Microsoftは、日本の当局、Health-ISAC、複数のサイバーセキュリティ企業と協力し、中国語圏のサイバー犯罪ツールやサービスから成る広範なエコシステムを解体したと、水曜日に発表しました。これらは一見すると互いに無関係に見えるものでした。
今年初めからこれまでに、中国語を話す攻撃者グループが開発・販売したカスタマイズ済みフィッシングキットの大規模な集合体が、世界の7万5,000以上の組織に対し、10億通を超えるフィッシングメールとSMSを送り付けました。Microsoftはこのグループを「Storm-2990」として追跡しています。同社によると、これら悪意あるメッセージの4分の3以上は、Microsoftの顧客を標的にしていました。
サイバー犯罪者は、相互に結び付いたネットワークからフィッシングキット、ツール、インフラを購入していました。Microsoftと日本の当局は、このネットワークの調査を2025年初めに開始しています。キットは、主に米国と日本の医療、金融サービス、物流、ITの各分野に属する個人や組織への攻撃に使われました。
Microsoftによると、同社とHealth-ISACは連邦裁判所の命令に基づき、これらのサイバー犯罪ツールやサービスの基盤インフラを支えていたドメインを押収し、転送先を変更しました。対象は「YAM Store」「CoGUI」「Iron Man」として知られるサービスです。
同社はさらに、YAM Storeに関連する2万以上のアカウントを無効化したと説明しています。自社サービス上でホストされていたインフラの削除や、なりすましや詐欺に使われていた10万を超えるドメインのブロックも進めており、攻撃の妨害を続けています。
MicrosoftのDigital Crimes Unitでゼネラルカウンセル兼ゼネラルマネージャーを務めるSteven Masada氏は、ブログ記事で次のように述べています。「多くの人が、メッセージを開くと不審な警告に目を留めた経験があるでしょう。荷物が配達できない、通行料金が未払いである、銀行口座に対応が必要だ、税金の支払いが遅れている、といった内容を急かす警告です。細部は変わっても、狙いは同じです。相手にクリックさせ、個人情報を共有させ、あるいは金を支払わせることです」
同氏は続けて、次のように述べました。「こうしたメッセージはしつこく届きます。1通を削除してブロックしても、別の1通が取って代わります。無視すれば、さらに増えます。1通に引っかかれば、水門が開いてしまいます。単純な詐欺メッセージに見えるものは、多くの場合、はるかに大規模な国境を越えたサイバー犯罪活動の、目に見える末端にすぎません」
フィッシングキットには、正規ブランドになりすましたテンプレートが含まれており、サイバー犯罪者はこれを使って大量の攻撃キャンペーンを展開していました。研究者らは、インフラの類似性や活動の重複から、これらのツールは開発元が共通しているか、コードを再利用しているか、あるいは開発者同士が緊密に連携していたことを示唆していると指摘しています。
Microsoftによると、サイバー犯罪者はフィッシングキットを使って認証情報や金融データを盗んだほか、デバイスコード認証の仕組みを悪用して認証トークンを入手し、侵害したアカウントにアクセスしていました。研究者らによれば、犯罪者は主にこれらのツールを金融詐欺に利用していました。具体的には、盗んだ決済データで高級品を不正に購入したり、正規の金融プラットフォームで不正な取引を行ったりしていたということです。
調査に協力したResecurityは、Iron Manのインフラにアクセスすることに成功しました。そこでは、130カ国の銀行、小売業者、医療機関、交通当局、警察、政府機関になりすました2,360種類のフィッシングテンプレートが見つかっています。Cloudflare、Oracle、Proofpoint、TRM Labsも、調査や捜査を支援しました。
Masada氏は次のように記しています。「日本国内の個人や組織を狙った詐欺活動から始まった調査は、世界中の犯罪者に供給を行う地下のサービス経済へとたどり着きました」
同氏はさらにこう述べています。「YAM Store、CoGUI、Iron Manは、その巨大な犯罪ネットワークの一部にすぎません。それでも、これらを妨害することで、犯罪者がアカウントやツール、インフラを入手しにくくなります。被害者の目に触れるのは、詐欺メッセージだけであることが多いのです。それを可能にしているのは、背後にある犯罪ビジネスです」
翻訳元: https://cyberscoop.com/microsoft-disrupts-chinese-language-phishing-kit-ecosystem/
