Microsoft desmantela tres kits de phishing vinculados a más de mil millones de mensajes fraudulentos

Mi­cro­soft, Health-ISAC, el Cen­tro de Con­trol de Ci­ber­cri­men de Japón y va­rias em­pre­sas pri­va­das del sec­tor tec­no­ló­gi­co lle­va­ron a cabo una ope­ra­ción au­to­ri­za­da por un tri­bu­nal para des­ar­ti­cu­lar tres kits de phishing co­no­ci­dos como CoGUI, Haozi e Iron Man Sys­tem. La in­ves­ti­ga­ción se ori­gi­nó tras re­por­tes de cam­pa­ñas ma­li­cio­sas en Japón y re­ve­ló que los res­pon­sa­bles fa­ci­li­ta­ron el envío de más de mil mi­llo­nes de men­sa­jes frau­du­len­tos de co­rreo elec­tró­ni­co y SMS a de­ce­nas de miles de or­ga­ni­za­cio­nes en todo el mundo.

Las he­rra­mien­tas ope­ra­ban bajo un mo­de­lo de phishing como ser­vi­cio den­tro de un eco­sis­te­ma ci­ber­cri­mi­nal de habla china que in­clu­ye un mer­ca­do clan­des­tino e in­ter­me­dia­rio de ac­ce­so ini­cial lla­ma­do YAM Store, ras­trea­do por Mi­cro­soft como Storm-3119, mien­tras que los de­sa­rro­lla­do­res de los kits se de­no­mi­nan Storm-2990. Este mer­ca­do ile­gal co­mer­cia­li­za in­fra­es­truc­tu­ra y he­rra­mien­tas uti­li­zan­do en­tor­nos le­gí­ti­mos o frau­du­len­tos de Mi­cro­soft y Goo­gle, acep­tan­do pagos en crip­to­mo­ne­das como Ethe­reum y USDT, y ofre­cien­do plan­ti­llas para su­plan­tar a mar­cas re­co­no­ci­das de sec­to­res gu­ber­na­men­ta­les, fi­nan­cie­ros y lo­gís­ti­cos a nivel glo­bal.

Entre las tác­ti­cas em­plea­das por los ata­can­tes des­ta­can el uso de he­rra­mien­tas de au­to­ma­ti­za­ción a tra­vés de la in­fra­es­truc­tu­ra Tor para iden­ti­fi­car en­tor­nos ex­pi­ra­dos y arren­da­ta­rios de Mi­cro­soft 365, la toma de con­trol de cuen­tas y el abuso de ser­vi­cios en la nube para el al­ma­ce­na­mien­to ma­si­vo. Asi­mis­mo, los kits in­cor­po­ran téc­ni­cas avan­za­das de eva­sión como ba­rre­ras de CAPTCHA fal­sas, lis­tas de blo­queo y per­mi­sos ba­sa­dos en di­rec­cio­nes IP, no­ti­fi­ca­cio­nes me­dian­te Te­le­gram y el uso de Web­Soc­kets para cap­tu­rar in­for­ma­ción con­fi­den­cial en tiem­po real, la cual es apro­ve­cha­da pos­te­rior­men­te para rea­li­zar tran­sac­cio­nes frau­du­len­tas.