufive račune drugim skupinam akterjev groženj, in identificirati posameznike, ki stojijo za Storm-1152,“ pojasnjuje Mason.

S svojim preiskovalnim delom, ki je vključevalo temeljit pregled strani družbenih medijev in identifikatorjev plačil, sta Microsoft in Arkose Labs uspela identificirati posameznike, ki stojijo za Storm-1152 — Duong Dinh Tu, Linh Van Nguyễn (znan tudi kot Nguyễn Van Linh) in Tai Van Nguyen.

Njihove ugotovitve kažejo, da so ti posamezniki upravljali in pisali kodo za nezakonita spletna mesta, objavljali podrobna navodila po korakih za uporabo njihovih izdelkov v obliki video učnih gradiv ter zagotavljali storitve klepeta za pomoč tistim, ki so uporabljali njihove goljufive spletne strani. Nato so bile vzpostavljene dodatne povezave s tehnično infrastrukturo skupine, ki jo je ekipi uspelo natančno določiti pri gostiteljih v ZDA.

„Eden od razlogov, zakaj v DCU izvajamo te ukrepe, je odvrniti vpliv teh kibernetskih kriminalcev. To počnemo z vlaganjem tožb ali posredovanjem kazenskih ovadb, ki vodijo do aretacij in pregona.“
Sean Farrell 
Vodilni svetovalec, skupina za boj proti kibernetskemu kriminalu, Microsoft

Farrell opisuje odločitev o nadaljevanju primera: „Tukaj smo imeli srečo zaradi odličnega dela ekip, ki so identificirale akterje, ki so vzpostavili infrastrukturo in kriminalne storitve.

Eden od razlogov, zakaj v DCU izvajamo te ukrepe, je odvrniti vpliv teh kibernetskih kriminalcev. To počnemo z vlaganjem tožb ali posredovanjem kazenskih ovadb, ki vodijo do aretacij in pregona. Mislim, da pošlje zelo močno sporočilo, ko uspeš identificirati akterje in jih javno identificirati v pravnih vlogah v Združenih državah.“​​

Ponovno pojavljanje Storm-1152 in ​​drugi pravni postopek​

Medtem ko je ekipa opazila takojšen upad infrastrukture po prekinitvah decembra 2023, se je Storm-1152 znova pojavil s predstavitvijo novega spletnega mesta, imenovanega RockCAPTCHA, in novimi videoposnetki z navodili za pomoč svojim strankam. RockCAPTCHA je ciljala na Microsoft s ponudbo storitev, posebej zasnovanih za poskus premagovanja varnostnih ukrepov CAPTCHA Arkose Labs. Julijski ukrep je Microsoftu omogočil, da je prevzel nadzor nad tem spletnim mestom in akterjem zadal še en udarec.

Raziskovalna enota obveščanja o kibernetskih grožnjah Arkose Research (ACTIR) je prav tako podrobneje preučila, kako je skupina Storm-1152 poskušala obnoviti svoje storitve. Opazovali so skupino, ki je uporabljala bolj prefinjene taktike, vključno s krepitvijo vpliva umetne inteligence (AI), da bi prikrila svojo dejavnost in se izognila odkritju. Ta ponovna oživitev kaže na premike, ki se dogajajo v okolju groženj, in prikazuje napredne zmogljivosti napadalcev, ki dobro poznajo tehnologije umetne inteligence. 

Eno od glavnih področij, kjer ima Storm-1152 integrirano UI, so tehnike izogibanja. Arkose Labs je videl, da skupina uporablja UI za sintetično ustvarjanje človeških podpisov.

Vikas Shetty je produktni vodja za Arkose Labs in vodi enoto za raziskovanje groženj, ACTIR. „Uporaba modelov UI omogoča napadalcem, da usposobijo sisteme, ki oddajajo te človeškim podobne podpise, ki jih je nato mogoče v velikem obsegu uporabiti za napade,“ je dejal Shetty. „Zaradi kompleksnosti in raznolikosti teh podpisov jim tradicionalne metode odkrivanja težko sledijo.“

Poleg tega so v Arkose Labs opazili, da Storm-1152 poskuša pridobiti in zaposliti inženirje UI, vključno z magistrskimi študenti, doktorskimi kandidati in celo profesorji v državah, kot sta Vietnam in Kitajska.

„Ti posamezniki so plačani za razvoj naprednih modelov umetne inteligence, ki lahko obidejo prefinjene varnostne ukrepe. Strokovno znanje in izkušnje teh inženirjev umetne inteligence zagotavljajo, da modeli niso le učinkoviti, temveč tudi prilagodljivi razvijajočim se varnostnim protokolom,“ je povedal Shetty.

Vztrajnost je ključnega pomena za smiselno motenje delovanja kibernetskih kriminalcev, prav tako kot spremljanje njihovega delovanja in uporabe novih tehnologij.

