A Microsoft e o grupo de inteligência de ameaças do setor da saúde Health-ISAC obtiveram uma ordem judicial nos EUA para apreender e redirecionar domínios ligados a três operações de phishing-as-a-service conhecidas como YAM Store, CoGUI e Iron Man. As redes são acusadas de ter enviado mais de mil milhões de mensagens maliciosas e de ter visado mais de 75.000 organizações em mais de 150 países, com pagamentos pela infraestrutura criminosa aceites em criptomoeda, além dos métodos tradicionais.
Para um público europeu cada vez mais dependente de plataformas de pagamento digital e de serviços na nuvem, o caso ilustra como as stablecoins se tornaram uma ferramenta de liquidação habitual nos mercados do cibercrime, e não apenas um ativo especulativo.
Como funcionavam as operações
A YAM Store vendia contas da Microsoft e da Google obtidas ilicitamente, juntamente com serviços de alojamento e infraestrutura na nuvem, recorrendo a uma rede de revendedores para ampliar a distribuição. Alguns operadores por trás do serviço utilizaram domínios expirados pertencentes a instituições de ensino e organizações sem fins lucrativos para adquirir e revender contas do Microsoft 365. A CoGUI e a Iron Man, por sua vez, construíram páginas e mensagens que se faziam passar por bancos, retalhistas, autoridades de transportes e organismos governamentais. A Microsoft e a empresa de segurança Resecurity identificaram mais de 2.300 modelos associados apenas à Iron Man.
A Microsoft desativou mais de 20.000 contas ligadas à YAM Store no âmbito desta ação e afirmou continuar a bloquear mais de 100.000 domínios utilizados para fraude e usurpação de identidade nas suas plataformas.
As criptomoedas como método de liquidação preferido
Segundo a investigação, a YAM Store aceitava USDT através da rede Tron, bem como Alipay e WeChat Pay. A Cloudflare referiu que os compradores de infraestrutura criminosa relacionada também podiam pagar com USDC, a stablecoin emitida pela Circle, enquanto a própria análise da Microsoft identificou o ether entre os ativos aceites pelas redes. A informação divulgada não especifica que proporção das transações foi liquidada em cada ativo.
A empresa de inteligência blockchain TRM Labs afirmou ter ajudado os investigadores a localizar e congelar ativos ligados ao grupo, embora não tenha divulgado o valor dos fundos congelados.
Origens da investigação
A investigação começou depois de a Agência Nacional de Polícia do Japão ter alertado a Microsoft para burlas que visavam consumidores e empresas. Os investigadores traçaram mais tarde parte da atividade a um mercado em língua chinesa que facilitava a compra de recursos utilizados em campanhas fraudulentas.
A Cloudflare, que participou em partes da resposta técnica, referiu que alguns registadores de domínios utilizados pelos operadores estão sediados em jurisdições onde as ordens judiciais de apreensão são difíceis de aplicar, um fator que já complicou esforços de desmantelamento semelhantes no passado.
