- Microsoftは日本の警察庁と連携し、中国語圏のサイバー犯罪「アプリストア」に対処
- YAM Store、CoGUI、Iron Manは150カ国以上の人々を標的に
- Microsoftは世界各国の法執行機関と協力し、企業や個人を狙う違法な活動の摘発を進める
Microsoftは、日本の警察庁と共同で実施した作戦により、サイバー犯罪向けのアプリストア群の活動を妨害することに成功したと発表しました。日本の企業や国民を狙った詐欺メッセージを調査する中で、3つの主要な要素からなる多面的な犯罪マーケットプレイスが明らかになりました。
YAM Store、CoGUI、Iron Manは、世界150カ国以上の7万5000組織を標的にしていました。詐欺を宣伝する悪意ある通信は10億件を超え、背後にいる犯罪者に数百万ドルの収益をもたらしていました。さらに、7億5000万件のメッセージはMicrosoft自身の顧客に向けられたものでした。
この作戦には日本当局のほか、Cloudflare、Oracle、Proofpoint、Resecurity、TRM Labsも参加しました。
なりすましテンプレート
日本企業を狙うサイバー犯罪のエコシステムを調べた結果、調査チームはYAM Store、CoGUI、Iron Manの3つを突き止めました。これらは、サイバー犯罪者がサイバー犯罪のエコシステムに入り込むための入り口になっていたとみられます。
この環境は、犯罪者に対して既製の偽Webサイトやメッセージを提供していました。標的を欺き、本物とやり取りしていると思い込ませるための仕組みです。偽サイトにはAmazonも含まれていました。詐欺師は自前でプログラマーを雇わなくても、説得力のあるページをホストするだけで、ログイン情報や決済情報を盗めます。そのほか、政府機関や金融機関、著名企業をかたる偽サイトも販売されていました。
フィッシング・アズ・ア・サービス（PhaaS）のフレームワークであるCoGUIは、ブラウザーフィンガープリンティングやジオフェンシングといった高度な検知回避の手法を使っていました。そのため、セキュリティフィルタリングソフトは当初、これに対処できませんでした。
注目すべきは、これらの仕組みがサイバー犯罪の手段を流通させる上で果たしていた役割です。CoGUIは日本と米国の被害者を狙っていたとされますが、調査の過程で新サービスのIron Manに置き換えられました。
YAM Store
3つの構成要素は、いずれもMicrosoftと当局が把握していました。しかし、これらを利用するサイバー犯罪者のネットワークに潜入するには、組織的な取り組みが必要でした。環境がすべて中国語で運営されていたため、ネイティブスピーカーを調査チームに加え、「YAM Store」と呼ばれる地下のサイバー犯罪マーケットプレイスにアクセスする必要がありました。
Microsoftはこのマーケットプレイスに追跡番号「Storm-3119」を割り当て、「イニシャルアクセスブローカー」だと説明しています。顧客に対して、「MicrosoftやGoogleなどのプロバイダー上にある、侵害または不正に取得された環境」を提供するために作られたものです。
侵害されたソフトウェアは、その提供元の監視対象になるのが普通です。しかしYAM Storeの作成者は、自動化によって商品の鮮度を保つという回避策を持っていました。この仕組みは「期限切れの環境名や組織名を特定し、それらに紐づく正規の顧客情報を悪用して、既存の検知をかいくぐる」というものです。
Microsoftは、YAM/CoGUI/Iron Manのインフラに関連するドメインを押収し、ブロックまたはリダイレクトしました。
