مايكروسوفت تحجز نطاقات شبكة تصيد استهدفت 75 ألف شركة عبر USDT

حصلت مايكروسوفت ومجموعة الأمن السيبراني Health-ISAC على أمر من محكمة أمريكية لحجز نطاقات وإعادة توجيهها تدعم خدمات YAM Store وCoGUI وIron Man، وهي ثلاث خدمات كانت تبيع بيانات الاعتماد المسروقة وأدوات التصيد للمحتالين. استهدفت هذه العملية شبكة تقبل عملة Tether الرقمية USDT وإيثيريوم لتسهيل إرسال أكثر من مليار رسالة خبيثة حول العالم هذا العام.

نطاق العملية

وفقاً لبيان صدر في 14 أكتوبر، عطّلت الشركة أكثر من 20,000 حساب مرتبط بـ YAM Store. يواصل المحققون حجب أكثر من 100,000 نطاق انتحال هوية واحتيال. منذ يناير، ساعدت هذه الخدمات المجرمين في إرسال رسائل تستهدف أكثر من 75,000 منظمة في أكثر من 150 دولة. حققت هذه العمليات عشرات الملايين من الدولارات لمشغليها.

بدأ التحقيق بعد أن حذرت الوكالة الوطنية للشرطة في اليابان مايكروسوفت من عمليات احتيال تستهدف المستهلكين والشركات في أواخر العام الماضي. تتبّع المحققون الحملات إلى سوق باللغة الصينية حيث يمكن للمجموعات الإجرامية شراء البنية التحتية اللازمة لتشغيل عمليات التصيد دون بنائها بأنفسهم. خدم هذا السوق كمركز لشراء أدوات جاهزة، مما سمح للمهاجمين بإطلاق حملات معقدة بأقل قدر من الجهد التقني.

أدوار الموردين وطرق الدفع

وفرت YAM Store حسابات Microsoft وGoogle المكتسبة بشكل احتيالي، وموارد سحابية، واستضافة. أعاد بعض المشغلين تفعيل نطاقات منتهية الصلاحية تابعة لمنظمات غير ربحية وتعليمية. استخدموا هذه المواقع التي تبدو شرعية للحصول على حسابات Microsoft 365 لإعادة بيعها. حافظت YAM Store أيضاً على طبقة من الموزعين الفرعيين، مما وسّع توزيع الحسابات والبنية التحتية خارج متجرها الخاص.

وفرت CoGUI وIron Man صفحات ورسائل تصيد جاهزة تحاكي البنوك وتجار التجزئة وسلطات النقل والوكالات الحكومية. حددت مايكروسوفت وشركة الأمن Resecurity أكثر من 2,300 قالب من Iron Man. سمحت هذه القوالب للعملاء بتكييف عمليات الاحتيال مع علامات تجارية ودول محددة. مكّن تنوع القوالب المحتالين من انتحال هوية مجموعة واسعة من الكيانات الموثوقة، مما زاد من احتمالية نجاح سرقة بيانات الاعتماد.

وجدت التحقيقات التقنية لمايكروسوفت أن الخدمات تقبل العملات الرقمية، بما في ذلك USDT من Tether وإيثيريوم. دعم متجر YAM Store عملة USDT على شبكة Tron إلى جانب Alipay وWeChat Pay. ذكرت Cloudflare أن المشترين يمكنهم أيضاً الدفع مقابل عروض السوق باستخدام USDC. منحت هذه القنوات المتعددة للعملاء عدة خيارات لشراء بيانات الاعتماد المخترقة وخدمات التصيد، مما جعل تتبع المسارات المالية أكثر صعوبة للسلطات القانونية.

الإنفاذ وتجميد الأصول

قالت شركة تحليلات البلوك تشين TRM Labs إن معلوماتها الاستخباراتية ساعدت المحققين في تحديد الأصول المرتبطة بالمجموعة وتجميدها. لم تحدد الشركة قيمة الأصول المجمدة. تترك هذه الشفافية المحدودة الضرر المالي الفوري للعملية غير واضح. بينما يعطل حجز النطاقات والحسابات العمليات الحالية، تمثل الأصول المجمدة استرداداً جزئياً للأموال غير المشروعة التي ولّدتها الشبكة.

استهدفت جهود الإنفاذ أيضاً الخدمات التي استخدمها المجرمون بعد إتمام عمليات الشراء. علقت Cloudflare الحسابات، وعطّلت مشاريع Workers التي تدعم صفحات التصيد، وحظرت مئات النطاقات والمشاريع المرتبطة. وضعت صفحات تحذير أمام الروابط الخبيثة حيث تعذر حجز النطاقات مباشرة. سمح هذا النهج لـ Cloudflare بتخفيف الضرر حتى عندما كانت الولاية القضائية القانونية على مسجلي النطاقات محدودة.

حددت مايكروسوفت اعتمادية محددة في أعمال الاشتراك الخاصة بـ Iron Man. اشترى العملاء وصولاً إلى برامج تصيد متصلة بخادم ترخيص يتحكم به المورد. يمكن أن يتعارض تعطيل تلك البنية التحتية مع قدرة العملاء على استخدام الحزم المشتراة، حتى لو ظلت نسخ من البرنامج متداولة. يستهدف هذا الإزالة التقنية جعل الأدوات المشتراة سابقاً عديمة الفائدة، مما يقلل من عائد الاستثمار للمجموعات الإجرامية.

شملت الحملة شرطة اليابان ومركز مكافحة الجرائم الإلكترونية، إلى جانب Oracle وProofpoint وResecurity وشركاء إنفاذ القانون الأمريكيين. ذكرت مايكروسوفت أن الموردين المستهدفين كانوا جزءاً من شبكة إجرامية أكبر. لا تزال البنية التحتية المرتبطة تُزال. التحدي التالي هو الحد من سرعة استبدال الموردين للنطاقات المحجوزة والحسابات المخترقة. تعمل بعض مسجلي النطاقات في ولايات قضائية تجعل الحجز القانوني صعباً. يجب على Cloudflare حجب الوصول من خلال تحذيرات أمنية حتى مع بقاء تلك النطاقات على الخط. يشير استمرار إزالة البنية التحتية المرتبطة إلى أن الاضطراب عملية مستمرة وليس حدثاً واحداً.