„Še naprej moramo biti vztrajni in izvajati ukrepe, ki bodo kriminalcem otežili služenje denarja,“ je dejal Farrell. „Zato smo vložili drugo tožbo, da prevzamemo nadzor nad tem novim področjem. Moramo dati vedeti, da ne bomo tolerirali dejavnosti, ki želi škodovati našim strankam in posameznikom na spletu.“

Pridobljene izkušnje in posledice v prihodnosti

Ko razmišlja o izidu preiskave Storm-1152 in prekinitev, Farrell ugotavlja, da primer ni pomemben samo zaradi vpliva na nas in druga prizadeta podjetja, temveč tudi zaradi Microsoftovih prizadevanj za povečanje vpliva teh operacij, ki so del celotnega ekosistema kibernetske kriminalitete kot storitve.

Močno sporočilo javnosti

„Prikaz, da se lahko učinkovita uporaba pravnih vzvodov, uporabi pri napadih z zlonamerno programsko opremo in operacijah nacionalne države, je privedel do znatne ublažitve ali odprave dejavnosti akterja, ki je kar nekaj časa po tem, ko smo vložili tožbo, padla skoraj na nič,“ pravi Farrell. „Mislim, da iz tega vidimo, da imate lahko resnično odvračanje, in pomembno sporočilo, ki ga javnost pridobi iz tega - ne samo zaradi učinka, ampak tudi za večje dobro spletne skupnosti.“

Novi vektorji dostopa v identiteti

Druga pomembna ugotovitev je bil splošen premik od akterjev groženj, ki poskušajo ogroziti končne točke, k identitetam.  Pri večini napadov z izsiljevalsko programsko opremo opazimo, da akterji groženj kot začetni vektor napada izkoriščajo ukradene ali ogrožene identitete.
„Ta trend kaže, kako bo identiteta prevzela vlogo začetnega vektorja dostopa v prihajajočih dogodkih,“ pravi Mason. „Pri CISO (služba vodje informacijske varnosti)) bodo morda želeli zavzeti resnejše stališče do identitete, ko bodo modelirali za svoje organizacije – najprej osredotočanje na stran identitete, nato premik na končne točke.“

Nenehne inovacije so bistvenega pomena

Ponovni pojav Storm-1152 in njihovih strategij, ki jih dopolnjuje UI, poudarja razvijajočo se naravo kibernetskih groženj. Njihova prefinjena uporaba umetne inteligence za izogibanje in reševanje izzivov predstavlja velik izziv za tradicionalne varnostne ukrepe. Organizacije se morajo prilagoditi z vključitvijo naprednih tehnik odkrivanja in ublažitve, ki jih poganja UI, da ostanejo pred temi grožnjami.
„Primer Storm-1152 poudarja kritično potrebo po nenehnih inovacijah na področju kibernetske varnosti, da bi preprečili prefinjene taktike, ki jih uporabljajo napadalci, poznavalci UI,“ pravi Shetty. „Ker se te skupine še naprej razvijajo, se mora razvijati tudi obramba, namenjena zaščiti pred njimi.“

Zavedamo se, da se bomo v prihodnjih dneh še naprej soočali z novimi varnostnimi izzivi, vendar smo optimistični glede tega, kar smo se naučili iz teh dejanj. Kot člani skupnosti zagovornikov vemo, da bolje sodelujemo skupaj v službi za skupno dobro, in da je stalno sodelovanje javnega ter zasebnega sektorja še vedno bistvenega pomena v boju s kibernetskim kriminalom.

Farrell pravi: „sodelovanje med ekipami pri tem projektu – ki združuje prizadevanja za obveščanje o grožnjah, zaščito identitete, preiskavo, pripisovanje, pravne ukrepe in zunanja partnerstva – je model, kako bi morali delovati.“

Sorodni članki

Prekinitev storitev prehoda v kibernetski kriminal

Microsoft ob podpori družbe Arkose Labs, ki zagotavlja obveščanje o grožnjah, izvaja tehnične in pravne ukrepe, da bi onemogočil največjega prodajalca in ustvarjalca goljufivih Microsoftovih računov, skupino, ki jo imenujemo Storm-1152. Opazujemo, upoštevamo in ukrepamo, da zaščitimo svoje stranke.
Več informacij

Microsoft, Amazon in mednarodni organi pregona so se združili v boju proti goljufijam na področju tehnične podpore

Oglejte si, kako sta Microsoft in Amazon prvič v zgodovini združila moči, da bi uničila nezakonite klicne centre za tehnično podporo po vsej Indiji.
Več informacij

V zakulisju boja proti hekerjem, ki so oteževali delo v bolnišnicah in ogrožali življenja

Spoznajte zakulisje skupne operacije Microsofta, proizvajalcev programske opreme Fortra in Health-ISAC, s katero so prekinili vdor v strežnike Cobalt Strike in otežili delovanje kibernetskih kriminalcev.
Več informacij

Spremljajte Microsoftovo varnost