Microsoft, në bashkëpunim me Agjencinë Kombëtare të Policisë së Japonisë, ka goditur një treg kriminal kibernetik në gjuhën kineze që furnizonte mashtruesit me gjithçka u duhej për fushata phishing. Sipas kompanisë, që nga janari i këtij viti platformat e tij kanë mundësuar mbi një miliard mesazhe mashtruese me email dhe SMS, që synonin më shumë se 75 mijë organizata në mbi 150 vende.
Kush ishin pas mesazheve
Hetimi çoi te YAM Store, një treg nëntokësor infrastrukture që Microsoft e gjurmon me emrin Storm-3119, si dhe te kitet e phishing-ut CoGUI, Haozi dhe Iron Man. Sipas raportit të Microsoft, i cituar nga BleepingComputer, YAM Store shiste llogari, licenca dhe hapësirë ruajtjeje Microsoft dhe Google, të vjedhura ose të marra me mashtrim.
Metodat ishin të sofistikuara:
- blinin domene të skaduara të organizatave reale dhe rindërtonin faqet e tyre, që kompanitë e mbyllura të dukeshin aktive;
- krijonin me mjete AI organizata fiktive, me përmbajtje dhe dokumente të rreme, për të hapur llogari cloud;
- përdornin SharePoint dhe OneDrive në llogari të komprometuara për të strehuar faqet mashtruese.
Gjoba të rreme dhe paketa që s’ekzistojnë
Kitet ofronin mesazhe të gatshme për pagesa të papaguara rrugësh, gjoba trafiku, probleme me dërgesat ose «verifikim llogarie». Vetëm Iron Man kishte mbi 2.300 shabllone që imitonin banka, dyqane, kompani postare dhe institucione shtetërore. Për t’u fshehur nga studiuesit e sigurisë, përdornin filtrim sipas vendndodhjes dhe adresës IP, si dhe faqe të rreme CAPTCHA.
Microsoft thotë se mbi 750 milionë mesazhe synonin klientët e Microsoft 365, shumë prej tyre me teknikën «device code phishing» për të vjedhur token-ët e hyrjes. Sipas The Verge, operatorët fituan dhjetëra milionë dollarë.
Si u godit rrjeti
Me urdhër të një gjykate federale në Florida, Microsoft dhe organizata Health-ISAC sekuestruan dhe ridrejtuan domenet që mbanin në këmbë YAM Store, CoGUI dhe Iron Man. Microsoft çaktivizoi mbi 20 mijë llogari të lidhura me tregun dhe bllokoi rreth 100 mijë domene të përdorura për imitim dhe mashtrim. Në operacion morën pjesë edhe Resecurity, Cloudflare, Oracle, Proofpoint dhe TRM Labs, dhe heqja e infrastrukturës vazhdon.
Pse ka rëndësi për ju
Mesazhet për «paketën që nuk mund të dorëzohet» apo «gjobën e papaguar» u vijnë rregullisht edhe përdoruesve në Shqipëri, shpesh në emër të postës, bankave ose shërbimeve shtetërore. Goditja e këtij rrjeti mund t’i pakësojë për një kohë, por modeli i biznesit mbetet: kite të gatshme që i shiten kujtdo. Këshilla mbetet e njëjtë: mos klikoni linke në SMS të papritura, kontrolloni adresën e faqes dhe mos futni kurrë kod verifikimi në një faqe që ju është dërguar nga dikush tjetër.
