Microsoft baru-baru ini mengumumkan keberhasilan operasi bersama Badan Kepolisian Nasional Jepang yang berhasil mengganggu sejumlah toko aplikasi siber ilegal. Penyelidikan terhadap pesan-pesan penipuan yang menargetkan bisnis dan warga Jepang ini mengungkap sebuah pasar kriminal yang multifaset, dengan tiga elemen kunci.
Toko YAM, CoGUI, dan Iron Man telah menyasar 75.000 organisasi di lebih dari 150 negara di seluruh dunia, mengirim lebih dari satu miliar pesan jahat yang mempromosikan penipuan, dan menghasilkan jutaan dolar untuk para pelaku di baliknya. Lebih dari itu, 750 juta pesan ditujukan kepada pelanggan Microsoft sendiri.
Dalam operasi ini, Microsoft juga bekerja sama dengan berbagai pihak, termasuk Cloudflare, Oracle, Proofpoint, Resecurity, dan TRM Labs.
Template Penipuan
Melihat ekosistem cybercrime yang menargetkan bisnis di Jepang, para penyelidik menemukan trio toko yaitu YAM, CoGUI, dan Iron Man. Mereka menyediakan jalur masuk ke dalam dunia kejahatan siber untuk para penjahat. Lingkungan ini menawarkan situs web dan pesan palsu yang dirancang untuk menipu target agar berpikir mereka berinteraksi dengan layanan yang sah. Amazon menjadi salah satu situs yang dipalsukan, sehingga penipu bisa dengan mudah membuat halaman yang meyakinkan untuk mencuri informasi login dan pembayaran, tanpa perlu mempekerjakan programmer mereka sendiri. Ilusi lainnya termasuk lembaga pemerintah, institusi keuangan, dan perusahaan-perusahaan ternama lainnya.
Perangkat lunak penyaring keamanan awalnya tidak dapat menangani framework phishing-as-a-service (Phaas) milik CoGUI, karena menggunakan metode canggih untuk menghindari deteksi, termasuk sidik jari browser dan geofencing.
Menarik untuk dicatat bahwa fasilitas-fasilitas ini memainkan peran penting dalam distribusi aset kejahatan siber. Meskipun CoGUI awalnya menargetkan korban di Jepang dan AS, selama penyelidikan, layanan ini digantikan oleh layanan baru bernama Iron Man.
Toko YAM
Ketiga komponen tersebut sudah dikenal oleh Microsoft dan pihak berwenang, namun diperlukan usaha bersama untuk menyusup ke jaringan penjahat yang menggunakan layanan tersebut. Mereka dihosting dalam lingkungan berbahasa Cina, yang mengharuskan penutur asli ditambahkan ke dalam tim penyelidik untuk mendapatkan akses ke pasar kejahatan siber bawah tanah yang dikenal sebagai Toko YAM.
Microsoft menetapkan nomor pelacakan Storm-3119 untuk pasar ini, yang mereka sebut sebagai “Broker Akses Awal.” Broker ini didirikan untuk menyediakan lingkungan yang telah dikompromikan atau diperoleh secara penipuan kepada pelanggan mereka, termasuk di penyedia seperti Microsoft dan Google.
Sementara itu, biasanya perangkat lunak yang telah dikompromikan menjadi perhatian penerbitnya, pencipta Toko YAM memiliki cara untuk menghindarinya. Mereka dapat menjaga inventaris tetap segar dengan otomatisasi, yang mengidentifikasi nama lingkungan atau organisasi yang kedaluwarsa dan memanfaatkan informasi pelanggan yang sah terkait dengan mereka untuk membantu menghindari deteksi yang ada.
Microsoft telah menyita domain yang terkait dengan infrastruktur YAM/CoGUI/Iron Man dan memblokir atau mengalihkan mereka.
